Identity and access management: joiners, movers, leavers

La comptable a quitté l’entreprise fin juin. En septembre, son compte de messagerie est désactivé, mais son accès au portail bancaire, créé directement chez la banque, fonctionne toujours, tout comme son compte sur l’outil de notes de frais, géré par un prestataire. Personne n’a commis de faute : chaque application a été gérée séparément, par la personne qui l’avait installée. Cette situation banale est exactement ce que la gestion des identités et des accès, ou IAM, cherche à éviter. Elle se joue sur trois événements de la vie professionnelle : l’arrivée, la mobilité et le départ.

Une seule source de vérité

Tout commence par une question : qui sait, de façon fiable, qu’une personne arrive, change de poste ou part ? Dans presque toutes les organisations, c’est le système des ressources humaines. Une gestion des identités IAM solide en fait la source qui déclenche les créations, modifications et suppressions de comptes, plutôt que de compter sur des demandes par courriel.

Deux compléments sont indispensables. Les personnes externes (prestataires, intérimaires, stagiaires, bénévoles) ne figurent pas toujours dans le système des ressources humaines : il leur faut un registre équivalent, avec un responsable interne et une date de fin obligatoire. Et chaque application doit avoir un responsable identifié, qui définit les droits nécessaires et valide les revues.

L’arrivée : prêt le premier jour, sans excès

Le réflexe le plus répandu à l’arrivée est de « faire comme pour un collègue » : copier les droits d’une personne qui occupe un poste voisin. Ce réflexe propage tous les droits accumulés par ce collègue au fil des années.

La pratique recommandée repose sur des profils métier : un socle commun à tous (messagerie, intranet, outils collaboratifs), puis des droits associés à la fonction et au service, définis avec les responsables d’application. Tout droit hors profil fait l’objet d’une demande motivée, validée et datée. Le premier jour, la personne dispose de ce dont elle a besoin, et de rien d’autre.

La mobilité : le moment le plus négligé

Un changement de poste ajoute presque toujours des droits, et en retire rarement. Après quelques mobilités, une personne cumule les accès de tous ses postes successifs. Ce cumul pose deux problèmes : il élargit inutilement ce qu’un compte compromis permet de faire, et il peut créer des incompatibilités, par exemple une même personne capable de créer un fournisseur et de valider son paiement.

Le départ : couper vite, et dans l’ordre

Le départ est l’événement le plus visible et le plus risqué. L’ordre des opérations compte.

1. Désactiver l’identité centraleLe compte d’annuaire et l’authentification unique sont désactivés à l’heure prévue, ce qui coupe d’un coup l’accès à toutes les applications qui en dépendent.
2. Révoquer les sessions et les jetonsUne session ouverte ou un jeton d’accès sur un téléphone peut survivre à la désactivation du compte. Les révoquer explicitement, y compris les facteurs d’authentification enregistrés.
3. Traiter les comptes hors authentification uniqueBanques, services en ligne, outils de prestataires : ils figurent dans l’inventaire des applications, avec la personne chargée de chaque suppression.
4. Changer les secrets partagésMots de passe de comptes partagés, codes d’accès, clés connus de la personne : on les renouvelle, et on profite de l’occasion pour supprimer les comptes partagés qui peuvent l’être.
5. Transférer, puis supprimerLes fichiers et la messagerie utiles sont transférés au responsable, selon les règles de conservation. Le compte est supprimé après un délai défini.
6. Récupérer le matérielOrdinateur, téléphone, badge, jetons physiques : leur restitution est enregistrée dans le même dossier que la fermeture des comptes.

Les départs conflictuels demandent une coupure immédiate, coordonnée entre ressources humaines et informatique avant l’entretien. Les comptes techniques, ou comptes de service, utilisés par des applications plutôt que par des personnes, ont aussi besoin d’un responsable et d’une date de revue ; sinon, ils deviennent des accès sans propriétaire.

Les comptes à privilèges, un traitement à part

Les comptes d’administration (serveurs, annuaire, messagerie, sauvegardes, applications de paie ou de paiement) concentrent le risque. Un compte à privilèges compromis permet de tout faire, y compris d’effacer les traces. Quatre pratiques réduisent ce risque sans alourdir excessivement le travail des équipes.

