Droits d’accès aux documents : un modèle simple et contrôlable
Dans beaucoup de gestions documentaires, plus personne ne sait qui a accès à quoi. Les exceptions se sont empilées, les départs n'ont pas été traités. Un modèle simple, fondé sur les rôles et revu à date fixe, remet de l'ordre.
Le constat se répète lors des audits de gestion documentaire : un stagiaire parti depuis deux ans a toujours accès aux contrats, un dossier confidentiel est partagé avec « tout le monde » depuis une urgence oubliée, et l’administrateur ne peut pas dire en moins d’une journée qui peut lire les fiches de paie. Les droits d’accès documentaires ne sont pas mal conçus au départ ; ils se dégradent, exception après exception.
Ce guide propose un modèle volontairement simple, que l’on peut expliquer en dix minutes et contrôler en une heure.
Trois principes
Le moindre privilège. Chacun accède à ce dont il a besoin pour son travail, et à rien d’autre. Ce principe est rappelé par tous les référentiels de sécurité, de la norme ISO/IEC 27001 aux recommandations de l’ANSSI et de la CNIL.
Les rôles plutôt que les personnes. Un droit est donné à un rôle (« comptable », « juriste », « responsable d’agence »), et une personne reçoit un ou plusieurs rôles. Quand elle change de poste, on change ses rôles, pas des dizaines de droits un par un.
La lisibilité. Un modèle que personne ne comprend ne se contrôle pas. Chaque règle doit pouvoir s’énoncer en une phrase.
Le modèle en trois couches
| Couche | Ce qu’elle décrit | Exemple |
|---|---|---|
| Espaces | Des ensembles de documents qui ont les mêmes besoins d’accès | Contrats fournisseurs, dossiers du personnel, procédures qualité |
| Rôles | Des fonctions, avec un niveau de droit par espace (lire, contribuer, administrer) | Acheteur : contribue aux contrats fournisseurs, lit les procédures |
| Exceptions | Des accès individuels, temporaires et justifiés | Auditeur externe : lecture des contrats pendant trois semaines |
Les espaces ne suivent pas forcément l’organigramme. Un espace « contrats fournisseurs » intéresse les achats, le juridique et la comptabilité ; le découper par service multiplierait les copies et les incohérences.
Une exception sans date de fin devient un droit permanent que personne n’a décidé. Toute exception porte un motif, un responsable et une échéance.
Mettre en place le modèle, étape par étape
- Cartographier les documents par grandes familles et par niveau de sensibilité : public, interne, restreint, confidentiel. Les documents contenant des données personnelles ou des secrets d’affaires sont repérés à part.
- Définir les espaces à partir des besoins d’accès réels, en interrogeant les services : qui doit lire, qui doit modifier, qui doit valider.
- Définir les rôles à partir des fiches de poste, puis vérifier qu’ils couvrent les situations réelles. Fusionner les rôles presque identiques.
- Écrire la matrice rôles par espaces, sur une page. Elle devient le document de référence, validé par les responsables des espaces.
- Relier les rôles à l’annuaire de l’organisation, pour que les arrivées, les mobilités et les départs mettent à jour les droits automatiquement.
- Reprendre l’existant : comparer les droits actuels à la matrice, retirer ce qui dépasse, transformer les accès individuels justifiés en exceptions datées.
La reprise de l’existant est l’étape la plus délicate. Retirer des droits d’un coup produit des blocages et des réclamations. Mieux vaut annoncer les changements, retirer espace par espace, et prévoir un circuit rapide pour rétablir un accès réellement nécessaire.
Trois situations qui mettent le modèle à l’épreuve
Le dossier qui traverse plusieurs services
Un dossier de marché public passe des achats au juridique, puis à la comptabilité, avant d’être archivé. Plutôt que de copier le dossier dans chaque espace, on le laisse dans un seul espace et l’on fait évoluer les droits avec son état : en préparation, seuls les acheteurs contribuent ; en validation, le juridique contribue et les achats lisent ; une fois signé, tous lisent et personne ne modifie. Les outils de gestion documentaire qui relient droits et étapes d’un circuit de validation rendent cette règle automatique.
Les documents du personnel
Les dossiers du personnel, les fiches de paie et les documents médicaux demandent un traitement à part : peu de personnes y accèdent, chaque accès est tracé, et les administrateurs techniques eux-mêmes ne devraient pas pouvoir les lire sans procédure. C’est souvent le premier espace à reprendre, parce que c’est là qu’un accès excessif a les conséquences les plus graves pour les personnes et pour l’organisation, au regard du RGPD notamment.
Les prestataires et partenaires
Un consultant, un auditeur ou un partenaire a besoin d’un accès limité à un projet, pour une durée donnée. On lui attribue un rôle externe dédié, qui ne donne jamais accès aux espaces internes par défaut, avec une date de fin fixée à la création du compte. Le responsable du projet est prévenu avant l’échéance et décide de prolonger ou non.
Contrôler dans la durée
Un modèle de droits n’est bon que s’il est contrôlé. Trois contrôles suffisent dans la plupart des organisations. Une revue annuelle par le responsable de chaque espace, qui confirme la liste des rôles et des exceptions. Une revue des exceptions arrivées à échéance, chaque mois. Un contrôle des comptes sans activité depuis plusieurs mois, désactivés après vérification.
Les journaux d’accès complètent ces revues : qui a consulté, téléchargé ou partagé un document sensible. Ils permettent de répondre à une demande d’un auditeur ou à un incident, et de détecter un usage anormal.
Les liens de partage publics, créés pour envoyer un document à un partenaire, échappent souvent au modèle de droits. Les limiter dans le temps par défaut et les inclure dans les revues.
Liste de contrôle
- Aucun droit n’est attribué directement à une personne, hors exceptions datées.
- La matrice rôles par espaces tient sur une page et est validée.
- Les rôles sont reliés à l’annuaire ; un départ retire les droits le jour même.
- Chaque exception a un motif, un responsable et une échéance.
- Les responsables d’espace font une revue au moins annuelle.
- Les liens de partage externes expirent par défaut.
- Les accès aux documents sensibles sont journalisés.
Ce modèle peut être mis en œuvre dans la plupart des outils de gestion documentaire. GedFlow, la solution de GED de DOSOBE, le prend en charge nativement. Pour le cadre d’ensemble, voir le guide complet de la GED.
Pour approfondir : GedFlow · Automatisation des processus
Questions fréquentes
Faut-il un modèle par rôles ou par attributs ?
Le modèle par rôles est plus simple à comprendre et à contrôler ; il convient à la plupart des organisations. Le modèle par attributs (service, niveau de confidentialité, dossier) devient utile quand les combinaisons sont trop nombreuses pour des rôles. On peut combiner les deux : rôles pour l'essentiel, attributs pour quelques règles précises.
Combien de rôles prévoir ?
Le moins possible. Si le nombre de rôles approche le nombre de personnes, le modèle a perdu son intérêt. Une organisation de quelques centaines de personnes fonctionne souvent avec quelques dizaines de rôles.
À quelle fréquence revoir les droits ?
Au moins une fois par an pour l'ensemble, plus souvent pour les espaces sensibles, et systématiquement lors d'une arrivée, d'un changement de poste ou d'un départ.