le questionnaire veut savoir comment nous réglementons l'accès aux systèmes, que dois-je répondre

La gestion des accès porte sur l'autorisation, la vérification et l'enregistrement

Cette question relève de la politique de contrôle d'accès, et la plupart des questionnaires la divisent en trois parties : comment l'accès est accordé et révoqué (autorisation), comment l'identité de l'utilisateur est vérifiée (authentification), et qui a accédé à quel système et à quel moment est enregistré (enregistrement). Une réponse complète mentionne les trois éléments. Pour l'autorisation, la réponse habituelle est que l'accès est accordé en fonction de la fonction ou du rôle, que les droits sont examinés en cas de changement de fonction ou de départ, et qu'il existe un contrôle périodique des comptes actifs. S'il n'y a pas de processus établi mais que l'accès est néanmoins accordé manuellement et de manière limitée, une réponse réaliste est « partiellement » avec une brève explication, et non « oui ».

Pour l'authentification, il est souvent demandé séparément si l'authentification multifacteur est utilisée pour l'accès aux systèmes d'entreprise — c'est une réponse autonome, même si la politique d'accès est par ailleurs conforme. Pour l'enregistrement, la pièce justificative est généralement une export du système de gestion des identités et des accès, ou une capture d'écran de la structure des rôles ; un document de politique sans système sous-jacent est rarement convaincant. Si cette pièce justificative fait défaut, alors « non, pas encore formalisé » est une réponse tenable — le risque réside dans « oui » sans pièce justificative correspondante.

Remontable à l'article 21 paragraphe 2 et l'Annexe A

La gestion des accès est mentionnée comme mesure autonome à l'article 21 paragraphe 2 de la directive NIS2, aux côtés de l'exigence plus large selon laquelle le politique d'accès incluant la gestion des actifs de l'entreprise est documentée. Dans ISO/IEC 27001, le même besoin se retrouve à l'Annexe A, sous les mesures de contrôle d'accès ; quiconque est déjà certifié sur ce sujet peut présenter ce certificat comme pièce justificative au lieu de rassembler des documents séparés.