Comparer des devis de gestion des identités et des accès sur le seul prix laisse de côté plusieurs questions qui comptent davantage une fois que le système régit réellement les accès au quotidien. Voici ce qu’il vaut la peine de vérifier avant de s’engager.

Ce que vous allez apprendre

  • Pourquoi comprendre vos rôles réels compte plus qu’une politique générique
  • Pourquoi les départs méritent autant d’attention que les arrivées
  • Ce qu’il faut demander sur l’intégration et la revue continue

Le prestataire comprend-il vos rôles et vos méthodes de travail réels ?

Un prestataire qui propose une politique d’accès générique sans bien comprendre vos rôles, vos services et vos méthodes de travail réels risque soit de trop restreindre certains employés, soit de mal protéger des accès réellement sensibles. Une mission bien cadrée commence par comprendre le fonctionnement réel de votre organisation, et non par un modèle uniforme.

Les départs reçoivent-ils autant d’attention que les arrivées ?

Un processus clair et fiable pour révoquer rapidement les accès au départ d’une personne est tout aussi important que l’ouverture des accès à son arrivée, et reçoit parfois moins d’attention dans une proposition que le processus d’arrivée, plus visible. Demandez précisément comment les départs sont gérés, car une faille à ce niveau laisse des accès actifs plus longtemps qu’ils ne devraient l’être.

La solution s’intègre-t-elle à vos applications réelles ?

Une gestion des identités qui ne se connecte pas correctement aux applications réellement utilisées par votre organisation apporte bien moins de valeur qu’une solution qui le fait. Demandez précisément si le prestataire a une vraie expérience de l’intégration avec votre parc applicatif particulier, et pas seulement de la gestion des identités en général.

Comment sont gérés les accès privilégiés ou d’administration ?

Demandez précisément comment les comptes dotés de droits élevés sont traités différemment des accès standard. Une solution qui applique les mêmes contrôles à tous, quel que soit le niveau de privilège, passe à côté d’une distinction importante pour l’exposition réelle de votre organisation au risque.

La revue continue des politiques est-elle incluse, ou s’agit-il d’une mise en place unique ?

Les besoins d’accès évoluent avec les rôles, les applications et l’organisation elle-même. Demandez si le prestataire prévoit une revue et un ajustement périodiques, ou considère la mission terminée une fois la mise en place initiale achevée. Une revue continue apporte une valeur bien plus durable qu’une politique fixée une fois pour toutes.

Quelle documentation recevrez-vous réellement ?

Demandez quelle documentation est fournie. Un registre clair de la structure des politiques d’accès, et de leurs raisons, compte pour votre propre compréhension et pour toute personne qui devra maintenir ou auditer le système plus tard.

Une liste de comparaison rapide

Question Pourquoi elle compte
Le prestataire comprend-il vos rôles réels ? Évite une politique générique qui protège trop ou trop peu
Les départs sont-ils correctement traités ? Empêche des accès de subsister après un départ
La solution s’intègre-t-elle à vos applications ? Détermine la valeur pratique réelle, au-delà de l’identité en général
Les accès privilégiés sont-ils traités à part ? Reflète des niveaux de risque réellement différents
Une revue continue est-elle incluse ? Garde le système utile à mesure que les besoins évoluent

Bien faire la comparaison

Deux devis de prix similaire peuvent nettement différer une fois pris en compte, de façon homogène, la compréhension des rôles, la rigueur du processus de départ et la revue continue. Poser ces questions précises est une base de choix plus fiable que le seul prix.