Revue des accès SharePoint : ce qu'attendent ISO 27001 et vos auditeurs
Les permissions SharePoint s'accumulent au fil des projets, des arrivées et des départs. La plupart des référentiels de sécurité demandent de les revoir régulièrement, et l'auditeur demandera la preuve que c'est fait.
Résumer cet article avec une IA
Le lien ouvre l'assistant choisi avec une question pré-remplie pointant vers cette page.
Ce que demandent les référentiels
La norme ISO/IEC 27001:2022 (mesure 5.18 de l'annexe A, « Droits d'accès ») demande que les droits d'accès soient attribués, revus à intervalles réguliers, modifiés et retirés selon une politique définie. La directive NIS2 inclut aussi les politiques de contrôle d'accès parmi les mesures de gestion des risques attendues.
L'auditeur ne demande pas seulement si une politique existe. Il demande :
- qui a revu les accès, et quand ;
- sur quel périmètre ;
- quelles décisions ont été prises (maintenir, retirer) ;
- si les retraits ont réellement été appliqués.
Pourquoi SharePoint est le point difficile
Dans SharePoint, les accès sont donnés à plusieurs niveaux : site, bibliothèque, dossier, fichier, lien de partage. Les propriétaires métier ne voient pas facilement l'ensemble, et l'équipe IT ne sait pas si un accès est encore justifié.
Résultat habituel : un export PowerShell, un fichier Excel par site envoyé par mail aux propriétaires, des relances, et des réponses qui reviennent dans des formats différents. La preuve d'audit est reconstituée à la main.
Une campagne de recertification en 5 étapes
- Photographier les permissions sur le périmètre choisi, avec date et heure.
- Envoyer à chaque propriétaire la liste des accès qu'il doit revoir.
- Décider pour chaque accès : maintenir ou retirer, avec un commentaire.
- Appliquer les retraits, automatiquement ou par ticket.
- Archiver un rapport final daté, prêt pour l'auditeur.
Le bon rythme
La norme ne fixe pas de fréquence : elle dépend de votre analyse de risque. En pratique, une revue semestrielle pour les sites sensibles (RH, finance, juridique) et annuelle pour le reste est un point de départ courant.
La recertification des accès SharePoint dans Microsoft 365
L'application Recertification de BA-IT orchestre les campagnes, fait certifier les accès par les propriétaires et produit une piste d'audit datée. 4 000 € HT en achat unique, sans abonnement par utilisateur.
Voir l'application Recertification →