Famille de chaine de valeurs

Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

RESUME :
Ce présent manuel a pour objectif de décrire le processus de gestion de la
tierce maintenance applicative et de définir le cycle de vie d’une demande
d’accès des tierces parties ainsi que les responsabilités des différents
intervenants dans son traitement.

CLASSIFICATION DANS LE REFERENTIEL DES PROCESSUS

Famille de chaine de Valeur Famille de chaine de valeur de pilotage
Chaine de Valeur Gérer le système d’information
Processus Manuel de gestion de la tierce
maintenance applicative

Nom Fonction Date Signature

Rédigée par Krim Consultant IT 21/06/2021

Mohamed
Vérifiée par

Approuvée
par

Etat des modifications

Version Dates Nature des modifications Pages

Classification : CI- Interne

1
 Famille de chaine de valeurs
Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

Table des matières

Objet : ................................................................................................. 3
1- Domaine d’application ................................................................ 3
2- Terminologies et abréviations :................................................. 3
3- Evènements générateurs............................................................ 3
4- Description du processus : ........................................................ 4
4.1 Processus d’enrôlement ........................................................... 4
4.2 Processus d’approbation .......................................................... 9
5- Rôles et responsabilités ........................................................... 13
6- Archivage ................................................................................. 14
7- Schéma comptable.................................................................... 14
8- Surveillance permanente ......................................................... 14
a- Sécurité au quotidien :........................................................... 14
b- Supervision formalisée :........................................................ 14
9- Procédure détaillée .................................................................. 15

Classification : CI- Interne

2
 Famille de chaine de valeurs
Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

Objet :
L’objectif de ce manuel est de détailler le processus de traitement
et de prise en charge de toute demande d’accès distant des tierces
parties au SI de la SGCI à travers la TMA ainsi que les rôles et
responsabilités de chaque intervenant pour satisfaire cette dernière.

1- Domaine d’application
Ce processus s’applique pour la prise en charge et le traitement de
toute demande d’accès distant des parties tierces au SI de la SGCI.

2- Terminologies et abréviations :

RSSI : Responsable de la sécurité des systèmes d’information

RH : Ressources Humaines
SGCI : Société Générale Côte d’Ivoire
DOSI : Direction de l’Organisation et des Systèmes
d’Information
SI : Systèmes d’information
TMA : Tierce maintenance Applicative
GFR: Gestion des flux Réseaux (Workflow)
GDA : Gestion des accès (Workflow)

3- Evènements générateurs

Demande d’accès à distance

Classification : CI- Interne

3
 Famille de chaine de valeurs
Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

4- Description du processus :
Le processus de traitement et de prise en charge de toute demande
d’accès des tierces parties au SI de la SGCI à travers la TMA passe
par deux sous procéssus : le procéssus d’enrôlement et le processus
d’approbation

4.1 Processus d’enrôlement

Afin de permettre à la tierce partie d’accéder a distance au SI de la

SGCI, il est nécessaire que le partenaire ainsi que la ressource cible
soient enrôlés, le schéma ci-dessous détaille les différentes étapes
du processus d’enrôlement.

Classification : CI- Interne

4
 Famille de chaine de valeurs
Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

Classification : CI- Interne

5
 Famille de chaine de valeurs
Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

Etape 1 :
Un besoin d’accès distant est exprimé par une tierce partie, le
demandeur (Propriétaire de l’application) formule la demande pour
le compte du partenaire et l’envoie à l’équipe sécurité des systèmes
d’information.
Etape 2 :
Vérification de l’enrôlement du compte du partenaire au niveau du
bastion d’administration (Si le compte est enrôlé, aller a l’étape 12
sinon a l’étape 3).
Etape 3 :
Dans cette étape le propriétaire de l’application est chargé du
recensement des informations personnelles du partenaire en suivant
le tableau ci-dessous et les communique par la suite a l’équipe
sécurité des systèmes d’information.

AM Firstna lastna Birthda Birthna Gend User SG Entity Ciso

account me me te me er email entity CISO email
M/F SGCI

Etape 4 :
Envoi de la requête de création des comptes des partenaires au
niveau de l’AD groupe.
Etape 5 :
Réception des informations d’authentification des partenaires après
création des comptes.

