Identités & accès # Diagnostic IAM : le périmètre de l’audit Comprendre qui accède à quoi, pourquoi et pendant combien de temps, pour vos collaborateurs, vos applications et vos agents IA. Ce que nous cadrons ## Un périmètre adapté à votre organisation. Lors du premier échange, nous définissons les annuaires, applications et populations à examiner : collaborateurs, prestataires, administrateurs et identités non humaines (NHI). Le diagnostic peut couvrir Active Directory, Entra ID et vos solutions IAM, SSO, MFA ou PAM, selon votre architecture. Les objectifs, les accès de lecture, les documents attendus, les interlocuteurs et le calendrier sont précisés dans la proposition. Les vérifications portent sur les composants et les processus retenus ensemble. Six axes de revue ## Les accès, les processus et les preuves. ### Annuaires & authentification Examiner les points d’entrée et les conditions d’accès. - Configuration des annuaires et relations entre AD et Entra ID. - SSO, fédération, MFA et accès conditionnels selon les solutions en place. - Accès des administrateurs et séparation des usages courants et privilégiés. ### Cycle de vie & revues d’accès Vérifier que les droits suivent les mouvements des personnes. - Arrivées, mobilités, départs et comptes inactifs. - Rôles, responsables de validation et revues périodiques des droits. - Échantillons d’habilitations et preuves de retrait effectif. ### Accès privilégiés Identifier les droits sensibles et leur maîtrise. - Comptes d’administration, groupes sensibles et délégations. - Procédures d’élévation, comptes de secours et usage du PAM. - Traçabilité des opérations et contrôles des habilitations sensibles. ### Identités non humaines (NHI) & secrets Relier les identités techniques à un propriétaire et à un usage. - Comptes de service, identités d’applications et identités des agents IA. - Permissions, clés API, certificats et dépendances aux secrets. - Stockage, expiration, rotation et révocation des secrets. ### Applications & flux d’accès Relier les permissions aux besoins métier. - Applications et ressources accessibles, rôles et consentements. - Échanges entre applications, services et outils connectés. - Droits excessifs, dépendances et pistes de réduction des privilèges. ### Gouvernance & preuves Rendre les décisions d’accès vérifiables. - Responsabilités, règles d’habilitation et exceptions documentées. - Journaux disponibles, critères de contrôle et indicateurs de suivi. - Éléments de preuve utiles à vos équipes et à la préparation des audits. Méthode ## Des observations reliées à votre fonctionnement. - Collecte des documents et configurations prévus au cadrage, avec les accès nécessaires. - Entretiens avec les responsables IAM, les équipes d’exploitation et les métiers concernés. - Revue des configurations et des processus, avec échantillonnage des accès convenu. - Qualification des constats, restitution et priorisation des corrections. Un diagnostic IAM peut être complété par un pentest Active Directory. Les tests d’exploitation, les changements de production et la mise en œuvre des corrections font l’objet d’un périmètre et de modalités distincts. Ce que vous obtenez ## Un plan de sécurisation exploitable. - Cartographie du périmètre examiné et inventaire des identités sensibles. - Constats documentés, risques associés et éléments de preuve disponibles. - Plan de remédiation priorisé : actions rapides, dépendances et chantiers structurants. - Recommandations de gouvernance, responsables et critères de suivi. [Cadrer mon diagnostic IAM](https://www.bexen.fr/contact/index.html?objet=diagnostic-iam)[Revenir au service IAM](https://www.bexen.fr/index.html#diagnostic-iam) Repères techniques ## Approfondir la sécurité des identités. [Bonnes pratiques Microsoft Entra](https://learn.microsoft.com/en-us/entra/architecture/secure-best-practices)[Identités de workloads — Microsoft](https://learn.microsoft.com/en-us/entra/workload-id/workload-identities-overview)[Méthodes et livrables beXen](https://www.bexen.fr/methodes-livrables-cybersecurite/index.html)