Il y a un moment, dans la vie d’une entreprise, où transmettre une règle de sécurité ne coûte presque rien : le premier jour d’un nouveau collaborateur.
Ce jour-là, la personne écoute. Elle découvre les outils, les habitudes de la maison, la machine à café et le classement des dossiers. Elle n’a pas encore inventé sa méthode pour contourner ce qui l’agace. Tout ce qu’on lui dit s’installe comme la façon normale de faire.
Six mois plus tard, la même consigne devient une correction. Elle arrive après coup, elle vise une habitude déjà prise, et elle est vécue comme un reproche. Le contenu est identique, l’effet ne l’est pas.
Pourquoi le jour 1 est-il si efficace ?
Un nouvel arrivant n’a aucune raison de résister. Il n’a pas d’ancienneté à défendre, pas de procédure qu’il trouvait plus pratique avant, pas de mot de passe qu’il réutilise depuis quatre ans sur cet outil précis.
Il observe surtout une chose : ce que fait l’équipe. Si le premier jour on lui installe un gestionnaire de mots de passe et qu’on lui explique pourquoi, il comprendra que c’est ainsi qu’on travaille ici. Si on lui donne un mot de passe partagé sur un papier en lui disant que « c’est plus simple pour l’instant », il comprendra cela tout aussi bien.
L’accueil ne transmet pas seulement des consignes. Il transmet le niveau d’exigence de la maison. C’est le prolongement direct de ce que nous décrivons dans notre article sur pourquoi sensibiliser ses collaborateurs : la sensibilisation ne commence pas à la première séance de formation, elle commence à la remise du badge.
Que faut-il régler le premier jour ?
Cinq points suffisent. Ils tiennent en une demi-heure si la partie technique a été préparée avant l’arrivée.
Les comptes créés avec les bons droits, et pas plus. Chaque personne dispose d’un compte nominatif, jamais d’un compte partagé, et accède uniquement à ce dont son poste a besoin. Un comptable n’a pas à ouvrir les dossiers du personnel, un commercial n’a pas besoin des accès administrateur du serveur. Ce principe porte un nom, le moindre privilège, et il est détaillé dans notre article sur la gestion des accès.
La double authentification activée tout de suite. Il s’agit du deuxième facteur de vérification, en général un code sur le téléphone, qui s’ajoute au mot de passe. Activée le premier jour, elle passe pour une évidence. Imposée un an plus tard, elle passe pour une contrainte nouvelle. C’est la mesure qui bloque le plus grand nombre d’attaques automatisées, et nous lui consacrons un article complet sur la double authentification.
Le gestionnaire de mots de passe installé et expliqué. C’est un coffre-fort logiciel qui retient les mots de passe à la place de l’utilisateur. Installé le jour 1, il évite que la personne prenne l’habitude de réutiliser son mot de passe personnel sur les outils de l’entreprise. Une fois cette habitude prise, elle ne se défait plus.
La charte remise et expliquée. Pas seulement signée. Trois minutes suffisent pour dire ce qui est permis sur le matériel de l’entreprise, ce qui ne l’est pas, et surtout pourquoi. Notre article sur la charte informatique détaille ce qu’elle doit contenir.
À qui signaler un doute. Un nom, un numéro, une phrase. « Si un message vous paraît bizarre, vous m’appelez, même si vous vous trompez, même un dimanche. » C’est le point le plus court de la liste et le plus rentable. Un collaborateur qui sait à qui s’adresser signale en dix minutes, un collaborateur qui hésite signale le lendemain, ou jamais.
L’erreur qui coûte le plus cher
Elle ne se voit pas le jour où on la commet.
Le jour de l'arrivée, personne ne sait exactement de quoi la personne aura besoin. Pour ne pas la bloquer, on lui ouvre largement : accès à tous les dossiers partagés, droits d'administrateur sur son poste, parfois un compte existant qu'on lui prête. On se dit qu'on restreindra plus tard. Ce plus tard n'arrive jamais. Trois ans après, la personne dispose toujours de droits dont elle ne s'est jamais servie, et qui deviennent un problème le jour où son compte est compromis.
Le raisonnement inverse coûte moins cher. Ouvrez peu, et ajoutez à la demande. Un collaborateur qui doit réclamer un accès manquant vous fait perdre dix minutes. Un compte trop large qui se fait pirater vous en fait perdre bien davantage, parce que l’attaquant hérite de tout ce que la personne pouvait atteindre, y compris ce dont elle ne se servait pas.