Classification : CI- Interne

6
 Famille de chaine de valeurs
Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

Etape 6 :
Enrôlement du compte créé au niveau du bastion d’administration
Wallix suivants des informations relatives aux comptes créés
Etape 7 :
Envoie du guide TMA de première connexion au partenaire
Etape 8 :
Installation de l’application MFA (exemple InWebo) au niveau du
téléphone du partenaire par ce dernier.
Etape 9 :
Génération du code d’authentification du téléphone par
l’administrateur IAMAN et envoie de ce dernier au partenaire
Etape 10 :
Finalisation et validation de l’installation par le partenaire.

Classification : CI- Interne

7
 Famille de chaine de valeurs
Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

Etape 11 :
Envoie des informations d’authentification au partenaire (Si la
ressource cible est enrôlée aller à l’étape 17 sinon aller à l’étape 12)
Etape 12 :
Vérification de la création de la ressource actif à laquelle la tierce
partie souhaite accéder sur le bastion d’administration (Si la
ressource est créée, aller à l’étape 18 sinon à l’étape 13).
Etape 13 :
Saisie des demandes d’accès et d’ouverture de flux vers la zone
souhaitée sur workflow par le propriétaire de l’application.
Etape 14 :
Implémentation de la matrice des flux par les équipes réseau (Le
flux doit être ouvert depuis le bastion d’administration vers la
ressource souhaitée en RDP ou en SSH.
Etape 15 :
Création de comptes permettant aux tierces parties de s’authentifier
sur le système et lui attribuer les privilèges nécessaires
Etape 16 :
Configuration de la ressource sur le bastion WALLIX
Etape 17 :
Attribution des autorisations d’accès en veillant a :
 Permettre à la tierce partie d’accéder a la ressource avec les
privilèges nécessaires

Classification : CI- Interne

8
 Famille de chaine de valeurs
Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

 Ajouter les personnes qui doivent valider l’accès à votre

ressource (Propriétaire de l’application et le RSSI)
Etape 18 :
Accès à la ressource cible par le partenaire suivant le procéssus
d’approbation détaillé dans la suite du document.

4.2 Processus d’approbation

Pour permettre à la tierce partie d’accéder à distance au SI de la

SGCI, il est nécessaire que cette dernière effectue une demande
d’accès qui doit être validé par le propriétaire de l’application
suivant le processus d’approbation détaillé dans le schéma ci-
dessous
NB : le propriétaire de l’application désigné comme approbateur au
niveau du bastion d’administration Wallix doit ouvrir les flux depuis
son poste de travail vers la console d’administration pour pouvoir
gérer toute demande d’approbation

Classification : CI- Interne

9
 Famille de chaine de valeurs
Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

Etape 1 :
Le partenaire éffectue une demande d’approbation à la ressource
souhaitée suivant le guide d’utilisation communiqué au préalable.

Classification : CI- Interne

10
 Famille de chaine de valeurs
Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

Etape 2 :
Le propriétaire de l’application reçoit sous forme de notification sur
sa messagerie la demande d’approbation, ce dernier peut valider ou
autoriser l’accès. SI l’accès est autorisé aller à l’étape 6 sinon aller
à l’étape 3 après avoir configurer la durée d’accès souhaité et mis
les détails de la mission du partenaire en commentaires.
Dans cette étape le propriétaire de l’application peut à tout moment
consulter le RSSI pour identifier les risques induits par l’autorisation
de cet accès.
Etape 3 :
Accès à la ressource par la tierce partie.
Etape 4 :
Pour réduire les risques d’accès non autorisé, des contrôles
réguliers sur la sécurité des opérations de l’infrastructure au niveau
de bastion d’administration et sur les comportements suspects de
connexions à distance doivent être mis en place.
Pour une gestion efficace des traces des logs de bastion
d’administration, en plus de les sauvegarder localement, ces
derniers doivent être redirigés vers une solution type SIEM.
Etape 5 :
En cas de détection de comportement suspect de connexion à
distance (exemple connexion tardives, IP inhabituels,…), les étapes
suivantes doivent être suivies :
 Confirmer qu’éffectivement l’accès est suspect.

