Un nouveau collaborateur reçoit les accès nécessaires pour commencer. Quelques mois plus tard, son rôle change, mais ses anciens droits restent parfois en place. Le problème est rarement un manque d’outil : c’est souvent l’absence d’une règle claire pour accompagner ces mouvements.
L’arrivée, la mobilité et le départ sont trois moments à prévoir. Voici comment préparer cet échange dans une petite entreprise, sans commencer par une liste interminable de logiciels.
Lister les services, pas seulement les ordinateurs
Le poste de travail n’est qu’une partie du sujet. Les comptes de messagerie, les applications métier, les espaces partagés et les services en ligne doivent aussi être identifiés. Une liste par fonction aide à repérer ce qui est nécessaire, ce qui dépend d’une autre personne et ce qui demande une validation.
- Quel service est utilisé pour cette mission ?
- Qui peut attribuer, modifier ou retirer les droits ?
- Qui vérifiera que le changement a bien été appliqué ?
Relier chaque droit à un usage
Le principe de moindre privilège consiste à limiter les droits à ce qui est nécessaire au travail de la personne. Dans la pratique, il faut distinguer la consultation, la modification et l’administration. Une autorisation temporaire mérite également une date ou une condition de réexamen.
Les décisions doivent rester compréhensibles pour les responsables de l’activité : un droit techniquement disponible n’est pas forcément un droit utile.
Préparer le passage de relais
Au départ ou au changement de fonction, il faut examiner les comptes et les permissions qui ne sont plus justifiés. Les services partagés demandent une attention particulière : retirer un utilisateur et revoir un secret connu de plusieurs personnes sont deux opérations différentes.
Garder une organisation facile à mettre à jour
Une liste oubliée devient vite inutile. Définissez qui la tient à jour et comment un responsable demande un changement. L’objectif est de pouvoir expliquer qui utilise quoi, plutôt que de dépendre de la mémoire d’une seule personne.
Ces repères ne suffisent pas à décrire toutes les obligations liées au personnel ou aux données. Les modalités retenues doivent correspondre aux outils, aux responsabilités et au contexte de votre entreprise.
