Dans la plupart des PME, oui, et sans que personne l'ait décidé. Les droits s'ajoutent à chaque changement de poste, à chaque remplacement pendant un congé, à chaque projet transversal, et ils ne sont pratiquement jamais retirés ensuite.
Au bout de quelques années, une personne qui a occupé trois fonctions cumule les accès des trois. Ce n'est pas un problème de confiance, c'est un problème de mémoire collective, et il se corrige avec une revue annuelle plutôt qu'avec un outil.
Comment la dérive s'installe
Le mécanisme est toujours le même et il est parfaitement rationnel à chaque étape. Quelqu'un change de service, on lui ouvre les accès de son nouveau poste, et on ne ferme pas les anciens parce qu'il finit le mois en cours sur ses dossiers en cours.
Un collaborateur remplace un collègue en congé, on lui donne les droits nécessaires, et le retour de vacances ne s'accompagne d'aucun retrait.
Un projet réunit des personnes de plusieurs services, on crée un partage accessible largement pour aller vite, et le partage survit au projet.
Aucune de ces décisions n'est fautive. C'est leur accumulation, sans jamais de mouvement inverse, qui produit une situation où plus personne ne sait qui accède à quoi.
Pourquoi cela compte au-delà de la théorie
Le premier effet se voit lors d'un incident. Un compte compromis donne accès à tout ce que cette personne a accumulé, et non à ce dont elle a besoin. La différence entre les deux détermine l'ampleur de l'incident.
Le second effet concerne les données sensibles. Les dossiers de paie, les données de santé du service du personnel et les conditions commerciales sont typiquement des périmètres où un accès élargi par commodité pose un problème réglementaire autant que de confidentialité.
Le troisième effet est humain. Un salarié qui découvre qu'il pouvait consulter des informations qui ne le concernaient pas se sent rarement à l'aise, et l'employeur non plus.
Raisonner par fonction plutôt que par personne
L'erreur fréquente consiste à attribuer les droits individu par individu. La liste devient vite ingérable et personne ne sait plus pourquoi telle personne a tel accès.
L'approche par fonction consiste à définir ce dont a besoin un poste, comptabilité, achats, atelier, commerce, puis à rattacher les personnes à ces ensembles. Un changement de poste devient alors un changement de rattachement, ce qui retire les anciens droits automatiquement.
Dans une PME, cinq à huit ensembles suffisent généralement à couvrir toute l'organisation. Les cas particuliers restent traités individuellement, à condition qu'ils demeurent des cas particuliers et non la règle.
Les trois moments qui déclenchent une action immédiate
La revue annuelle traite la dérive de fond, mais trois événements n'attendent pas.
L'arrivée d'un collaborateur, où le rattachement à sa fonction donne d'emblée le bon périmètre, ni plus ni moins.
Le changement de poste, qui est le moment le plus souvent manqué. La règle utile consiste à fixer une date de fin aux anciens accès dès l'ouverture des nouveaux, plutôt que de compter sur une décision ultérieure.
Le départ, enfin, qui doit fermer les accès le jour même. Cela inclut la messagerie, les applications en ligne payées par carte bancaire du service, l'accès distant et les partages avec des tiers, autant de choses qui échappent souvent à la procédure de sortie.
Les comptes qui n'appartiennent à personne
Les comptes partagés d'un service, les comptes techniques créés lors d'une installation et les accès génériques du type accueil ou atelier posent un problème particulier. Personne n'en est responsable, donc personne ne les revoit, et leur mot de passe ne change jamais.
Leur suppression n'est pas toujours possible, certaines applications anciennes ne fonctionnant pas autrement. Ce qui est possible en revanche est de leur attribuer un responsable nommé, de consigner qui en connaît le mot de passe, et de le changer au départ de chacune de ces personnes.
Mener la revue annuelle sans y passer la semaine
La revue efficace ne se fait pas devant un tableau technique. Elle se fait avec les responsables de service, à qui l'on présente la liste des personnes de leur équipe et ce à quoi elles accèdent, en langage compréhensible.
La question posée est simple, cette personne a-t-elle encore besoin de cela pour son travail actuel. Les responsables répondent vite, parce qu'ils connaissent leur équipe.
Une demi-journée par an suffit dans une PME de quelques dizaines de personnes, et ce qui compte davantage que l'exhaustivité est la trace écrite, avec la date, les personnes examinées et les retraits décidés. C'est cette trace qui permet de constater la dérive d'une année sur l'autre.
Questions fréquentes
À quelle fréquence revoir les droits d'accès dans une PME ?
Une revue par an est une base sérieuse pour une petite structure, à condition qu'elle soit réellement conduite et consignée. Les périmètres les plus sensibles, paie et données du personnel notamment, gagnent à être revus deux fois par an. En revanche, les départs et les changements de poste se traitent immédiatement et n'attendent pas la revue.
Faut-il un outil pour gérer les droits d'accès ?
Pas dans une PME de quelques dizaines de personnes. Un tableau listant les fonctions et les accès correspondants, tenu à jour et relu une fois par an, produit l'essentiel du résultat. L'outil devient utile quand le nombre d'applications et de personnes rend la relecture manuelle impraticable.
Que faire des comptes partagés entre plusieurs personnes ?
Les supprimer quand l'application permet des comptes nominatifs, ce qui est le cas de la plupart des logiciels récents. Quand ce n'est pas possible, désignez un responsable nommé pour chaque compte, consignez qui en connaît le mot de passe, et changez ce mot de passe au départ de l'une de ces personnes.
Comment traiter les accès lors d'un changement de poste ?
En fixant une date de fin aux anciens accès au moment même où les nouveaux sont ouverts, plutôt qu'en comptant sur une décision ultérieure qui n'arrive jamais. Un délai de quelques semaines permet de terminer les dossiers en cours, et la fermeture devient automatique plutôt que dépendante de la mémoire de quelqu'un.