Faut-il traiter les stagiaires et les intérimaires autrement ?
C’est l’angle mort le plus fréquent des PME.
Une personne arrive pour trois mois. Créer un compte propre, configurer la double authentification et définir des droits précis semble disproportionné pour une durée aussi courte. Alors on prête un compte existant, ou on ouvre un accès générique que trois stagiaires successifs se transmettront.
Deux conséquences en découlent. D’abord, la personne la moins formée de l’entreprise se retrouve avec les droits de quelqu’un d’autre, souvent plus larges que les siens. Ensuite, plus rien n’est traçable : si un dossier est effacé ou si une facture part au mauvais endroit, personne ne peut dire qui a fait quoi.
Une PME accueille un stagiaire pour l'été. Faute de temps, on lui confie l'accès d'une collaboratrice en congé maternité. Le stage se termine, personne ne pense à changer le mot de passe. Dix-huit mois plus tard, ce mot de passe apparaît dans une fuite de données provenant d'un site sans rapport avec l'entreprise, où il avait été réutilisé. L'accès fonctionne toujours. Ce scénario est illustratif, mais il décrit un enchaînement banal : un accès temporaire mal fermé reste exploitable très longtemps.
La règle est simple : tout accès temporaire est nominatif et porte une date de fin. Les mêmes précautions valent pour les prestataires externes, un sujet que nous traitons dans notre article sur les attaques par les fournisseurs.
Le départ, c’est la même liste à l’envers
Une arrivée bien préparée ne sert à rien si le départ est bâclé. Or le départ se déroule presque toujours dans de mauvaises conditions : dernier jour chargé, passation à faire, parfois une séparation tendue.
Le principe tient en une phrase. Tout ce qui a été ouvert le jour 1 se ferme le dernier jour, pas la semaine suivante. Un compte désactivé le vendredi soir n’est pas un excès de méfiance, c’est de l’hygiène élémentaire, et cela vaut pour les départs les plus cordiaux.
| Étape | À l’arrivée | Au départ | Quand |
|---|---|---|---|
| Comptes | Créer un compte nominatif, droits limités au poste | Désactiver tous les comptes, y compris les outils en ligne | Jour 1 / dernier jour |
| Authentification | Activer la double authentification | Retirer l’appareil de confiance, révoquer les sessions | Jour 1 / dernier jour |
| Mots de passe | Installer le gestionnaire, expliquer l’usage | Changer les mots de passe partagés que la personne connaissait | Jour 1 / dernier jour |
| Matériel | Remettre poste et téléphone, noter les numéros de série | Récupérer le matériel, effacer les accès professionnels | Jour 1 / dernier jour |
| Règles | Expliquer la charte et le canal de signalement | Rappeler la confidentialité qui subsiste après le contrat | Jour 1 / dernier jour |
Cette trame se réutilise telle quelle. Imprimez-la, cochez-la, datez-la, et gardez-la dans le dossier du collaborateur. Le fait de cocher n’a rien d’administratif : c’est ce qui permet, six mois après, de savoir si l’étape a été faite ou seulement supposée faite.
Là où la liste ne suffit plus
Une trame d’accueil s’écrit en interne. Vous n’avez besoin de personne pour décider qu’un nouveau collaborateur reçoit un compte nominatif et que son compte se ferme le jour de son départ.
Le point difficile est ailleurs, et il n’apparaît pas dans le tableau. Décider quels droits donner à quel poste suppose de savoir ce qui existe dans l’entreprise et ce qui y est sensible. Combien d’outils en ligne sont réellement utilisés, y compris ceux souscrits directement par un service sans passer par la direction ? Quels dossiers contiennent des données dont la divulgation poserait un vrai problème ? Quels accès un prestataire conserve-t-il aujourd’hui ?
Peu de PME peuvent répondre à ces questions de mémoire. Ce n’est pas un défaut d’organisation, c’est la conséquence normale de dix ans d’activité, d’outils ajoutés au fil des besoins et de personnes qui sont passées. Un inventaire des accès réserve presque toujours des surprises, et il se fait mieux avec un regard extérieur, parce qu’un tel regard ne sait pas ce qui est censé être là.
Ces mesures constituent un socle solide, elles ne remplacent pas un examen de votre situation réelle. Pour situer votre niveau actuel, le check-up cyber consacre plusieurs questions à la gestion des comptes et des départs. Les autres sujets de sensibilisation sont regroupés dans le pilier Formation.