Séparer les comptes : un administrateur utilise un compte ordinaire pour sa messagerie et sa navigation, et un compte distinct, réservé à l’administration. Exiger une authentification multifacteur sur tous les comptes à privilèges, sans exception. Limiter les privilèges dans le temps, lorsque c’est possible, en accordant un droit d’administration pour une intervention donnée plutôt qu’en permanence. Tenir enfin une liste nominative de ces comptes, revue plus souvent que les autres. Lors d’un départ, ce sont les premiers à fermer.

Qui fait quoi

La gestion des identités échoue souvent faute de partage clair des responsabilités. Chacun pense qu’un autre s’en occupe. Une répartition simple, écrite et connue évite l’essentiel des oublis.

Les ressources humaines déclarent les événements, à la bonne date, y compris les départs anticipés et les absences longues. Le manager exprime le besoin d’accès de son équipe et valide les revues. Le responsable de chaque application définit les profils, accorde les droits hors profil et répond de la liste des comptes de son application. L’équipe informatique exécute, automatise et conserve les traces. La fonction sécurité, enfin, fixe les règles, contrôle leur application et pilote les revues. Dans une petite organisation, plusieurs rôles sont tenus par la même personne ; l’important est qu’aucun ne soit tenu par personne.

Des contrôles qui tiennent dans la durée

Même bien conçu, un processus dérive. Trois contrôles réguliers le maintiennent : le rapprochement entre la liste des personnes présentes et celle des comptes actifs, application par application ; la revue des droits par les responsables d’application et les managers, plus fréquente pour les comptes à privilèges ; la conservation d’un journal des créations, modifications et suppressions, avec leur justification.

Ces contrôles correspondent à ce qu’attendent les référentiels : l’ISO/IEC 27001:2022 consacre plusieurs mesures de son annexe A au contrôle d’accès, à la gestion des identités et des droits d’accès ; la directive NIS 2 cite explicitement la sécurité des ressources humaines et les politiques de contrôle d’accès parmi les mesures de gestion des risques. Pour l’automatisation, le protocole standard SCIM, publié par l’IETF, permet de propager les créations et suppressions vers de nombreux services en ligne.

Par où commencer

• Dresser la liste des applications, avec leur responsable et leur mode d’authentification.
• Rapprocher, pour les trois applications les plus sensibles, la liste des comptes actifs et celle des personnes présentes.
• Mettre en place un formulaire unique d’arrivée, de mobilité et de départ, déclenché par les ressources humaines.
• Rendre obligatoire une date de fin pour tous les comptes externes.
• Planifier une première revue des comptes à privilèges.

Le premier rapprochement est souvent le plus instructif : il donne en quelques jours une mesure concrète de l’écart entre ce que l’on croit et ce qui existe. Notre expertise cybersécurité et conformité accompagne ce chantier, et notre produit Gouvernance conserve la trace de qui a validé quel accès, et quand. Le dossier NIS 2 replace ces mesures dans l’ensemble des obligations.

Questions fréquentes

Qu'est-ce que la gestion des identités et des accès ?

C'est l'ensemble des processus et des outils qui créent, modifient et suppriment les comptes et les droits des personnes dans les applications d'une organisation. On la désigne souvent par le sigle anglais IAM (Identity and Access Management). Elle répond à une question simple : qui a accès à quoi, pourquoi, et depuis quand ?

Faut-il un logiciel d'IAM pour commencer ?

Pas forcément. Une organisation de taille moyenne peut d'abord fiabiliser le processus : un formulaire unique d'arrivée et de départ alimenté par les ressources humaines, une liste des applications avec leur responsable, une revue périodique des droits. Le logiciel automatise ensuite un processus clair ; il ne remplace pas un processus absent.

Que faire des comptes des prestataires et des stagiaires ?

Les enregistrer dans le même référentiel que les salariés, avec un responsable interne et une date de fin obligatoire. À cette date, le compte est désactivé automatiquement, sauf prolongation explicite. Ce sont souvent ces comptes qui restent actifs le plus longtemps après la fin de la mission.

À quelle fréquence revoir les droits d'accès ?

Au moins une fois par an pour l'ensemble des droits, et plus souvent pour les comptes à privilèges et les applications sensibles, souvent chaque trimestre ou chaque semestre. La revue est faite par le responsable de l'application ou le manager, qui connaît le besoin réel, et elle doit pouvoir aboutir à un retrait effectif.