Revue des accès après un départ : retrouvez le compte avant l’attaquant

Le compte à retrouver n’est pas toujours celui qui paraît suspect. C’est souvent l’ancien compte oublié, le mot de passe partagé qui n’a jamais changé ou la session de navigateur restée ouverte après le départ d’un collaborateur.

Une organisation de 20 personnes n’a pas besoin d’un programme complexe de gestion des identités pour réduire ce risque. Elle a besoin d’un responsable clairement désigné pour chaque système important, d’un registre court et d’une routine qui relie les mouvements de personnel aux changements techniques.

Commencez par les systèmes qui comptent

Avant d’examiner les utilisateurs, dressez une seule liste. Incluez les systèmes qui permettent de déplacer de l’argent, d’exposer des informations personnelles, de publier au nom de l’organisation ou d’interrompre le travail quotidien :

• la messagerie et le compte d’identité qui sert à réinitialiser d’autres services ;
• les services bancaires et l’administration du mobile money ;
• la comptabilité, la paie ou le logiciel financier ;
• le stockage cloud et les fichiers de travail partagés ;
• les pages de réseaux sociaux et les comptes publicitaires ;
• les dossiers des donateurs, bénéficiaires, élèves ou clients ;
• l’hébergement du site, le nom de domaine, le DNS et les outils des développeurs.

Cette liste définit la frontière d’accès de l’organisation. Si un service peut réinitialiser un autre compte, valider un paiement, télécharger une liste de donateurs ou modifier le site public, il doit figurer dans la revue. Dans son contrôle AC-2 sur la gestion des comptes, le NIST relie création, modification, désactivation, suppression, revue et changement des authentifiants partagés ; ce ne sont pas des tâches administratives isolées.

Constituez un registre vérifiable en dix minutes

Pour chaque système, notez :

• le système et son responsable : le service, sa finalité et la personne qui décide des droits ;
• les utilisateurs actuels : comptes nominatifs, rôle ou niveau d’autorisation, personnel, prestataire, volontaire ou fournisseur ;
• la dernière revue : la date à laquelle le responsable a vérifié la nécessité de chaque accès ;
• l’état de sécurité : MFA activée ou non, compte privilégié ou compte partagé ;
• le contact de récupération : une adresse ou un numéro sous le contrôle de l’organisation, et pas seulement le contact personnel d’un salarié.

Ne stockez pas les mots de passe ou les codes de récupération dans un simple tableur. Le registre doit indiquer l’emplacement contrôlé où les secrets sont conservés, tout en donnant à la personne autorisée les informations nécessaires pour trouver le bon responsable et la bonne procédure de récupération.

Les recommandations de l’Information Commissioner’s Office sur le contrôle des accès demandent de revoir et d’ajuster les droits lors d’un changement de poste ou d’un départ, et de garder la trace de ces contrôles. La même discipline est utile à une PME, une ONG ou une école, même lorsqu’aucun auditeur externe ne la demande.

Appliquez la routine arrivée, changement de poste, départ

À l’arrivée

Créez un compte nominatif, faites approuver les droits selon le poste et activez la MFA avant l’accès aux systèmes sensibles. Donnez uniquement l’accès au dossier partagé, à la fonction financière, à la page sociale ou aux dossiers dont le travail a besoin ; ne recopiez pas automatiquement toutes les autorisations d’une autre personne.

Lors d’un changement de poste

Comparez l’ancien poste et le nouveau. Ajoutez ce que les nouvelles responsabilités exigent, puis retirez ce que l’ancien rôle ne justifie plus. Vérifiez les groupes, les droits administrateur, les lecteurs partagés, les applications connectées et les contacts de récupération. L’erreur fréquente consiste à ajouter chaque nouveau droit sans retirer les anciens.

Au départ

Le signal de départ doit déclencher une liste de contrôle le jour même. Désactivez ou suspendez le compte nominatif selon la procédure du fournisseur, puis vérifiez séparément :

1. les sessions actives et les applications connectées ;
2. les groupes et les droits administrateur ;
3. les mots de passe partagés et les authentifiants des comptes communs ;
4. les clés API, jetons d’accès, mots de passe d’application et clés SSH ;
5. la propriété des fichiers, pages sociales, domaines et autres actifs de travail ;
6. l’adresse e-mail, le numéro de récupération et les appareils enregistrés ;
7. le nom de la personne qui a effectué le contrôle et la date.

Supprimer un compte ne ferme pas nécessairement tous les chemins d’accès de l’organisation. Le NIST prévoit explicitement un processus de changement des authentifiants partagés lorsqu’une personne quitte un groupe. La CISA recommande également de supprimer les comptes inutiles, de gérer les droits par rôle et de surveiller les accès privilégiés.

Faites de la revue mensuelle et de la validation trimestrielle une habitude

Chaque mois, le responsable du système doit répondre à quatre questions :

1. Chaque utilisateur est-il encore membre de l’organisation ou un prestataire autorisé ?
2. Chaque personne a-t-elle encore besoin du rôle enregistré ?
3. Les comptes privilégiés, identifiants partagés et contacts de récupération sont-ils visibles ?
4. La MFA est-elle activée lorsque le service la propose, notamment pour la messagerie, les finances, l’hébergement et l’administration ?

Chaque trimestre, le responsable signe et date la revue. Ce n’est pas une formalité : c’est une preuve simple que l’organisation sait qui peut atteindre l’argent, les dossiers, les communications et les canaux publics. Conservez la version précédente afin de pouvoir expliquer un changement de rôle au lieu de le deviner.

La CISA recommande l’authentification multifacteur pour les comptes professionnels, car elle ajoute une étape de vérification. Dans une revue, notez si le réglage est réellement activé ; le mot « MFA » dans une politique ne suffit pas.

Corrigez le problème de l’administrateur unique avant l’urgence

Dans une petite organisation, une seule personne détient parfois le compte d’hébergement, l’administration bancaire, les pages sociales, le domaine, le cloud et le téléphone de récupération. Cette situation a pu naître de la confiance et de la rapidité. Elle crée néanmoins un risque de continuité.

Organisez la transmission pendant que l’administrateur est disponible :

• créez un deuxième compte administrateur nominatif lorsque le service le permet ;
• placez l’adresse et le numéro de récupération sous le contrôle de l’organisation ;
• conservez les codes de récupération et les identifiants d’urgence dans un espace protégé ;
• écrivez le nom du fournisseur, le propriétaire du compte, le contact de facturation et les étapes de récupération ;
• testez une récupération à deux personnes sans partager un mot de passe personnel.

Si une personne détient actuellement tous les droits, ne retirez pas son accès en premier en espérant pouvoir récupérer le système ensuite. Ajoutez et testez la seconde voie, documentez le changement, puis réduisez le contrôle individuel. Pour les plateformes bancaires et de mobile money, respectez aussi les procédures d’approbation et de mandat du fournisseur.

La revue est courte ; l’angle mort ne l’est pas

La revue des accès n’est ni une campagne générale de sensibilisation ni une liste de conseils cyber. C’est un contrôle opérationnel récurrent. Elle indique quelles personnes, quels rôles, quels secrets, quelles sessions, quels jetons et quelles voies de récupération peuvent encore atteindre l’argent, les informations clients, les dossiers des donateurs et la voix publique de l’organisation.

Commencez par les huit systèmes. Désignez un responsable pour chacun. Faites le contrôle mensuel. Obtenez la validation trimestrielle. À chaque arrivée, changement de poste ou départ, modifiez les droits techniques en même temps que le dossier du personnel. Cette routine suffit pour retrouver l’accès d’hier avant que quelqu’un d’autre ne le retrouve.