Modèles et enregistrements · ISO 27001 · Chapitre A.5.18
Registre de revue des droits d’accès ISO 27001
La vérification périodique que chaque personne dispose, dans chaque système, des droits dont elle a besoin et d’aucun autre, avec la décision du propriétaire.
En une phrase
Le registre de revue des droits d’accès atteste que les propriétaires de chaque système ont passé en revue, à intervalles réguliers, les utilisateurs et droits existants, et indique les modifications apportées ; c’est la preuve que demande la mesure 5.18 de l’ISO/IEC 27001:2022, qui exige d’attribuer, de revoir, de modifier et de retirer les accès conformément à la politique.
- Où la norme l’exige
- ISO 27001 · Chapitre A.5.18 Les chapitres suivent l’ISO/IEC 27001:2022 ; ceux qui commencent par « A. » sont des mesures de l’Annexe A, exigibles dans la mesure où la déclaration d’applicabilité les inclut.
- Type d’information
- Bonne pratique Preuve de la mesure 5.18 de l’Annexe A
- Qui le renseigne
- Propriétaire de chaque système L’informatique extrait les listes et applique les modifications
- Quand
- Selon la politique Par exemple, trimestrielle pour les accès à privilèges et semestrielle pour les autres
- Durée de conservation
- Fixée par l’organisme L’ISO/IEC 27001 ne fixe aucune durée : elle demande de décider de la conservation et de l’élimination des informations documentées (7.5.3). Couvrir le cycle de certification de trois ans permet de présenter l’historique au renouvellement.
Ce que demande la norme
Ce qu’exige ISO 27001 et ce qui est laissé à votre appréciation
La mesure 5.18 demande que les droits d’accès soient attribués, revus, modifiés et retirés conformément à la politique de contrôle d’accès (5.15). La revue périodique est la partie la plus souvent oubliée et celle qui génère le plus de constats.
La norme ne fixe pas la fréquence : l’organisme la décide selon le risque. L’usage est de revoir plus souvent les accès à privilèges que les accès ordinaires, et toujours après un changement de poste ou un départ.
Ce qui fait de la revue une preuve, c’est qu’elle soit réalisée par le propriétaire du système ou de la donnée, et pas seulement par l’informatique, et qu’elle laisse une trace de ce qui est maintenu et de ce qui est retiré.
Structure
Les champs que doit comporter le modèle
- Système ou application revu
- Date et période couverte
- Liste des utilisateurs et droits revus
- Réviseur : propriétaire du système
- Décision par utilisateur : maintenir, réduire, retirer
- Comptes génériques, de service et à privilèges, avec leur justification
- Modifications appliquées et date
Exemple
Exemple : revue trimestrielle des accès à privilèges
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| Système | Console d’administration du cloud |
| Période | Troisième trimestre 2026 · revue le 6 octobre |
| Réviseur | Directeur technique, propriétaire du système |
| Utilisateurs revus | 9 administrateurs et 2 comptes de service |
| Décisions | 7 maintenus · 1 réduit à la lecture seule · 1 retiré (changement d’équipe en juillet) |
| Comptes de service | Justifiés : sauvegardes et déploiement automatique |
| Modifications appliquées | 7 octobre 2026, confirmées par l’informatique |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- La revue est faite par l’informatique sans décision du propriétaire de la donnée.
- La liste est revue et signée, mais aucune modification n’est appliquée.
- Les comptes de personnes parties depuis des mois sont toujours actifs.
- Des comptes génériques partagés sans propriétaire ni justification.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1Les droits sont gérés par profil depuis le portail salarié.
- 2La revue périodique des accès et des privilèges par profil est enregistrée avec sa date et son réviseur.
- 3La sortie dans la fiche du salarié ferme automatiquement les accès au portail, à l’application et aux modules associés.
Questions fréquentes
Ce que l’on nous demande avant de commencer
À quelle fréquence faut-il revoir les accès ?
La norme ne le précise pas : c’est la politique de contrôle d’accès qui le fixe selon le risque. L’important est de respecter la fréquence que la politique elle-même déclare.
Suffit-il de revoir les accès au départ d’un salarié ?
Non. Le départ est un déclencheur, mais la revue périodique détecte ce qui échappe : changements de poste, droits temporaires jamais retirés ou comptes de service oubliés.
Tenez les enregistrements ISO 27001 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Fonctionnement
Le fonctionnement traduit l’appréciation des risques en mesures réelles : accès, chiffrement, sauvegardes et…
Modèle de déclaration d’applicabilité ISO 27001
Ce que doit contenir la déclaration d’applicabilité de l’ISO 27001 (6.1.3 d) : mesures nécessaires…
Modèle d’appréciation des risques de sécurité ISO 27001
Comment documenter l’appréciation des risques de sécurité exigée par l’ISO 27001 : critères d’acceptation…
Modèle de plan de traitement des risques ISO 27001
Ce que doit inclure le plan de traitement des risques de l’ISO 27001 (6.1.3 e) : option, mesures…
Sources
D’où vient chaque donnée
Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.
- ISO/IEC 27001:2022 — Systèmes de management de la sécurité de l’information. Exigences ISO/IEC · 25 octobre 2022
- ISO/IEC 27002:2022 — Mesures de sécurité de l’information ISO/IEC · Février 2022