La gestion des accès, c’est savoir qui peut entrer dans quel outil, et pouvoir le retirer le jour même. Pourtant, ce n’est pas un sujet de grande entreprise. C’est ce qui évite qu’un inconnu modifie tes systèmes sans que tu le saches.

D’ailleurs, on l’a vécu la semaine dernière chez un client. Une automatisation qu’on avait réglée en décembre s’était mise à envoyer des communications à des dates que personne n’avait prévues.

Gestion des accès : l’histoire de l’identifiant inconnu

Le client nous appelle parce qu’une automatisation saisonnière ne fait plus ce qu’on avait réglé. Alors on ouvre l’historique des versions. Notre dernière modification date bien du 9 décembre, selon l’historique. Puis, les 6 et 7 mai, quelqu’un d’autre est passé.

Quelqu’un, certes, mais qui ? L’historique affiche un identifiant, une suite de caractères, pas un nom. Ensuite, on cherche dans les courriels, on croise des dates, on fouille. Finalement, l’hypothèse la plus probable : une ancienne collaboratrice, partie depuis, dont le compte n’a jamais été fermé.

Pourtant, la modification en elle-même n’était pas malveillante. Elle a simplement ajouté de nouvelles dates d’envoi. En fait, le problème, c’est qu’une personne qui ne travaille plus là avait encore la main sur le système, et que personne n’était au courant.

Pourquoi la gestion des accès dérape dans une PME

La gestion des accès dérape parce qu’elle se fait à l’entrée et jamais à la sortie. On crée des comptes lorsque quelqu’un arrive. Puis on oublie de les fermer quand la personne part.

Or, dans une PME, les départs sont rarement propres. Une stagiaire termine son contrat un vendredi. Un prestataire livre son projet et passe à autre chose. Une associée quitte l’aventure. Dans ce cas, l’urgence du moment, c’est la continuité du travail, pas la fermeture des comptes.

D’ailleurs, le Centre canadien pour la cybersécurité le dit dans ses contrôles de base pour les petites organisations : chaque utilisateur doit avoir son propre compte, et une procédure doit révoquer les comptes quand ils ne sont plus nécessaires, notamment lors d’un départ. Simple sur le papier. Pourtant, presque jamais fait.

Le compte partagé, l’ennemi numéro un

Le compte partagé rend toute gestion des accès impossible. Car quand trois personnes utilisent le même identifiant, l’historique te dit « quelqu’un », jamais qui.

Certes, le réflexe est compréhensible. Payer un compte de plus coûte de l’argent, et « on se passe le mot de passe » va plus vite. Mais le jour où une personne part, tu ne peux pas fermer son accès sans couper celui des deux autres. Donc tu ne fais rien, et elle garde ainsi la porte ouverte.

Main qui retire une clé d'un trousseau devant une porte de bureau, image de la gestion des accès

Ensuite, quand une modification pose problème, comme chez notre client, tu ne peux même pas savoir à qui poser la question. Autrement dit, un compte par personne, c’est ce qui rend l’historique utile.

La méthode en quatre gestes

Une gestion des accès qui tient dans une PME ne demande pas un service informatique. Elle demande plutôt une liste et quatre gestes.

  • Fais l’inventaire. Un tableau : outil, personne, niveau de droits. Une heure de travail, une seule fois.
  • Un compte par personne. Supprime les comptes partagés, même si ça coûte quelques dollars de plus par mois.
  • Donne le minimum. La personne qui rédige les courriels n’a pas besoin de pouvoir supprimer une automatisation.
  • Ferme le jour du départ. Ainsi, ajoute une ligne « retirer les accès » dans ta liste de départ, à côté de « récupérer les clés ».

Par exemple, chez le client de l’histoire, la solution a pris quinze minutes une fois le coupable identifié : fermer le compte, puis vérifier les trois autres outils où cette personne avait aussi un accès.

Ce que l’historique des versions t’apprend

L’historique des versions est ton meilleur allié pour la gestion des accès, à condition de le consulter avant que ça casse. Car il te dit qui a touché à quoi, et quand.

Donc prends une heure par trimestre. Ouvre tes outils principaux et regarde qui s’est connecté récemment. Un compte qui ne s’est pas connecté depuis six mois est un compte à fermer. Et un compte inconnu est un compte à fermer tout de suite.

On avait déjà raconté comment un voyant vert peut mentir sur l’état réel d’une automatisation. De même, l’accès oublié est le cousin de ce voyant : tout semble fonctionner, jusqu’au jour où quelqu’un d’autre décide de ce que fait ton système.

Pose-toi cette question ce soir

Si une personne partie il y a un an se connectait demain à tes outils, est-ce que tu le saurais ? Sinon, ta gestion des accès commence par l’inventaire.

Et si tu veux qu’on le fasse avec toi, écris-nous.

C’est quoi la gestion des accès dans une PME ?

La gestion des accès, c’est savoir en tout temps qui peut entrer dans quel outil, avec quels droits, et retirer cet accès le jour où la personne n’en a plus besoin. Un compte par personne, jamais de compte partagé.

Que faire quand un employé ou un prestataire quitte l’entreprise ?

Retire ses accès le jour même, outil par outil, à partir de ta liste. Ensuite, change les mots de passe des rares comptes partagés qui existent encore. Le lendemain, c’est déjà tard.

Comment savoir qui a modifié quoi dans mes outils ?

La plupart des outils gardent un historique des versions ou un journal d’activité. Il n’est utile que si chaque personne a son propre compte : avec un compte partagé, l’historique te dit « quelqu’un », jamais qui.

Terry Vilver, cofondateur de Meriaky

À propos de l’auteur

Terry Vilver · Cofondateur de Meriaky

Ingénieur en informatique, 5 ans d’expérience entre EDF (l’équivalent français d’Hydro-Québec) et Meriaky. Chez EDF, il a mis en place un système de tickets qui assigne automatiquement les dossiers clients aux bons opérateurs. Depuis 2 ans chez Meriaky, il aide les patrons de PME à se libérer de leurs tâches répétitives : le suivi client tourne automatiquement, ils gagnent du temps et de l’argent.

Son profil LinkedIn