Classification : CI- Interne

11
 Famille de chaine de valeurs
Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

 Bloquer l’accès (Etape 6)

 Suivre la procédure de gestion des incidents de sécurité.
Etape 6 :
Dans cette étape, l’accès n’est plus autorisé à la ressource cible,
trois cas de figure se présentent :
 Refus de l’accès distant de la part du propriétaire de
l’application.
 Fin de session après écoulement du temps de mission attribué
 Fin de session par le RSSI suite à la détection d’une action
suspecte

Classification : CI- Interne

12
 Famille de chaine de valeurs
Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

5- Rôles et responsabilités

- Communiquer les informations nécessaires

pour la création de son compte
Tierce Partie
- Installer et configurer l’application cliente MFA
(exemple inwebo)
- Identifier les tierces parties et initier les
demandes d’accès distant.
Propriétaire de - Recenser les informations de tierces parties
l’application - Effectuer les demandes d’accès ainsi que les
matrix de flux via workflow pour permettre les
configurations des ressources
- Approuver ou non les accès des tierces parties
- Eclairer sur les risques relatifs à la demande
d’accès afin de faire valider une demande
RSSI d’accès
- Surveillance permanente ou périodique des
opérations et des accès
- Initier des demandes de création des comptes
au groupe
- Créer les comptes TMA et configurer les
ressources et les autorisations sur le bastion
Administration TMA
d’administration.
- Communiquer le guide d’utilisateur de la TMA
aux tierces parties ainsi que leurs informations
d’authentification
- effectuer les ouvertures de flux nécessaire
Administrateur Réseau
pour permettre la configuration des ressources

Classification : CI- Interne

13
 Famille de chaine de valeurs
Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

Administrateur - Création des comptes nécessaires à l’accès au

Système et niveau de la ressource cible pour permettre la
infrastructure configuration de cette dernière

6- Archivage
Néant

7- Schéma comptable
Néant

8- Surveillance permanente
a- Sécurité au quotidien :
Néant
b- Supervision formalisée :
Néant

Classification : CI- Interne

14
 Famille de chaine de valeurs
Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

9- Procédure détaillée

Processus d’enrôlement

Propriétaire de

Administrateur

Administrateur

Administrateur
Tierce Partie

infrastructure
l’application

Système et
Actions

Réseau
Etapes

Outils

TMA

RSSI
Demande d’accès Messagerie X
1

Vérifier que le compte du Bastion

X
partenaire est enrôlé d’administration
2

Recenser les informations du

Messagerie X
partenaire
3

Envoyer la demande de
Messagerie X
création au groupe
4

Réceptionner le compte crée Messagerie X

5

Enrôler le compte dans le

Bastion
bastion d’administration X
d’administration
Wallix
6

Envoyer le guide utilisateur

Messagerie X
au partenaire
7

Installer l’application MFA

Téléphone X
(Inwebo)
8

Générer le code de
IAMAN / e-mail
l’application et l’envoyer au X
+ SMS
partenaire
9

Valider l’installation Téléphone X

10

Classification : CI- Interne

15
 Famille de chaine de valeurs
Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

Envoyer des informations

d’authentification au Messagerie X
partenaire (Compte AD)
11

Vérifier que la ressource est Bastion

X
enrôlée d’administration
12

Propriétaire de

Administrateur

Administrateur

Administrateur
Tierce Partie

infrastructure
l’application

Système et
Actions

Réseau
Etapes

Outils

TMA

RSSI
Effectuer les demandes
d’accès et d’ouverture de
GFR /GDA X
flux vers la ressource
13

souhaitée
Ouvrir le flux depuis le
bastion d’administration vers GFR X
14

la ressource souhaitée
Créer le compte d’accès au
GDA X
niveau de la ressource cible
15

Configurer la ressource au
Bastion
niveau du bastion X
d’administration
16

d’administration Wallix
Attribuer les autorisations
Bastion
nécessaires pour l’accès à la X
d’administration
17

ressource
Bastion
Accès à la ressource X
d’administration
18

Processus d’approbation

Demande d’approbation Bastion X

d’administration
1

Approuver l’accès distant Bastion X

d’administration
2

Accès à la ressource Bastion X

d’administration
3

Classification : CI- Interne

16
 Famille de chaine de valeurs
Code
de pilotage
Gérer le système
Version 001
d’information
Manuel de gestion de la tierce
date 21/06/2021
maintenance applicative

Bastion X
Surveillance de l’accès
d’administration
4

Détecter les actions

Bastion X
suspectes
d’administration
5

Fin de la session Bastion X X

d’administration
6

Classification : CI- Interne

17