Avant d'agir
Identifier la personne et l'organisation, vérifier le rôle et délimiter les informations et actions disponibles.
Identité et permissionsCatalisa / GouvernanceLa confiance a
La confiance a
structure.
Qui peut agir. Ce qui doit être revu. Comment comprendre ce qui s'est passé. La gouvernance relie ces réponses à l'opération.
Découvrir les responsabilités ↓Plus de clarté pour agir.
Plus de contexte pour répondre.
Plus de contexte pour répondre.
Le socle fournit les mécanismes.
L’opération donne le cap.
La gouvernance apparaît dans la conception de chaque parcours : dans les accès, les règles, la révision et les enregistrements qui aident à reconstituer le travail.
La plateforme relie ces capacités. Chaque organisation définit sa politique, configure les contrôles et valide qu'ils répondent au contexte dans lequel elle va opérer.
Avant, pendant et aprèsUne action doit
Une action doit
avoir du sens
à chaque instant.
Quand l’action exige une revue
Définir ce qui nécessite l’intervention d’une autre personne, à quelle étape et avec quelle autorité. La conception de l’approbation fait partie du parcours.
Politique d'accèsAprès coup
Relier l’action aux enregistrements disponibles, à la modification effectuée et à la règle qui a orienté le résultat.
Historique et preuvesDeux personnes. Des responsabilités différentes.Une demande n'a pas besoin
Une demande n'a pas besoin
être l’approbation elle-même.
Testez la séparation entre
qui demande et qui révise.
Une lecture du principe des quatre yeuxPréparez.
Préparez.
Vérifiez.
Décidez.
L'IAM documente une politique de revue par une seconde personne pour les modifications d'accès sensibles couvertes par ce contrôle.
Lorsque la politique de l’organisation est activée, la modification génère une demande. La révision revient à une autre personne autorisée de la même organisation.
Ceci est un exemple local et illustratif. Il ne modifie aucune autorisation. La portée réelle dépend de la politique activée et des actions couvertes dans l’IAM.
Voir le périmètre documentéEXEMPLE / MODIFICATION D’ACCÈS SENSIBLECommande pas encore créée
Attribuer un rôle
à accès sensible.
Une personne fait la demande. Une autre personne autorisée la revoit, au sein de la même organisation.
DemandeurPrépare la demande
RéviseurVérifie et décide
Commencez par la personne A et préparez la demande.
Quand la question arrive : que s’est-il passé ?L’historique doit
L’historique doit
aider à raconter l’histoire.
Une modification prend tout son sens lorsqu'il est possible de relier qui a agi, ce qui a changé et quelle référence a été utilisée.
LECTURE ILLUSTRATIVE / SANS DONNÉES RÉELLESUn changement.
Un changement.
Plus d’une
question.
Les enregistrements proviennent des capacités responsables. L’exemple organise les questions auxquelles une investigation doit répondre.
Personne, système et organisation
Le contexte d'identité accompagne l'action selon le mécanisme utilisé.
Recours et modification
L’historique peut montrer l’état antérieur et ce qu’il est devenu ensuite.
Référence et version
Une évaluation peut être rattachée à la version publiée de la politique.
Événements effectivement enregistrés
La piste dépend des événements que chaque capacité publie. La couverture doit être vérifiée.
Audit Trail est en Bêta. Une durée de conservation déclarée ne signifie pas une suppression automatique ; la configuration, la collecte et les procédures opérationnelles doivent être actives. L'intégrité vérifiable de la piste comporte des limites documentées.
Consultez la couverture et les limitesLa gouvernance suit
le type de travail.
Une vue des accèsPersonnes, rôles
Personnes, rôles
et les statuts doivent
être compréhensibles.
Une interface aide l'équipe à vérifier qui participe à l'opération et à quelle condition. L'autorisation reste appliquée par la capacité responsable.
Interface de référence du guide Banking : prototype avec des données d’exemple. L’écran ne prouve pas la disponibilité de tous les flux présentés.
Découvrez la plateforme bancaireConsole / Personnes et accèsAgrandir ↗
Les capacités derrière les contrôlesChaque mécanisme a
Chaque mécanisme a
un rôle et un stade de maturité.
Explorez la finalité de la capacité
et consultez les limites avant d'intégrer.
IAMProduction↗API KeysProduction↗Decision EngineProduction↗Audit TrailBêta↗BiométrieAlpha↗Feature FlagsProduction↗
Identité et accès
Reconnaître la personne, l’organisation et les permissions qui accompagnent l’action.
Accès entre systèmes
Délimiter ce qu'une intégration peut consulter ou réaliser.
Des règles référencées
Identifier la version de politique utilisée lors d'une évaluation.
Historique des modifications
Consulter les événements publiés, avec le contexte de ce qui a changé.
Vérification d'identité
Associer l’évaluation et ses preuves à la session de vérification.
Changement par étapes
Contrôler l'exposition d'une fonction selon la configuration du produit.
Pour évaluer en toute clartéLa confiance aussi
La confiance aussi
c’est connaître le périmètre.
Disposer d'une piste signifie-t-il tout enregistrer ?
Non. La piste dépend des événements publiés par les capacités. Vérifiez quelles actions sont couvertes, si la collecte est activée et quels enregistrements sont disponibles dans votre composition.
Le principe des quatre yeux s’applique-t-il à toute action ?
Le mécanisme documenté dans l’IAM couvre les modifications d’accès sensibles prévues par la politique, lorsqu’elle est activée. L’approbation de paiements, de documents ou d’autres actions nécessite une conception et une validation spécifiques.
Un agent peut-il tout utiliser parce qu’il a reçu une instruction ?
Les instructions orientent le comportement. L’accès aux outils et aux actions nécessite des contrôles dédiés, configurés selon le rôle et le contexte dans lesquels l’agent intervient.
Définir une durée de conservation supprime-t-il déjà les enregistrements ?
Non. La documentation de l'Audit Trail distingue la politique déclarée de l'exécution de la procédure de suppression. L'opération doit configurer et suivre ce processus, en tenant compte des limites documentées.
Ces mécanismes garantissent-ils à eux seuls la conformité ?
Ils fournissent des ressources pour la conception des contrôles. La politique, la configuration, la couverture, l’exploitation et l’évaluation de leur suffisance dépendent du contexte de l’organisation. Ils n’équivalent pas à une certification automatique.
Par où commencer l'évaluation ?
Choisissez un parcours. Identifiez qui intervient, quelles informations sont utilisées, quelles actions exigent une révision et quels enregistrements doivent être disponibles. Confrontez ce besoin au stade de maturité et aux limites des capacités choisies.
Une autonomie qui rejoint la responsabilitéConstruisez la prochaine étape.