Qui a accès à quoi ? Le contrôle annuel des accès que chaque PME devrait faire

Demande dans une PME de quinze collaborateurs qui a accès au dossier clients partagé, et tu obtiens généralement un 'tout le monde, je pense' hésitant. Demande qui est administrateur du site web, et la réponse est une petite liste de noms dont deux ne travaillent plus là. Ce n'est pas de la négligence, c'est ainsi que fonctionnent les accès quand personne ne les gère : ils ne font que grandir. Chaque changement de fonction, chaque projet et chaque exception temporaire ajoute des droits. Personne ne les retire, faute de moment pour le faire. Cet article parle de ce moment : un contrôle annuel des accès, en cinq étapes, en une demi-journée.

Des accès qui ne font que grandir

Voici des situations que nous rencontrons dans presque chaque premier audit. Non pas parce que l'entreprise est mal organisée, mais parce qu'accorder un accès est un geste et le retirer une décision.

• Le stagiaire d'il y a deux ans est encore dans le dossier partagé, parce que son compte n'a jamais été fermé.
• L'ancien comptable a encore accès à la plateforme bancaire, car cette autorisation se trouvait chez la banque et pas chez l'IT.
• Tout le monde est administrateur du site web, parce qu'à un moment c'était plus simple pour publier une actualité.
• Un fournisseur a un accès VPN permanent pour un projet clôturé l'an dernier.
• Celui qui est passé de la vente à l'administration a maintenant les droits des deux fonctions.

Pourquoi cela compte

Tant que personne ne veut nuire, tu ne remarques rien. Mais des accès trop larges deviennent un problème dès qu'un compte tombe entre de mauvaises mains, ou qu'un ancien collaborateur garde une rancune.

• Un compte piraté donne à l'attaquant tout ce que ce compte peut atteindre. Ne donner que l'accès dont quelqu'un a besoin est la limitation des dégâts la moins chère qui existe.
• NIS2 et les assureurs cyber posent la question. 'Qui a accès à quoi, et quand cela a-t-il été vérifié pour la dernière fois ?' est devenu une question standard, et 'aucune idée' n'est pas une réponse.
• Le RGPD attend que les données personnelles ne soient accessibles qu'à ceux qui en ont besoin. Un ancien stagiaire dans le dossier clients est une fuite de données pas encore découverte.

Le contrôle annuel en cinq étapes

L'exercice lui-même n'est pas technique. L'essentiel est de le faire vraiment une fois par an.

1. Liste tous les systèmes. Pas seulement Microsoft 365 ou Google Workspace, mais aussi le logiciel comptable, le CRM, la plateforme bancaire, le site web, les réseaux sociaux, le gestionnaire de mots de passe, le VPN, la centrale d'alarme et les outils dont tu avais oublié l'existence.
2. Note par système qui a accès et à quel niveau : utilisateur ordinaire, administrateur ou lecture seule. N'oublie pas les externes : fournisseurs, le comptable, ton ancien informaticien.
3. Fais confirmer par chaque responsable si c'est encore correct. Le gérant pour la banque, l'office manager pour les dossiers partagés, le responsable marketing pour le site web. Ce n'est pas l'IT qui décide qui peut faire quoi, c'est le propriétaire du système.
4. Retire ou réduis. Ce qui n'est plus nécessaire disparaît. Qui a trop de droits en reçoit moins. En cas de doute, réduis d'abord et vois si quelqu'un s'en plaint. Cela arrive rarement.
5. Documente la date et les décisions. Un simple onglet suffit : système, qui, quel niveau, contrôlé le, par qui. L'an prochain, tu repars de cette liste, et lors d'un audit, tu as tout de suite une preuve.

Des outils qui facilitent la tâche

Pas besoin de papier. La plupart des plateformes que tu paies déjà l'affichent de manière centralisée.

• Microsoft 365 et Google Workspace ont un centre d'administration où tu vois par utilisateur quelles licences, quels groupes et quels dossiers partagés lui sont liés, et qui est administrateur.
• Un gestionnaire de mots de passe avec des coffres partagés montre qui peut voir quels identifiants. Celui qui part disparaît du coffre et les mots de passe sont renouvelés. Plus d'infos dans un gestionnaire de mots de passe pour ton équipe.
• Le SSO (single sign-on) là où c'est possible : fais connecter tes outils via ton compte Microsoft ou Google, et fermer un seul compte suffit pour être bloqué partout.
• Pour les systèmes sans vue centrale, comme la plateforme bancaire ou le site web, la liste de l'étape deux est ta seule source. Tiens-la à jour.

Combien de temps cela prend-il pour quinze collaborateurs ?

De manière réaliste : une demi-journée, une fois par an. La première fois un peu plus, car tu dois encore construire la liste des systèmes et tu feras sans doute plus de ménage que prévu. Lie-le à un moment fixe, par exemple juste après la clôture annuelle. Et relie-le aux deux moments où les accès changent : quand quelqu'un commence et quand quelqu'un part. Qui fait bien ces deux-là a peu à retirer lors du contrôle annuel.

Ce qu'un partenaire IT prend en charge

Chez les clients dont nous assurons la gestion, le contrôle annuel des accès fait partie intégrante du service. Nous construisons la liste des systèmes et la tenons à jour, extrayons les accès actuels des plateformes, les présentons par responsable, appliquons les modifications et livrons la documentation. Ton rôle se limite à confirmer ce qui est encore correct et à trancher en cas de doute. C'est une heure de ton temps, pas une demi-journée. Et c'est exactement la preuve que NIS2 et les assureurs veulent voir.