La responsabilité doit exister dans le système
Définir la propriété n’est utile que si vous pouvez reconstituer ce qui s’est réellement passé. Cela signifie connecter l’identité d’un agent à ses autorisations, actions, outils, sous-agents et résultat final.
Si quelque chose échoue, l’organisation doit être en mesure de comprendre ce qui s’est passé, pourquoi l’agent a été autorisé à le faire, quelles autorisations ont permis l’action, quel agent l’a réellement exécutée et où le contrôle a échoué. C’est ce qui rend la remédiation possible.
C’est pourquoi le suivi de l’identité, des autorisations et de l’exécution ne peut pas résider uniquement dans les documents de politique. Écrire qui est propriétaire d’un agent n’est pas la même chose que d’encoder cette propriété dans les systèmes qui le régissent. Dire à un agent de ne pas accéder à quelque chose n’est pas la même chose qu’en empêcher l’accès. Et demander aux équipes de reconstituer un incident par la suite n’est pas la même chose que de suivre l’exécution pendant que le système est en cours d’exécution.
