Posez la question à une direction de PME : qui a aujourd'hui accès à la comptabilité, aux sauvegardes, au nom de domaine, à la boîte de contact ? La réponse honnête est presque toujours « il faudrait regarder », et c'est exactement le problème.
Le document le plus utile de l'entreprise, et personne ne l'a
Une page. Une colonne par système, une ligne par personne, et la date de la dernière vérification. Rien de plus.
Ce document sert trois fois : le jour d'un départ, le jour d'un incident, et le jour où un client ou un assureur demande comment vous gérez vos accès. Dans les trois cas, son absence coûte des heures et de la crédibilité.
Il ne s'écrit pas une fois, il se vérifie. Une liste d'accès datant de deux ans décrit une entreprise qui n'existe plus, et elle est plus dangereuse qu'aucune liste, parce qu'on lui fait confiance.
Les six accès qu'on oublie systématiquement
Le compte de messagerie et l'ordinateur sont toujours traités. Ceux ci, presque jamais.
Le nom de domaine
Souvent enregistré au nom d'une personne partie depuis longtemps, parfois chez un ancien prestataire. C'est l'accès dont la perte est la plus grave et la plus difficile à rattraper.
Les accès de sauvegarde
Celui qui peut restaurer peut aussi effacer. Cet accès mérite un traitement séparé de tous les autres.
Les comptes des services tiers
Outils de facturation, de signature, de messagerie de groupe, de réseaux sociaux. Ils s'accumulent et personne n'en tient la liste.
Les clés d'accès techniques
Les jetons donnés à un prestataire ou à un outil, qui continuent de fonctionner après la fin de la relation.
Les accès physiques
Badges, clés, codes d'alarme. Ils relèvent du même problème et se traitent dans la même liste.
Les partages personnels
Un document partagé depuis un compte privé continue de l'être après le départ, sans que rien ne le signale.
Le jour d'un départ, dans l'ordre
La liste écrite d'avance transforme une journée de fouille en vingt minutes.
Couper d'abord ce qui touche l'argent et les données : comptabilité, banque, sauvegardes, administration du site. Ensuite la messagerie, en la redirigeant plutôt qu'en la supprimant, pour ne pas perdre les réponses des clients. Ensuite les services tiers, un par un, dans la liste. Enfin les accès physiques.
Et une chose qui se fait rarement : changer les mots de passe partagés. Un compte utilisé par plusieurs personnes ne se révoque pas, il se change, et si personne ne le fait, la révocation n'a pas eu lieu.
Le test qui mesure vraiment : une personne fictive part demain. Combien de temps vous faut il pour établir la liste de ce qu'elle pouvait ouvrir ? Si c'est plus d'une heure, la liste n'existe pas.
Ce qui rend la liste tenable dans le temps
Une liste qui exige d'être mise à jour à la main ne l'est pas. Trois gestes la rendent réaliste.
La rattacher à l'arrivée, pas au départ. Le moment où l'on donne un accès est le seul où l'on sait exactement ce qu'on donne. L'inscrire prend dix secondes ; le retrouver ensuite prend une heure.
Fixer une revue périodique courte. Vingt minutes deux fois par an, avec une date dans le calendrier et une personne nommée. Sans date et sans nom, elle n'a jamais lieu.
Préférer les accès nominatifs aux comptes partagés partout où c'est possible. Un compte partagé ne se révoque pas et ne dit pas qui a fait quoi.
Ce que nous faisons
L'inventaire des accès existants, y compris ceux que personne n'a en tête, et la liste d'une page. C'est inclus dans l'audit de sécurité, qui est offert et rendu sous 48 heures.
Puis, si vous le souhaitez, la mise en place des accès nominatifs et de la revue périodique : de 2 000 à 6 000 francs selon le nombre de systèmes et de personnes.
Qui a encore accès ?
Inventaire des accès inclus dans l'audit de sécurité, offert sous 48 heures
Demander un audit gratuit