Posez la question à un dirigeant de PME : « combien de personnes ont accès à vos serveurs aujourd’hui ? » La réponse arrive vite, et elle est presque toujours fausse. Non par négligence, mais parce que personne n’a jamais fait la liste.
La gestion des accès est le domaine où l’écart entre ce qu’on croit et la réalité est le plus grand. Les comptes s’accumulent, les droits se rajoutent, personne ne retire jamais rien. Et le jour où quelqu’un regarde vraiment, il trouve des comptes actifs de collaborateurs partis depuis des années.
Qu’est-ce que le moindre privilège, sans jargon ?
Le principe tient en une phrase : chacun accède à ce dont il a besoin pour son travail, rien de plus. Le comptable accède à la comptabilité. Le commercial accède au fichier clients. Ni l’un ni l’autre n’a besoin d’accéder aux dossiers du personnel.
La première réaction est souvent gênée. Restreindre les accès donnerait l’impression de se méfier de ses employés. C’est un contresens, et il vaut la peine de le lever tout de suite.
Le moindre privilège ne protège pas de vos collaborateurs. Il protège de l’attaquant qui prendra un jour le contrôle d’un de leurs comptes. Un mot de passe volé lors d’un hameçonnage donne à l’attaquant exactement les droits de son propriétaire. Si ce compte n’ouvre qu’une partie de l’entreprise, l’incident reste circonscrit. S’il ouvre tout, l’incident devient une catastrophe.
C’est une logique de cloisonnement, la même que les portes coupe-feu dans un bâtiment. On ne les installe pas parce qu’on soupçonne les occupants d’être des incendiaires. On les installe pour que le feu ne se propage pas.
Une collaboratrice de l'administration ouvre une pièce jointe piégée. Dans une PME où son compte n'accède qu'à ses dossiers de travail, l'attaquant chiffre ces dossiers et l'entreprise restaure la veille. Dans une PME où elle est administratrice de son poste et où tous les dossiers du serveur sont ouverts à tous, le même clic donne accès à la comptabilité, aux contrats, aux données du personnel et aux sauvegardes accessibles depuis le réseau. Le clic est identique, la facture ne l'est pas.
Le compte administrateur, le multiplicateur de dégâts
Un compte administrateur est un compte qui a le droit de tout modifier sur une machine ou dans un service : installer des logiciels, changer les réglages de sécurité, créer ou supprimer d’autres comptes.
Dans beaucoup de PME, tout le monde travaille avec ce niveau de droits. Parfois parce que c’était plus simple à la configuration, parfois parce qu’un logiciel métier l’exigeait il y a dix ans et que personne n’a revérifié depuis.
Le problème est mécanique. Un logiciel malveillant s’exécute avec les droits de la personne qui l’a lancé. Ouvert depuis un compte standard, il est limité à ce que cette personne peut atteindre. Ouvert depuis un compte administrateur, il peut désactiver l’antivirus, s’installer durablement, se propager vers d’autres machines et effacer les sauvegardes locales.
La règle vaut pour tout le monde, dirigeant compris, et particulièrement pour la personne qui s'occupe de l'informatique. La bonne pratique est simple : deux comptes pour la même personne, un compte standard pour lire ses courriels et travailler, un compte administrateur séparé qu'on n'utilise que pour les tâches qui l'exigent. La messagerie et la navigation web ne s'ouvrent jamais depuis le second.
Que faire des comptes partagés d’équipe ?
Ils sont partout dans les PME. Une adresse info@ que trois personnes
consultent avec le même mot de passe. Un compte unique sur le logiciel de
gestion, parce que les licences supplémentaires coûtent cher. Un accès à la
banque en ligne « pour la compta ».
Ces comptes posent trois problèmes distincts.
Vous ne savez plus qui a fait quoi. Quand une facture est modifiée ou un virement préparé, le journal indique le nom du compte, pas celui de la personne. En cas d’erreur comme en cas de fraude, l’enquête interne s’arrête là.
Le mot de passe circule et survit aux départs. Il finit dans un courriel, sur un post-it, dans le téléphone personnel de quelqu’un. Quand une personne quitte l’entreprise, elle le connaît toujours, et personne ne le change parce que cela obligerait à prévenir tous les autres.
L’authentification à deux facteurs devient impraticable. Sur quel téléphone envoyer le code, si le compte appartient à quatre personnes ?
La solution n’est pas de supprimer l’usage collectif, mais de le séparer de l’identification. Chacun garde un compte nominatif, et on lui accorde un accès à la ressource commune. Pour une messagerie, cela s’appelle une boîte partagée et c’est disponible chez tous les fournisseurs sérieux. Pour un logiciel métier, c’est une question de licences à poser à l’éditeur.
Les prestataires et la télémaintenance
Votre informaticien, l’éditeur de votre logiciel de gestion, l’entreprise qui maintient votre système de badges : tous ont probablement un accès à distance à vos systèmes. Souvent créé lors de l’installation, souvent permanent, souvent jamais revu.
