Un journalisme utile pour comprendre, gérer et développer une entreprise.
RechercherOrganisez les accès des employés et des fournisseurs en quatre étapes : identifier les comptes et les responsables, renforcer l'authentification, limiter les permissions et révoquer les accès lorsqu'ils ne sont plus nécessaires.
Gérer les accès ne consiste pas seulement à choisir des mots de passe sécurisés : cela implique de savoir qui possède un compte, comment il prouve son identité, ce qu'il peut faire et comment son accès est retiré lorsque sa relation avec l'entreprise change. Pour une PME, commencer par ces questions permet d'organiser les contrôles sans les confondre avec un inventaire général des applications ou avec une évaluation des fournisseurs.
L'objectif est de transformer la gestion des identités et des accès —connue sous le nom d'IAM— en un processus couvrant tout le cycle de vie de chaque compte : création, modifications des permissions, révisions et suppression. Ce checklist sert de guide opérationnel ; il ne remplace pas une évaluation des risques ni ne détermine à lui seul la conformité réglementaire.
Avant de décider qui a besoin d'un accès, rassemblez dans un inventaire les identités et les comptes qui existent déjà. Ne vous limitez pas à ceux des employés : prenez également en compte les contractants, les fournisseurs et d'autres personnes externes ayant accès aux systèmes de l'entreprise.
Pour chaque compte, enregistrez, au minimum :
Associer les comptes à une personne ou à une identité aide à localiser les comptes orphelins —sans responsable clair— et à éviter que les accès survivent à un changement de poste ou à la fin d'un contrat. S'il existe des comptes partagés, notez qui les utilise et qui en répond ; lorsque c'est viable, privilégiez les comptes individuels pour améliorer la traçabilité.
Tous les comptes ne nécessitent pas le même ordre de révision. Commencez par ceux qui contrôlent d'autres accès ou permettent d'accéder à des informations et des systèmes sensibles :
La priorité est une façon d'organiser le travail, pas une garantie que les autres comptes soient dépourvus de risque. Incluez également les identités des fournisseurs et des contractants, et vérifiez si leur accès est toujours nécessaire et qui, au sein de l'entreprise, le parraine.
L'authentification vérifie que la personne qui se connecte est bien celle qu'elle prétend être. Pour les comptes à fort impact, activez l'authentification multifacteur (MFA) dès que le service le permet. Les sources soulignent en particulier le courriel, les comptes administratifs, l'accès à distance, les finances et les ressources cloud ou contenant des données sensibles.
L'inventaire devrait consigner quelle méthode d'authentification protège chaque compte et signaler les comptes critiques qui ne disposent pas encore de MFA. Ainsi, l'entreprise peut identifier des lacunes concrètes et prioriser leur correction. Le MFA renforce la vérification, mais ne remplace pas la révision des permissions ni le processus de suppression.
L'autorisation définit les actions qu'une personne peut effectuer une fois à l'intérieur. Vérifiez si les permissions correspondent à ses tâches actuelles et supprimez celles dont elle n'a plus besoin. Appliquer le principe du moindre privilège signifie accorder uniquement l'accès nécessaire au travail, au lieu de maintenir des permissions larges par commodité.
Lorsque les postes et les responsabilités le permettent, le contrôle d'accès basé sur les rôles (RBAC) aide à attribuer des permissions selon des fonctions définies. Vérifiez que les rôles reflètent les responsabilités réelles et examinez les exceptions : un changement de poste, une tâche temporaire ou un projet peuvent justifier un ajustement, mais pas nécessairement une permission permanente.
Portez une attention particulière aux comptes privilégiés. Enregistrez qui peut les utiliser, pour quels systèmes et avec quelle justification ; évitez que ces droits restent associés à des personnes qui n'exercent plus la fonction correspondante. Si une tâche ne nécessite d'élever les privilèges que pendant une période limitée, envisagez que l'accès soit temporaire lorsque les systèmes et les processus de l'entreprise le permettent.
Un contrôle d'accès ponctuel perd son efficacité s'il n'est pas mis à jour lorsque les personnes ou leurs fonctions changent. Définissez qui communique et qui exécute chaque étape dans ces situations :
Incluez dans le processus les comptes de tiers et les sessions actives le cas échéant. Les responsabilités et les délais concrets dépendront de l'organisation de chaque entreprise ; les sources disponibles n'établissent pas de délai universel pour exécuter les suppressions.
Assignez à une personne responsable la tâche de réviser périodiquement l'inventaire et de confirmer que les comptes, les permissions et leurs propriétaires restent corrects. La fréquence peut être définie selon la criticité des accès et la capacité de l'entreprise, mais il doit être établi quand la révision a lieu et qui résout les écarts.
Conservez des registres des créations, des modifications, des approbations et des suppressions, ainsi que de l'activité disponible dans les systèmes. Cette traçabilité permet de reconstituer qui avait accès et quels changements ont été effectués. Elle peut également faciliter les audits et soutenir la gestion des exigences applicables, bien que la conservation de registres ou la mise en œuvre de l'IAM ne démontre pas à elle seule la conformité à une norme.
La gestion des accès fonctionne comme une chaîne : identité, authentification, autorisation et révocation. Si l'une de ces parties est négligée, des comptes sans propriétaire, des permissions excessives ou des accès inutiles peuvent persister. Pour une PME, un inventaire avec des responsables, des priorités claires et des révisions périodiques offre une base pratique pour maintenir ce cycle sous contrôle.
Les normes et cadres tels que NIS2 et ISO 27001 peuvent prévoir des exigences liées à la sécurité et à la gestion des accès. Leur application concrète dépend du domaine, de l'entité et des exigences pertinentes ; ce checklist n'est pas une interprétation juridique ni une déclaration de conformité.
Un guide pratique pour définir, mesurer et évaluer la performance des processus automatisés. Apprenez à établir des lignes de base, à sélectionner des indicateurs d'effort, de qualité et de coût, et à calculer le ROI réaliste pour décider de maintenir, d'ajuster ou de réverser l'automatisation.
Lire
Une stratégie de sauvegarde utile commence par hiérarchiser les informations et déterminer quelle perte de données et quelle durée d’interruption l’entreprise peut tolérer. Cela permet de définir la fréquence, le stockage et les tests de restauration.
Lire
Guide pratique à l’intention des PME espagnoles qui souhaitent tester rigoureusement des solutions numériques. Apprenez à définir des critères de réussite, à mesurer l’adoption réelle et à distinguer la facilité d’utilisation de la valeur opérationnelle afin de décider s’il faut généraliser l’investissement, l’ajuster ou y renoncer.
Lire