Sécurité des dossiers : qui est responsable ?

qu’ils connaissent les permissions de sécurité que chaque dossier et fichier devrait avoir.

Quand ils reçoivent un ticket de Help desk leur demandant de changer la sécurité d’un dossier, ces administrateurs sont supposés savoir si « Bob » devrait avoir accès au dossier Accouting. Or, il est irréaliste de penser cela. Je connais une société qui a élégamment contourné cette difficulté. Non seulement le département IT n’est plus chargé de la sécurité des fichiers et des dossiers, mais la règle interne interdit maintenant au personnel IT de changer les permissions des dossiers pour d’autres départements. J’explique le fonctionnement de ce modèle.

D’abord une question évidente : qui en sait le plus sur les fichiers qu’un département crée ? Ce département, bien entendu. Dans le modèle de ma société prise comme exemple, les utilisateurs sont chargés de placer leurs propres fichiers à l’endroit approprié sur le serveur de fichiers. Seuls les utilisateurs sont propriétaires des données de leurs fichiers. Comme l’administrateur junior, les utilisateurs sont formés à la sécurité des fichiers, à l’importance des rôles, et comment demander de l’aide si nécessaire.

Ce modèle convient pour les fichiers que les utilisateurs créent. Mais qui est responsable de l’ensemble des données du département ? Qui veille à ce que quelqu’un du service manufacturing ne puisse pas accidentellement accéder aux fichiers de la comptabilité? Le responsable devrait probablement être le vice-président ou le manager à la tête du département, mais souvent cette responsabilité est déléguée à un « gestionnaire de la sécurité des fichiers » dans le département. Cette personne est un expert en sécurité de fichiers du département et est chargée de s’assurer que les données de celuici sont en sécurité.

La société en question a même un rôle appelé Role Accounting File Security Manager, qui a l’accès à toutes les données du département Accounting. Si les utilisateurs ont besoin d’aide ou doivent poser une question, le Help desk est toujours à leur disposition. Mais il n’est plus question qu’un administrateur doive deviner s’il doit accorder à l’utilisateur l’accès à un dossier. Mais alors comment convaincre votre entreprise d’utiliser la sécurité basée sur les rôles ? L’encadré « Vendre la sécurité basée sur les rôles », recense quelques-unes des questions que vos dirigeants risquent de poser quand vous leur présenterez l’idée.