Partage des responsabilités et niveaux d'accès

1) Objectifs et principes

• supprimer le contrôle unique des opérations critiques (argent/PII/conformité),
• réduire le risque de fraude/erreur,
• assurer la vérifiabilité pour les organismes de réglementation et les audits internes.

Principes : Zero Trust· Least Privilège· Need-to-Know· SoD (4-eyes)· Traceability· Revocability (rappel rapide).

2) Classification des données et niveaux d'accès

3) Modèle des droits : RBAC + ABAC

RBAC : rôles par domaine (Support, VIP, Payments, AML, KYC, FRM, BI, DevOps, DPO, Legal).
ABAC : attributs contextuels (environnement, géographie, classe de données, périphérique/MDM, heure, niveau KYC, cible d'accès « purpose », risque de périphérique).

Exemple de condition ABAC : un analyste BI peut lire « événements _ » uniquement sans PII, uniquement à partir du réseau d'entreprise/MDM, dans la semaine de 08 : 00-21 : 00, avec une formation active sur la vie privée.

4) SoD est une matrice de fonctions incompatibles

5) Niveaux et types d'accès

Read-only/Masked Read : par défaut pour BI/Support.
Écritures scopées : modifications dans les limites du service/règlement (par exemple, entrée des notes de cas).
Admin privilégié : uniquement via PAM (coffre-fort de mot de passe, proxy de session, enregistrement de session, rotation des secrets).
API/Service Accounts : minimums, clés individuelles d'intégration, mTLS.

6) JIT и break-glass

JIT (Just-in-Time) : augmentation temporaire des droits (15-120 min) pour un tiquet spécifique, rappel automatique, obligatoire « purpose ».
Break-glass : accès d'urgence avec MFA + deuxième confirmation, enregistrement de session, post-revue Security + DPO, vol automatique de l'incident en cas de violation.

7) Processus (SOP)

7. 1 Demande/changement d'accès (IDM/ITSM)

1. Demande avec 'purpose', le terme et le propriétaire des données.
2. Contrôle automatique SoD/classe de données/juridiction.
3. Approbation du propriétaire de domaine + Sécurité (pour Restricted +).
4. Délivrance d'un JIT/accès permanent (minimum).
5. Inscription au registre des droits (date de révision, SLA révocation).

7. 2 Certification des droits

Tous les trimestres, les propriétaires confirment les droits des groupes/utilisateurs.
Droits non utilisés (> 30/60 jours).

7. 3 Exportation de données

Seulement par des vitrines/piplines agréées ; masquage par défaut ; des listes blanches de destinataires/formats ; signature/hash ; Journal des décharges.

8) Contrôle des fournisseurs/partenaires

Tenants B2B individuels, minimums API, allow-list IP, fenêtres temporelles.
DPA/SLA : logs d'accès, durées de conservation, géographie, incidents, sous-processeurs.
Offboard : révocation des clés, confirmation de suppression, acte de fermeture.

9) Intégration avec la sécurité et la conformité

Audit trails: `READ_PII`, `EXPORT_DATA`, `ROLE_UPDATE`, `PAYMENT_APPROVE`, `BREAK_GLASS`.
SIEM/SOAR : alertes sur des volumes/accès anormaux sans 'purpose '/sortie fenêtre/geo.
GDPR/AML/PCI : Need-to-Know, compatibilité DSAR, ségrégation du périmètre de paiement, WORM pour les journaux.

10) Politiques d'exemples (fragments)

10. 1 Politique du gestionnaire VIP

Vue masquée du profil, interdiction d'exportation, JIT pour une seule vue KYC via ticket.

10. 2 Politiques pour l'analyste marketing

Seulement les agrégats sans PII ; accès avec consentement (drapeau CMP), à partir d'un appareil MDM, pendant les heures d'ouverture.

10. 3 Pseudo-YAML ABAC

yaml policy: read_transactions_masked subject: role:bi_analyst resource: dataset:tx_
condition:
data_class: in [Confidential]
network: in [corp_vpn, office_mdm]
time: 08:00-21:00 workdays purpose: required effect: allow masking: on logging: audit_access + fields_scope

11) RACI

12) Métriques et KRIs/KPIs

Coverage ABAC : ≥ 95 % des ensembles critiques sous les règles d'attribut.
Taux JIT : ≥ 80 % des augmentations de droits vont comme JIT.
Offboarding TTR : retrait de l'accès ≤ 15 min depuis le licenciement/désactivation.
Accès anormaux sans 'purpose' : = 0 (KRI).
Réception quarterly : 100 % des rôles/groupes sont confirmés.
Conformité à l'exportation : 100 % des exportations sont signées/allumées.

13) Chèques-feuilles

13. 1 Avant d'accorder l'accès

• Défini par 'purpose', terme, propriétaire des données
• Vérification de SoD/juridictions/classe de données passée
• Minimum scope + masquage inclus
• Conditions MFA/MDM/réseau respectées
• Les journaux et la date de révision sont personnalisés

13. 2 Audit trimestriel

• Concilier les groupes/rôles avec la structure organisationnelle
• Révocation des droits inutilisés
• Vérifier le break-glass et les grandes exportations
• Valider la formation (privacy/security)

14) Scénarios et mesures types

A) L'ingénieur a besoin d'un accès temporaire à la prod-OBD

JIT 30-60 min, session enregistrée via PAM, post-revue, CAPA en cas d'irrégularités.

B) La nouvelle affiliation demande le déchargement des joueurs

Seulement agrégats/anonymisation ; si le PII est un contrat, une base juridique, une liste blanche des champs, un journal/signature, une durée de référence limitée.

C) Le gestionnaire VIP veut voir les documents KYC

Interdiction d'accès direct ; demande via AML/KYC, émission unique via JIT, journal complet des champs.

15) Feuille de route pour la mise en œuvre

Semaines 1 à 2 : inventaire des systèmes/données, classification, matrice RBAC de base, tableau SoD primaire.
Semaines 3 à 4 : mise en œuvre d'ABAC (mercredi/géo/classe/MDM), JIT et break-glass, lancement de PAM, journaux d'exportation.
Mois 2 : segmentation du KUS/périmètre de paiement, clés individuelles/KMS, alertes SOAR sur les infractions SoD/ABAC.
Mois 3 + : re-certification trimestrielle, extension des attributs (risque d'appareil/temps), automatisation du masquage, exercices de tabletop réguliers.

TL; DR

Modèle d'accès robuste = classification des données → RBAC + ABAC → SoD avec 4-eyes → JIT/PAM et audit rigoureux → re-certification régulière et contrôle des exportations. Cela réduit les risques d'abus et accélère le passage des audits/contrôles réglementaires.