Grille d'arbitrage IAM : conserver, compléter ou remplacer votre solution ?

Question centrale : Savons-nous quelles identités notre IAM doit gouverner et quelles sources font autorité ?

L'évaluation commence par l'identification des populations gérées : collaborateurs, prestataires, partenaires, identités techniques et autres catégories réellement concernées. Il faut déterminer quelles sources décrivent ces identités, comment elles sont rapprochées et quelles responsabilités sont associées à leur gestion. L'existence d'un référentiel central n'est pas suffisante si les identifiants, les règles de corrélation et les responsabilités ne sont pas maîtrisés.

Question centrale : Les événements d'arrivée, de mobilité et de départ produisent-ils les effets attendus ?

Le fonctionnement du cycle de vie doit être examiné de bout en bout, depuis la réception d'un événement dans une source jusqu'à sa prise en compte dans les systèmes cibles. L'analyse doit notamment porter sur les changements de situation, les exceptions, les délais de traitement et la gestion des erreurs. Un workflow correctement configuré ne suffit pas si les événements de référence ne sont pas fiables ou si les systèmes cibles ne prennent pas en compte les modifications.

Question centrale : Les règles d'attribution des droits correspondent-elles aux responsabilités et aux besoins métiers ?

La gouvernance des habilitations doit permettre d'expliquer pourquoi une identité dispose d'un accès. L'évaluation porte sur les rôles métiers et techniques, les règles fondées sur les attributs, les droits exceptionnels et les mécanismes de délégation lorsqu'ils sont pertinents. Un catalogue de rôles trop complexe peut être aussi difficile à exploiter qu'un modèle insuffisamment structuré.

Question centrale : Les habilitations peuvent-elles être demandées, validées, réexaminées et justifiées ?

La gouvernance des accès doit permettre d'organiser des décisions compréhensibles pour les managers, les responsables applicatifs et les propriétaires des ressources. L'analyse porte sur les circuits de validation, les campagnes de recertification, les exceptions et la production de preuves d'audit. La qualité des informations présentées aux décideurs doit être évaluée au même titre que la disponibilité des workflows.

Question centrale : Les incompatibilités d'habilitations et les droits sensibles sont-ils identifiés et maîtrisés ?

Une organisation doit pouvoir définir les combinaisons de droits incompatibles avec ses règles de contrôle, détecter les situations concernées et traiter les exceptions. La séparation des tâches ne se réduit pas à l'existence d'un moteur de règles : elle suppose des responsabilités, des arbitrages et des preuves de décision. Les droits sensibles nécessitent également une attention adaptée à leur impact opérationnel.

Question centrale : La plateforme peut-elle être intégrée durablement au système d'information réel ?

L'évaluation doit couvrir les applications déjà raccordées, les nouvelles cibles, les interfaces disponibles et les traitements nécessaires au provisioning et à la réconciliation. Les API, SCIM, annuaires, fichiers structurés, bases de données et traitements historiques constituent des possibilités d'intégration qui doivent être examinées selon les applications concernées. Le fonctionnement des reprises sur erreur et la maintenance des connecteurs sont aussi importants que leur développement initial.

Question centrale : La plateforme permet-elle de relier les identités, les comptes et les habilitations avec un niveau de fiabilité exploitable ?

La qualité du référentiel conditionne la pertinence des automatisations et des contrôles. Il faut examiner les identifiants, les doublons, les comptes orphelins, les écarts entre les droits attendus et constatés, ainsi que les mécanismes permettant de traiter ces anomalies. La réconciliation doit être considérée comme un processus de contrôle durable, et non comme une opération ponctuelle précédant une migration.

Question centrale : Chaque composant de l'architecture IAM remplit-il une fonction clairement définie ?

La gouvernance des identités, l'authentification, la gestion des privilèges et l'autorisation fine répondent à des besoins différents. L'analyse doit préciser quelle plateforme porte les processus d'identité et les droits gouvernés, quels composants sécurisent l'authentification et les sessions, lesquels contrôlent les accès privilégiés et où les décisions d'autorisation sont appliquées. La cohérence de cette répartition importe davantage que la concentration des fonctionnalités dans une seule solution.

Question centrale : La plateforme peut-elle être exploitée, surveillée et maintenue de façon durable ?

Un IAM en production dépend de la supervision de ses traitements, de la gestion des incidents, de la maintenance des connecteurs et de la capacité à faire évoluer les configurations. Les procédures de reprise, les environnements de test, les mises à jour et le traitement du backlog doivent également être examinés. Une plateforme fonctionnellement adaptée peut devenir difficile à exploiter lorsque ces activités ne sont pas suffisamment organisées.

Question centrale : L'architecture peut-elle accompagner les transformations de l'organisation sans multiplier les adaptations fragiles ?

Les fusions, nouvelles entités, évolutions des processus RH et nouveaux besoins applicatifs peuvent modifier profondément les attentes vis-à-vis de l'IAM. L'analyse doit mesurer la capacité de l'organisation à intégrer ces changements, adapter les règles et étendre les processus. Une attention particulière doit être portée aux développements spécifiques, à leurs dépendances et à leurs conséquences sur les évolutions futures.

Question centrale : L'organisation maîtrise-t-elle suffisamment son IAM pour en assurer le fonctionnement et les évolutions ?

La pérennité d'une plateforme dépend de sa documentation, de la compréhension de ses règles et de la capacité des équipes à prendre des décisions. L'évaluation doit porter sur les compétences internes, les responsabilités, les procédures d'administration, le support disponible et les dépendances aux prestataires. L'autonomie ne signifie pas nécessairement tout internaliser, mais disposer d'une maîtrise suffisante pour gouverner la plateforme et ses évolutions.

Question centrale : Quel scénario présente le meilleur équilibre entre les résultats attendus, les risques et les ressources mobilisées ?

L'arbitrage économique doit comparer les coûts de conservation, d'extension et de remplacement sur un horizon identique. Il doit intégrer les licences, l'intégration, les développements spécifiques, la maintenance, l'exploitation, les compétences nécessaires et les éventuels coûts de transition. Les bénéfices attendus doivent être documentés avec leurs hypothèses, sans attribuer artificiellement une valeur financière à des gains non démontrés.