Un commercial quitte une PME de Ville-la-Grand après cinq ans. Son dernier jour se passe bien, il rend son ordinateur portable et son badge, et l'équipe organise un pot de départ. Trois semaines plus tard, l'entreprise s'aperçoit que sa boîte de messagerie professionnelle reçoit toujours les demandes de devis, que personne ne les lit, et que son compte sur le serveur de fichiers est encore actif. Le mot de passe du Wi-Fi de l'entreprise, lui, n'a pas changé depuis quatre ans et figure dans une conversation de groupe.
Cette situation n'a rien d'exceptionnel et ne dit rien de la personne partie. Elle révèle simplement l'absence de procédure de sortie. Révoquer les accès au moment du départ relève de deux logiques complémentaires : la sécurité, parce qu'un accès qui n'est plus surveillé finit par être utilisé sans qu'on le sache, et la continuité, parce qu'une demande client qui arrive dans une boîte que plus personne ne consulte est une affaire perdue. Nous intégrons cette procédure au contrat d'infogérance à partir de 120 HT / mois.
Une procédure de continuité, pas un dispositif de méfiance
Il faut le dire clairement, parce que le sujet est souvent mal reçu en interne : fermer des accès à la sortie d'un collaborateur ne traduit aucun soupçon à son égard. C'est la même logique que la restitution des clés du local. Personne ne considère qu'un ancien salarié à qui l'on redemande son badge est suspecté de vouloir revenir la nuit, et la fermeture d'un compte de messagerie n'a pas d'autre signification.
Les risques réels sont d'ailleurs rarement volontaires. Un compte qui reste actif sans que personne ne surveille son activité est une cible commode pour une attaque, parce que les connexions anormales n'y déclenchent aucune réaction. Une boîte de messagerie encore synchronisée sur un téléphone personnel continue de recevoir des documents commerciaux, sans que l'ancien salarié ait cherché quoi que ce soit. Un accès distant oublié sur un poste reste exploitable par quiconque en retrouve les identifiants. Dans les incidents que nous reprenons, l'accès oublié pèse bien plus lourd que l'attaque sophistiquée.
L'autre moitié du sujet est purement organisationnelle. Les documents de travail de la personne, ses échanges avec les clients dont elle avait la charge et les fichiers stockés dans son espace personnel doivent revenir à l'entreprise avant que le compte disparaisse. C'est cette partie qui est le plus souvent négligée, et c'est celle qui coûte le plus cher.
L'ordre des opérations compte : récupérer avant de fermer
La règle est simple et elle évite l'erreur la plus fréquente : on désactive d'abord, on récupère ensuite, on supprime en dernier, et jamais l'inverse.
Désactiver un compte le jour du départ interrompt immédiatement les connexions sans détruire quoi que ce soit. Les données restent en place, la boîte de messagerie continue de recevoir, et vous gardez tout le temps nécessaire pour organiser la suite. Supprimer le compte, en revanche, déclenche selon les services un compte à rebours au terme duquel les données sont effacées définitivement.
Le piège classique concerne l'espace de stockage personnel. Beaucoup de collaborateurs y déposent des documents qui relèvent en réalité de l'équipe, faute d'un espace partagé clairement identifié. Ces fichiers sont attachés au compte, et ils disparaissent avec lui. Nous transférons donc systématiquement le contenu utile vers un espace d'équipe avant toute suppression, et nous expliquons cette distinction dans notre article sur OneDrive Entreprise.
La boîte de messagerie suit le même raisonnement. Selon le contexte, nous la convertissons en boîte partagée consultable par le responsable, ou nous mettons en place une redirection temporaire vers un collègue, en informant les correspondants. Nous vérifions au passage l'absence de règle de transfert automatique vers une adresse extérieure, point de contrôle standard qui se justifie autant après un départ qu'après une compromission de compte.
