Access Review (Certification Campaign)

Définition

Une revue d'accès (Access Review), également appelée campagne de certification (Certification Campaign) ou recertification des accès, est un processus périodique dans lequel les propriétaires d'applications et les managers valident que les accès accordés à leurs utilisateurs sont toujours appropriés et nécessaires. C'est un contrôle clé de gouvernance des identités (IGA) qui prévient l'accumulation excessive de droits (privilege creep) et garantit la conformité avec les exigences réglementaires. Le privilege creep est le phénomène par lequel un utilisateur accumule au fil du temps des droits qui ne lui sont plus nécessaires — suite à des changements de poste, des projets terminés, des accès accordés temporairement et jamais révoqués. Sans revue périodique des accès, cette accumulation crée des violations du principe du moindre privilège et des violations de la séparation des tâches (SoD). Les Access Reviews sont le mécanisme correctif. Le processus d'une Access Review standard comprend : définition du périmètre et de la fréquence (trimestrielle pour les accès aux systèmes critiques, semestrielle ou annuelle pour les systèmes moins critiques), génération des rapports d'accès actuels (pour chaque application, liste des utilisateurs et leurs droits), envoi des questionnaires de certification aux reviewers (managers pour les accès de leurs équipes, propriétaires d'applications pour les accès à leurs systèmes), collecte des décisions (Certifier = l'accès est justifié, Révoquer = l'accès n'est plus nécessaire), et exécution automatique des révocations approuvées. Les revues d'accès sont exigées par de nombreux référentiels de conformité. SOX section 404 impose la revue des accès aux systèmes financiers. PCI-DSS section 7 et 8 exige la revue trimestrielle des accès aux données de cardholder. ISO 27001 (A.8.5 — Privileged Access Management) et NIST SP 800-53 (AC-2g) formalisent les exigences de revue. NIS 2 impose aux OES et OIV des contrôles stricts sur les accès privilégiés incluant les revues régulières. Les plateformes IGA (SailPoint IdentityIQ, Saviynt, One Identity, Microsoft Identity Governance) automatisent les campagnes de certification en envoyant des notifications aux reviewers, en gérant les escalades pour les décisions en retard, en exécutant automatiquement les révocations décidées, et en produisant les rapports d'audit pour les certifications. Cette automatisation réduit drastiquement la charge des équipes IT tout en améliorant la qualité et la traçabilité des revues.