Le compte de messagerie d’un dirigeant peut ouvrir la porte aux échanges commerciaux, aux réinitialisations de mots de passe et aux documents partagés. Commencez donc par identifier les comptes qui donnent accès aux autres : messagerie, annuaire, hébergeur, nom de domaine, sauvegarde et administration des applications.
Quand agir ? Dès les premiers jours
Ce chantier avance en parallèle du diagnostic et de la PSSI. Demandez qui possède les comptes, qui peut les récupérer et si l’entreprise garde la maîtrise de ses accès lorsqu’un salarié ou un prestataire part. Une adresse de récupération personnelle peut devenir une dépendance difficile à gérer.
Ce que change l’authentification multifacteur
Le MFA associe au moins deux catégories de facteurs, par exemple un secret connu et un élément possédé. Deux mots de passe successifs ne constituent donc pas deux facteurs distincts. La CNIL recommande de privilégier le MFA lorsque possible, notamment pour les accès depuis l’extérieur 1.
Faites choisir et configurer les méthodes adaptées aux outils utilisés. Prévoyez aussi la perte du téléphone, le changement de salarié et la récupération d’urgence. Activer une protection sans préparer son exploitation peut bloquer l’entreprise au moment où elle en a besoin.
Comment organiser les accès ?
Attribuez des identifiants personnels, puis définissez les droits par rôle métier. Un commercial, la comptabilité et un administrateur n’ont pas les mêmes besoins. Les privilèges élevés doivent être limités et les comptes d’administration séparés des usages ordinaires lorsque l’environnement le permet. La gestion des habilitations doit suivre les missions et leur évolution 2.
Notre proposition pour démarrer : créez une fiche par application avec le propriétaire métier, les administrateurs, la méthode de connexion, la récupération et la date de dernière revue. Gardez les secrets dans un outil approprié, avec des règles de partage maîtrisées.
Arrivée, changement de poste, départ
Faites valider les droits avant leur attribution. Lors d’un départ, préparez la désactivation des comptes, la révocation des sessions et des accès distants, la restitution des équipements et la transmission des informations professionnelles selon le cadre applicable. Vérifiez aussi les comptes techniques connus de la personne.
Exemple fictif : un prestataire a terminé sa mission, mais son compte cloud reste administrateur. La correction comprend la clôture de l’accès et une procédure pour que la prochaine fin de mission déclenche cette vérification.
Par qui, et pour quel budget ?
L’administrateur ou l’infogérant réalise le paramétrage ; la direction et les métiers valident les droits. Simulation pour une petite structure : deux jours à 900 € HT représentent 1 800 € HT, hors abonnements, clés matérielles et temps d’accompagnement des utilisateurs. Certaines fonctions sont déjà incluses dans vos licences, d’autres nécessitent une option : faites vérifier le contrat exact.
Ce qu’il faut contrôler ensuite
Testez une connexion normale, une récupération, une élévation de droits et la fin d’un accès temporaire. Demandez la liste des exceptions et leur justification. Le résultat attendu est simple : chaque personne dispose des accès nécessaires, et l’entreprise sait les retirer et les récupérer.