Vérifier qui a accès et qui se connecte réellement

Cet article s'adresse à toute personne qui doit répondre à la question « qui peut accéder à notre organisation » ou « qui utilise réellement son accès » — pour une revue de sécurité, un contrôle d'offboarding, ou un nettoyage général.

Aperçu

• Deux rapports distincts répondent à deux questions distinctes : qui a accès en ce moment, et qui s'est réellement connecté sur une période donnée.
• Ils sont volontairement séparés, car mélanger « en ce moment » et « sur une période » rend les deux plus difficiles à lire.
• Les deux sont conçus pour les audits : ils s'exportent proprement et chaque export est journalisé.

Vérifier qui a accès en ce moment

1. Ouvrez Access.

2. Consultez la liste de toutes les personnes pouvant accéder à cette organisation aujourd'hui, ainsi que leur rôle, si elles ont activé l'authentification à deux facteurs, et la date de leur dernière connexion.
3. Regardez d'abord le haut de la liste — les personnes sans authentification à deux facteurs sont affichées en premier, car c'est généralement ce qu'une revue recherche.
4. Si votre organisation utilise un fournisseur d'identité (comme Okta, Microsoft Entra ID ou Google Workspace), vérifiez le Statut affiché pour les personnes concernées — elles afficheront Signs in with et le nom du fournisseur au lieu de Off. Cela n'apparaît que lorsque le fournisseur est véritablement leur seul moyen de connexion ; toute personne pouvant encore utiliser un mot de passe conserve l'avertissement d'authentification à deux facteurs, avec le fournisseur mentionné à côté.
5. Faites défiler vers le bas pour voir les invitations en attente que personne n'a encore acceptées — les invitations expirées sont signalées. C'est ici que vous remarqueriez si quelqu'un est parti avant d'accepter une invitation.
6. Notez que « Last signed in: never » signifie exactement cela — il n'existe aucun enregistrement indiquant que cette personne se soit un jour connectée.

Vérifier qui s'est connecté sur une période

1. Ouvrez Sign-ins.
2. Choisissez une période — un mois, un trimestre ou une année.
3. Consultez la liste : pour chaque personne, vous verrez combien de fois elle s'est connectée, sur combien de jours distincts elle a été active, ainsi que le premier et le dernier de ces jours.
4. Commencez par le haut — les personnes sans aucune connexion sont listées en premier avec un zéro. C'est généralement la ligne la plus utile du rapport, car elle signale les comptes que personne n'a utilisés.
5. Utilisez « Days active » plutôt que le nombre total de connexions comme mesure principale — une personne qui se connecte huit fois en une matinée ne représente en réalité qu'une seule journée de travail.

NoteSi vous choisissez une période antérieure au début de la conservation des résumés de connexion par InfraNest, le rapport vous indiquera la date la plus ancienne à partir de laquelle il peut fournir des données, plutôt que d'afficher un mois de zéros.

Exporter un rapport pour un audit

1. Ouvrez Access ou Sign-ins.
2. Sélectionnez Export CSV pour télécharger les lignes exactement comme affichées — c'est généralement ce qu'une revue d'accès ISO 27001 ou SOC 2 souhaite joindre à un ticket.
3. Vous pouvez également sélectionner Print pour enregistrer le rapport au format PDF, avec la période et les filtres éventuels rappelés sur la page.
4. Pour partager la même vue avec un collègue, copiez le lien de la barre d'adresse — il ouvre le même rapport avec la même période.

TipChaque export est enregistré dans votre journal d'audit, il existe donc toujours une trace de qui a récupéré les preuves et quand.

Bon à savoir

• Les rôles sont définis par organisation. Une personne appartenant à deux de vos organisations peut être propriétaire dans l'une et lectrice dans l'autre — chaque rapport n'affiche que son rôle pour l'organisation dans laquelle vous vous trouvez actuellement.
• Supprimer une personne de l'organisation la retire immédiatement de Access, mais elle apparaîtra toujours dans Sign-ins pour les périodes où elle était effectivement connectée. Il s'agit d'un enregistrement historique, qui n'est pas réécrit après coup.