Le système RH comme source de contrôle des droits d’accès

Le système RH comme source de contrôle des droits d’accès ou comment faire rimer accès physique et logique avec identification automatique.

L’attribution et la gestion de ces badges ou de ces clefs sont systématiquement confiées à l’administrateur du système de gestion sécurisé ou des dispositifs en place. L’administrateur procédera à l’ajout manuel de nouveaux utilisateurs du système et mettra en place les changements impactant les utilisateurs existants, lors d’un changement de service par exemple. A l’heure de la numérisation croissante de la société dans laquelle nous vivons, on peut se demander si ces procédures manuelles sont toujours en phase avec notre époque…
Lorsque les administrateurs attribuent des droits d’accès à une nouvelle ressource dans le système de gestion sécurisé, ils effectuent le plus souvent un simple copier/coller d’un compte utilisateur existant d’un collègue occupant le même type de poste. Grâce à ce fameux « copier-coller d’utilisateur » , la nouvelle ressource aura donc accès aux mêmes applications physiques que son ou sa collègue. SI sur le principe la pratique semble simple et rapide, elle peut se révéler totalement inappropriée si les nouveaux collaborateurs ont accès à des locaux dont ils n’ont pas forcément l’utilité ou auxquels ils ne devraient absolument pas avoir accès.
De plus, les administrateurs oublient souvent de supprimer ces droits, notamment lorsque le  collaborateur change de service. Ce qui va primer dans la pratique, c’est le fait que les employés puissent travailler sur l’ensemble des sites physiques nécessaires. Aussi supprimer des droits inutiles n’arrive qu’en dernière position dans la liste des priorités. Malheureusement, la conséquence de telles pratiques est que les administrateurs finissent par le plus savoir qui a accès à quoi.
Recourir à des procédures manuelles pour attribuer des droits d’accès n’est plus envisageable lorsqu’il s’agit, pour les entreprises, de respecter la réglementation ou les règles d’audit de sécurité.
Cela les contraint à connaître parfaitement qui a accès à quoi (accès physique et logique) et à en rendre compte à des auditeurs externes. D’autres entreprises doivent également faire face à des situations à risques, comme par exemple, dans les secteurs de la fabrication de matériel militaire, de la justice, de la santé avec les dossiers médicaux des patients ou encore dans le cadre de la gestion du personnel au sol en charge des pièces détachées pour avions. Quelle approche les entreprises doivent-elles adopter en la matière ? De quelle façon peuvent-elles uniformiser l’attribution et la gestion des droits d’accès physiques ?

Gérer les droits d’accès durant tout le cycle de vie de l’utilisateur dans l’entreprise

L’attribution des droits d’accès aux salles physiques fait, en réalité, partie de ce qu’on appelle le cycle de vie des utilisateurs. Il s’agit dans la pratique des différentes étapes par lesquelles passe tout employé tout au long de sa période d’activité au sein d’une entreprise, depuis son entrée dans un service, en passant par un changement de poste, jusqu’à son départ définitif. Non seulement, cela impacte les droits d’accès des utilisateurs au réseau de l’entreprise (droits d’accès logiques), mais également leurs droits d’accès physiques. Lorsqu’un employé intègre un service, les droits d’accès dont il a réellement besoin doivent être créés.
Tout au long de sa période d’activité au sein de l’entreprise, les droits de l’employé doivent demeurer exacts et nul n’est besoin de préciser que ces droits devront être désactivés au départ définitif de celui-ci, pour qu’il ne puisse plus accéder aux locaux de l’entreprise. Dans la vraie vie, force est de constater que bon nombre de sociétés ne sont pas à même de garantir que tous les droits d’accès de leurs anciens collaborateurs ont bien été désactivés…

S’appuyer sur le système RH comme source principale de gestion des accès logique et physique

Le système RH représente le système source idéal pour administrer le cycle de vie des utilisateurs. Cela est en grande partie dû au fait que la majorité des informations nécessaires à la gestion de ce cycle de vie sont directement disponibles dans le SIRH, et lieux encore, elles sont actualisées en permanence par le département RH.  Par exemple, les coordonnées complètes de l’employé (nom, adresse et ville), les dates de début et de fin du contrat de travail, le centre de coût à imputer, le poste occupé, la relation entre l’employé et son responsable et le nom du service concerné, toutes ces données sont stockées dans le SIRH. En reliant ces différentes informations au réseau de l’entreprise et au système de gestion sécurisé, il devient dès lors possible d’utiliser le SIRH comme source principale de gestion des accès logiques et physiques de l’entreprise.
Sur la base des informations fournies par le système RH (ex : poste, service et centre de coût), les droits d’accès peuvent être attribués à des employés existants ou à de nouvelles ressources de façon entièrement automatisée. La matrice d’autorisation ou le modèle de rôle par défaut décriront quels droits d’accès logiques et physiques (zones) appartiennent à chaque rôle. Il s’agit du protocole RBAC (Role Based Access Control).

