Vouloir protéger toutes les données au même niveau est à la fois coûteux et inefficace. La classification détermine où concentrer la protection.
01. Nombre de classes
Trois ou quatre classes suffisent : public, interne, confidentiel et, si besoin, strictement confidentiel. Au-delà, la confusion s'installe et personne ne choisit la bonne étiquette.
02. Propriété
Chaque ensemble de données a besoin d'un propriétaire métier. Les demandes d'accès doivent être validées par lui et non par l'informatique. Quand l'informatique valide, les droits s'élargissent sans contrôle avec le temps.
03. Moindre privilège
Un utilisateur ne doit accéder qu'aux données nécessaires à son travail. En pratique c'est le principe le plus violé, surtout dans les mises en œuvre d'ERP où de larges rôles sont accordés par facilité.
04. Conception des rôles
Les droits vont aux rôles, pas aux personnes. Quand le personnel change, le rôle est transmis et aucune pile de droits personnels ne se constitue. Là où la séparation des tâches s'impose, des rôles incompatibles ne doivent pas se rejoindre sur une même personne.
05. Revue régulière
Les droits doivent être revus au moins une fois par an. Les anciens droits des personnes ayant changé de service figurent parmi les constats d'audit les plus fréquents.
06. Le processus de départ
Tous les accès d'un salarié qui part doivent être fermés le jour même. Si ce flux entre ressources humaines et informatique n'est pas automatisé, des comptes restent ouverts des mois.