Les accès que l'on oublie presque toujours
La liste des comptes à traiter dépasse largement la messagerie. Voici ceux qui ressortent le plus souvent lors de nos audits, parce qu'ils ne sont rattachés à aucun annuaire central.
- Le coffre-fort de mots de passe de l'équipe contient des identifiants partagés, et le départ d'une personne impose de renouveler ceux auxquels elle avait accès. Nous détaillons ce fonctionnement dans notre article sur le coffre de mots de passe d'équipe.
- Les applications métier hébergées en ligne, souscrites directement par un service sans passer par l'informatique, gardent leur propre liste d'utilisateurs. Elles échappent à toute révocation centralisée si personne ne les a inventoriées.
- Les accès à l'administration du site internet restent ouverts lorsque la personne éditait des pages, et ils ne figurent dans aucun annuaire d'entreprise. La question de la maîtrise de ces comptes rejoint celle de la propriété du site une fois livré.
- Le VPN, le pare-feu et le Wi-Fi d'entreprise conservent des comptes ou des clés partagées. Une clé Wi-Fi commune à toute la société ne se révoque pas individuellement, ce qui plaide pour une authentification nominative des postes.
- Un outil de prise en main à distance installé lors d'un ancien dépannage reste parfois actif sur le poste rendu, avec des identifiants que plus personne ne surveille. Nous appliquons sur ce point la règle exposée dans notre article sur la session d'assistance à distance, qui veut qu'aucun accès ne survive à l'intervention.
- Les éléments physiques comptent également : téléphone professionnel, carte SIM, badge d'accès, clés du local, jeton d'authentification.
Les licences, un poste souvent payé pour rien
Désactiver un compte ne libère pas automatiquement son abonnement. Une entreprise qui n'a pas de procédure de sortie continue régulièrement de payer des licences pour des personnes parties depuis plusieurs mois, et le montant devient visible sur une année complète. Nous vérifions donc à chaque départ ce qui peut être réattribué au remplaçant, ce qui doit être conservé le temps de la transition, et ce qui peut être résilié à l'échéance de l'abonnement. Le rapport entre le plan souscrit et les fonctions réellement utilisées fait l'objet de notre article sur les offres Microsoft 365.
Cette gestion suppose un annuaire d'identités tenu à jour, dans lequel chaque personne existe une seule fois et où l'appartenance aux groupes détermine les droits. C'est ce qui permet de fermer un accès en une opération plutôt qu'en douze, et c'est le sujet de notre article sur l'annuaire Entra ID. Lorsque le parc est piloté par une console de gestion d'appareils, le retrait de l'accès professionnel sur un téléphone se fait dans le même mouvement, comme nous l'expliquons dans notre article sur Intune.
Notre fiche de sortie, rejouée à l'identique à chaque départ
Nous construisons pour chaque client une fiche unique, établie lors de l'audit initial, qui répertorie l'ensemble des services où un collaborateur peut disposer d'un compte. Cette fiche est ensuite rejouée point par point à chaque départ, avec la date et l'auteur de chaque opération, ce qui vous laisse une trace exploitable si la question se pose plus tard.
Le déclencheur est le seul élément qui dépend de vous : prévenez-nous à la date de la notification, et non le dernier jour. Cela nous laisse le temps d'organiser le transfert des dossiers et de préparer la fermeture, afin que tout s'exécute le jour prévu sans improvisation. La procédure se déroule presque entièrement à distance, à l'exception de la remise en état d'un poste, qui se fait sur site dans le Bassin Genevois. Elle est comprise dans le contrat, et le montant hors taxes est identique en euros et en francs. Hors contrat, une révocation à traiter dans la journée relève de l'urgence à 230 HT / h.
Si vous ne disposez d'aucune liste des accès de vos collaborateurs, nous la dressons lors d'un audit. Chaque arrivée et chaque départ suivront ensuite la même fiche, et vous saurez à tout moment qui accède à quoi dans votre entreprise.