Un exemple concret : la gestion des accès dans un hôpital

Comment cela fonctionne-t-il dans la pratique ? Dans le cas des hôpitaux par exemple, où la gestion des accès physiques et logiques est un élément critique, les comptes utilisateurs et les droits d’accès des employés sont automatiquement créés dans l’Active Directory, le système d’information en place, la suite logicielle dédiée au support, le système de gestion sécurisé et le système de e-learning. Lorsque le département RH ajoute ou modifie les données d’un employé dans le système RH, le logiciel de gestion des identités et des accès (IAM) exécutera toutes les actions requises au niveau du réseau. Dans le cadre d‘une nouvelle embauche, cela revient à créer un compte utilisateur et les droits d’accès associés par défaut à certains domaines physiques.

Armoires à clés et casiers électroniques intelligents, les nouveaux sésames de l’identification automatique

Compte tenu de l’investissement substantiel en temps et en ressources que requiert la mise en place d’une demande d’accès par badge, il est intéressant de se poser la question de l’automatisation de l’identification pour une entreprise qui décide d’opter pour un système de clés traditionnel. L’entreprise utilisera, pour ce faire, une armoire à clés intelligente permettant de gérer, de contrôler et de tracer l’ensemble des clés activées. Les employés pourront ainsi actionner l’ouverture de leurs casiers électroniques en saisissant un code PIN à 5 chiffres depuis le terminal de commande. En fonction du poste hiérarchique occupé, certaines clés pourront être délivrées ou pas. Ces clés seront identifiables au moyen de LED lumineuses. Chaque clé est équipée en outre d’une puce RFID permettant de tracer son utilisation (où et quand). Si la clé n’a pas été remise à sa place à la fin de la journée de travail, le responsable direct de l’employé en est immédiatement informé, de sorte qu’il peut prendre les mesures qui s’imposent, le cas échéant.
Dans le cas d’un établissement de santé, c’est à lui de définir quelles clés sont utilisées en fonction du rang hiérarchique de chaque ressource. Ces rôles étant définis à la base dans le SIRH, en couplant une solution IAM avec le système RH, un nouveau compte de clé peut être généré directement pour les nouvelles ressources. Ainsi, le rôle de l’utilisateur final sera clairement établi dès le départ et il saura quelles clés il a le droit d’utiliser. De plus, le logiciel génère automatiquement les identifiants de l’utilisateur (code PIN), puis les envoie par mail au responsable de cette nouvelle ressource. Cette information est ensuite consignée dans la base centrale SQL destinée aux armoires/casiers à clefs intelligents, ces derniers étant programmés pour savoir à quelles clés les utilisateurs ont accès. 

Déléguer la gestion des accès temporaires aux utilisateurs

Quelle devrait être la procédure applicable en cas de demandes d’accès temporaires formulées par des utilisateurs, comme c’est le cas notamment des travailleurs saisonniers ou des stagiaires ? La plupart du temps, le système RH ne définit aucune fonction spécifique pour ce type de personnel, de sorte qu’il est impossible de lui attribuer des droits d’accès dans un mode automatisé. Ce type de cas de figure ne se présentant qu’en de très rares occasions, les droits d’accès peuvent alors être attribués par l’entreprise elle-même, via par exemple un portail de self-service. Un responsable peut ainsi se connecter au portail pour attribuer des droits d’accès aux employés travaillant sous sa responsabilité. Une fois l’autorisation obtenue en externe, ces accès sont automatiquement affectés aux comptes respectifs des employés temporaires.
Au cœur de la gestion des droits d’accès logique et physique, le SIRH reste la source la plus fiable pour automatiser et sécuriser l’identification
L’attribution de droits d’accès physiques et logiques fait partie intégrante du cycle de vie d’un employé en tant qu’utilisateur du réseau de l’entreprise. Pour diverses raisons, les entreprises ont souvent besoin de coupler les accès physiques aux accès logiques, complexifiant ainsi les règles d’attributions des droits sans pour autant gagner en sécurité et en fiabilité. Pour automatiser et sécuriser l’attribution des droits d‘accès et plus particulièrement ceux relatifs aux accès physiques, le système RH peut être relié au système de gestion sécurisé et tenir lieu ainsi de base à la gestion des droits d’accès aux sites physiques.
En réduisant la source de données à une base de données unique, les administrateurs répondent ainsi aisément et sereinement aux exigences de sécurité, de traçabilité et d’audit de leur organisation.

Autour du même sujet