Nouveau collaborateur : la checklist d'onboarding IT pour un premier jour sécurisé

Un nouveau collègue commence lundi. L'ordinateur portable n'est pas encore là, le compte est créé 'vite fait' et comme la boîte mail ne fonctionne pas encore, quelqu'un envoie les premiers documents vers une adresse privée. Cela paraît anodin, mais le premier jour détermine la façon de travailler pour des années. Celui qui reçoit un mot de passe partagé 'pour l'instant' le jour un l'utilise encore un an plus tard. C'est pourquoi, chez nos clients, nous considérons l'onboarding comme un moment de sécurité, pas comme une corvée administrative. Voici la checklist que nous utilisons, en trois phases.

Pourquoi le premier jour compte autant

Les nouveaux collaborateurs veulent bien commencer. Ils font ce qu'ils voient et ce qu'on leur dit, surtout la première semaine. C'est une occasion : si la manière sûre est dès le départ la manière normale, il n'y a rien à désapprendre plus tard. Dans la pratique, nous constatons que la plupart des mauvaises habitudes dans une PME ne viennent pas de mauvaise volonté, mais d'un premier jour où rien n'était prêt et où tout le monde improvisait.

• Le mot de passe partagé qui était 'juste pour l'instant' traîne encore dans le même chat trois ans plus tard.
• Celui qui travaille avec son mail privé le jour un a, après un mois, des données clients sur un compte que tu ne gères pas.
• Celui qui a reçu tout de suite des droits d'administrateur parce que c'était plus simple les a encore à son départ.

Une semaine avant : tout prêt avant le premier jour

L'essentiel du travail d'un bon onboarding se fait avant que le nouveau collègue franchisse la porte. Compte environ une heure de préparation, répartie sur la semaine précédente.

1. Crée le compte au nom de la personne. Pas de 'info@' et pas de réutilisation du compte du prédécesseur. Une personne, un compte : tu sais toujours qui a fait quoi.
2. Attribue les droits selon la fonction, pas 'tout comme le collègue'. Note par fonction quels dossiers, outils et boîtes mail sont nécessaires et utilise cette liste comme point de départ.
3. Prépare l'ordinateur portable et veille à ce qu'il soit géré : chiffré, avec mises à jour automatiques, antivirus et la possibilité de l'effacer à distance en cas de perte.
4. Règle les licences : Microsoft 365 ou Google Workspace, le logiciel comptable, le CRM. Une licence commandée le jour un, c'est une journée perdue et une invitation à improviser.
5. Donne accès uniquement aux dossiers et outils nécessaires. On peut toujours en ajouter, et c'est bien plus simple que de retirer après coup.

Le jour 1 : configurer ensemble, pas transférer un mode d'emploi

Le premier jour lui-même, compte environ une heure et demie, de préférence avec quelqu'un qui l'a déjà fait. Transférer un manuel ne fonctionne pas. S'asseoir ensemble à la table, oui.

1. Configurez ensemble l'authentification multifacteur (MFA), sur l'ordinateur et dans l'application sur le téléphone. C'est le moment où cela se fait, sinon cela ne se fait jamais.
2. Installe le gestionnaire de mots de passe et crée tout de suite les premiers identifiants depuis le coffre. Ainsi, personne ne commence avec un mot de passe qu'il utilise aussi à la maison.
3. Prends vingt minutes pour le phishing : comment reconnaître un faux mail, que faire en cas de doute et à qui le signaler. Notre article sur reconnaître le phishing et que faire si quelqu'un a cliqué est un bon point de départ.
4. Parcours la politique IT d'une page et fais-la non seulement signer, mais aussi comprendre.
5. Connecte le téléphone personnel au mail professionnel uniquement si l'appareil est géré. Sinon, fournis un téléphone d'entreprise, ou pas de mail sur le téléphone.

Après le premier mois : ajuster

Un onboarding n'est terminé que lorsque tu l'évalues. Prévois un quart d'heure après un mois.

1. Revois les droits. Le nouveau collègue a-t-il entre-temps reçu 'rapidement' un accès supplémentaire ? Est-ce encore nécessaire ?
2. Demande ce qui ne fonctionne pas. Les étapes lourdes sont contournées, et les contournements sont des failles de sécurité.
3. Planifie une formation. Une courte session de sensibilisation ou un module sur le travail sécurisé, de préférence pour toute l'équipe.

Le moindre privilège, et ce que tu ne fais surtout pas

Le principe derrière cette checklist s'appelle le moindre privilège : chacun reçoit exactement l'accès dont il a besoin pour son travail, pas plus. Un compte piraté ne peut être utilisé que pour ce qu'il a le droit de faire. Moins c'est, plus les dégâts sont limités. Ce n'est pas de la méfiance envers tes collaborateurs, mais une protection : qui n'est pas administrateur ne peut rien casser par accident.

• Ne partage pas de comptes. Ni temporairement, ni pour la boîte mail partagée. Il existe pour cela des boîtes partagées avec identifiants individuels.
• Ne donne pas de droits d'administrateur parce que c'est pratique. Un administrateur qui clique sur un mail de phishing livre d'un coup toute la maison à l'attaquant.
• Pas de mot de passe sur un post-it, pas de mot de passe dans un mail ou un chat.

Le miroir : qui onboarde bien, offboarde facilement

Tout ce que tu fais proprement le jour un est récompensé le jour où quelqu'un part. Un compte au nom de la personne, des droits par fonction, un ordinateur géré et des identifiants dans un coffre partagé : l'offboarding devient alors une affaire d'une demi-heure au lieu d'une chasse à qui a encore accès à quoi. Consulte donc aussi notre checklist pour le départ d'un collaborateur.