Organisation du travail

Pour les organisations et les collaborateurs, cela signifie un niveau élevé de clarté et de sécurité - du moins en théorie. En effet, la pratique montre que dans de nombreuses entreprises, la gestion des autorisations est plutôt mal structurée et peut ainsi être à l'origine de graves problèmes de sécurité. Si, malgré de tels dangers, rien n'est souvent entrepris, c'est tout simplement parce qu'un contrôle minutieux de l'ensemble des rôles et des autorisations ne pourrait guère être réalisé de manière traditionnelle en raison de la charge de travail élevée. De nouveaux outils logiciels intelligents s'attaquent désormais à ce problème et offrent aux entreprises une chance réaliste d'optimiser durablement leur gestion des autorisations à un coût raisonnable.

Anciens et nouveaux rôles

Rien que dans SAP, il existe environ 150 000 transactions qui peuvent être attribuées à des utilisateurs individuels, des groupes d'utilisateurs, des rôles ou des rôles collectifs. La pratique montre que si de nouveaux utilisateurs, rôles et autorisations sont régulièrement ajoutés, ceux qui existent déjà sont rarement contrôlés et tout au plus réduits lorsqu'un collaborateur quitte l'entreprise. Ce n'est pas surprenant, car dans des systèmes qui ont parfois évolué pendant dix ou quinze ans, la vérification de toutes les autorisations par des moyens traditionnels serait une tâche herculéenne quasiment impossible, d'autant plus que de nombreuses entreprises n'ont même pas encore mis en place un système de suivi permettant de savoir quel utilisateur utilise quelles autorisations et à quelle fréquence.

Parallèlement, les problèmes de sécurité qui peuvent résulter de concepts d'autorisation déficients ne peuvent guère être surestimés. Le collaborateur du service des achats qui passe à la comptabilité, s'enregistre ensuite lui-même comme fournisseur et paie quasiment ses propres factures, n'est pas encore un cas très grave. Le problème prend également de l'ampleur avec l'accélération du travail à domicile en raison de la pandémie. En effet, lorsque des systèmes internes sont ouverts à l'accès à distance, toutes les autorisations doivent être correctes et cohérentes. C'est la seule façon d'exclure tout accès non autorisé à des informations critiques et d'éviter les erreurs dues au manque de transparence d'un concept d'autorisation mal géré.

En outre, le chaos des autorisations peut également entraîner une augmentation des coûts, par exemple lorsque des licences sont payées pour des utilisateurs qui n'ont pas besoin ni n'utilisent les programmes correspondants. Enfin, le thème du concept d'autorisation prend de plus en plus d'importance dans le domaine de l'audit. Il est donc grand temps de faire le ménage dans son propre concept d'autorisation. La bonne nouvelle, c'est qu'il existe de nouvelles solutions intelligentes permettant de reprendre en main les situations d'autorisation les plus confuses.

La base est le traçage

Pour déterminer quels utilisateurs utilisent quelles autorisations, quels rôles et quels contenus et à quelle fréquence, il convient tout d'abord d'implémenter un traçage des accès. Toutes les actions et tous les accès sont enregistrés. Après avoir été actif pendant six mois ou un an, ce traçage fournit une bonne base de données pour vérifier les autorisations et les rôles réellement nécessaires. De nouvelles solutions logicielles intelligentes, comme par exemple Sivis Reduction Manager, vérifient automatiquement toutes les actions sur la base des données de traçage. Tous les rôles ou contenus qui n'ont pas été utilisés pendant la période de traçage sont alors affichés pour vérification par les collaborateurs responsables.

Il en va de même pour les constellations de rôles qui semblent incohérentes, comme les droits parallèles pour les achats et la comptabilité. Ils sont également proposés à la vérification. Le grand avantage est qu'il n'est pas nécessaire de vérifier toutes les autorisations existantes, mais seulement celles dont il y a lieu de penser qu'elles ne sont pas à jour. Parallèlement, la vérification et la décision personnelles excluent tout retrait accidentel d'autorisations. Enfin, il peut y avoir de bonnes raisons pour que certains droits d'accès n'aient pas été utilisés pendant une période donnée.

Suggestions automatiques

La qualité, la transparence et la cohérence du concept d'autorisation sont indispensables, tant pour des raisons de sécurité que de coûts. Jusqu'à présent, il n'était guère possible de reconcevoir les systèmes existants en raison de la charge de travail importante qu'ils impliquaient. Des solutions logicielles innovantes offrent la possibilité de scanner automatiquement toutes les autorisations et d'en vérifier la cohérence. Les constellations qui présentent des anomalies sont alors affichées et peuvent être vérifiées au cas par cas par les collaborateurs responsables. Cela permet de réduire considérablement la charge de travail. Certains fournisseurs, comme Sivis GmbH, proposent également une combinaison de solution logicielle et de service, ce qui permet aux entreprises de réduire encore considérablement la charge de travail liée au contrôle.

PDF en anglais