Ces accès méritent une attention particulière, parce qu’ils sont techniquement puissants et qu’ils échappent complètement à votre vue. Ils sont aussi une cible recherchée : compromettre un prestataire donne accès à tous ses clients d’un coup, un schéma détaillé dans notre article sur les attaques par la chaîne de fournisseurs.
Trois exigences raisonnables à formuler par écrit dans votre contrat.
L’accès est activé à la demande plutôt que permanent, ou au minimum protégé par une authentification à deux facteurs. Chaque intervenant dispose d’un compte nominatif plutôt que d’un compte générique partagé au sein du prestataire. Et vous pouvez consulter le journal des connexions sur simple demande.
Un prestataire compétent acceptera ces trois points sans difficulté. Une réticence est en soi une information utile.
Les comptes dormants, ce qu’on ne sait pas qu’on a
Le stagiaire de l’été 2021. Le compte de test créé pour valider une migration. L’accès au vieil outil de planification qu’on n’utilise plus mais dont le serveur tourne toujours. L’ancien directeur commercial parti en 2023, dont le compte a été « désactivé plus tard, sûrement ».
Ces comptes ont deux caractéristiques ennuyeuses : personne ne les surveille, et leur mot de passe n’a pas changé depuis des années. S’il figure dans une fuite de données publique, un attaquant peut s’y connecter sans que rien n’alerte personne, puisque plus aucun collègue ne remarquera d’activité anormale sur un compte que tout le monde a oublié.
C’est ici que se joue le point le plus honnête de cet article. Vous ne pouvez pas vérifier ce dont vous ignorez l’existence. Un dirigeant qui remplit consciencieusement une checklist de sécurité coche « accès maîtrisés » en pensant aux dix personnes de son organigramme. Il ne pense pas au compte de service créé par un prestataire en 2019, ni à l’accès resté ouvert sur le portail d’un fournisseur.
Quels accès couper au départ d’un collaborateur ?
C’est le moment où tout se voit. Voici la liste des accès à couper, y compris ceux que l’on oublie systématiquement.
| Catégorie | À couper | Souvent oublié |
|---|---|---|
| Informatique | Compte de session, messagerie, stockage en ligne | Comptes personnels sur des services professionnels |
| À distance | VPN, bureau à distance, accès depuis l’extérieur | Applications installées sur le téléphone privé |
| Applications | Logiciel métier, comptabilité, RH, e-banking | Portails de fournisseurs, assurances, caisses sociales |
| Partagé | Mots de passe communs à changer | Réseaux sociaux, site web, nom de domaine |
| Physique | Badge, clés, alarme | Téléphone professionnel, casier, coffre |
Cette liste a un jumeau, qu’on oublie plus souvent encore : celle de l’arrivée. Les mêmes accès s’ouvrent alors, et c’est le seul moment où les règles internes s’installent sans effort, comme le détaille notre article sur l’arrivée d’un nouveau collaborateur.
Deux réflexes valent mieux qu’une longue procédure. Constituez la liste avant le premier départ, pas pendant, et faites-la relire par la personne qui connaît le mieux l’informatique. Puis, à chaque départ, notez la date de coupure de chaque accès. Cette trace vous servira le jour où vous vous demanderez si le compte de quelqu’un a bien été fermé.
Comment faire une revue des accès une fois par an ?
Une revue annuelle est un exercice simple, qui demande une demi-journée dans une PME de vingt personnes. Elle se déroule en quatre temps.
Listez les services. Tous les endroits où votre entreprise possède des comptes : postes et serveurs, messagerie, logiciels métier, banque, site web, réseaux sociaux, stockage en ligne, accès à distance, portails externes. Ces accès à distance méritent une ligne à part dès qu’une partie de l’équipe travaille hors des locaux, un cas que nous traitons dans télétravail et appareils mobiles.
Demandez la liste des utilisateurs actifs à chaque service, ou exportez-la. C’est l’étape qui produit les surprises.
Confrontez cette liste à votre organigramme réel. Chaque compte doit correspondre à une personne présente aujourd’hui. Tout le reste est à supprimer, ou à documenter s’il s’agit d’un compte technique nécessaire.
Vérifiez les droits d’administration. Qui est administrateur, sur quoi, et pourquoi. La liste est presque toujours plus longue que prévu.
Une revue des accès ne se fait jamais « quand on aura le temps ». Mettez-la au calendrier à une date fixe, par exemple en même temps que le bouclement annuel, et confiez-la nommément à quelqu'un. Une tâche sans date et sans responsable n'existe pas.
Ces mesures constituent un socle solide, et elles sont à la portée de n’importe quelle PME sans budget particulier. Elles ne remplacent pas une analyse de votre situation : les accès qui comptent vraiment chez vous dépendent de votre métier, de vos flux et de vos prestataires, et certains ne figurent dans aucune liste générique. Un regard extérieur sert surtout à trouver ce que vous ne cherchiez pas.
Pour situer votre niveau actuel, le check-up cyber consacre plusieurs questions à la gestion des accès. La gestion des accès va de pair avec des sauvegardes hors d’atteinte et avec les obligations de sécurité prévues par la nLPD. L’ensemble des mesures prioritaires est regroupé dans le pilier Bonnes pratiques.