Identité et habilitations des agents publics

Une question simple met beaucoup d’administrations en difficulté : combien de comptes actifs appartiennent encore à des agents partis ? La réponse demande souvent plusieurs jours, croise des fichiers qui ne concordent pas et révèle des surprises. Ce n’est pas un problème d’outil. L’identité des agents publics et leurs habilitations se gèrent bien quand trois choses existent : une source qui fait foi, un cycle de vie suivi, et des droits que quelqu’un relit. Ce guide reprend ces trois piliers, puis les cas particuliers qui font les incidents.

Trois notions à ne pas confondre

L’identité désigne la personne : un agent, unique, avec son nom, son matricule, son affectation. Le compte est le moyen technique par lequel elle accède à un système ; une même personne en a souvent une dizaine. L’habilitation est ce qu’elle a le droit de faire : consulter un dossier, signer un acte, valider une dépense.

La distinction n’est pas théorique. Certaines habilitations sont des actes juridiques. En France, le maire peut déléguer à des fonctionnaires de la commune ses fonctions d’officier de l’état civil ; un agent qui signe des actes sans délégation valide engage la régularité de ces actes. Le système d’information doit refléter la délégation, sa date et son périmètre, et la retirer quand elle prend fin. Une habilitation informatique qui survit à la délégation juridique crée un risque que personne ne voit.

Une source qui fait foi

Tout commence par une question d’apparence anodine : où est la vérité sur qui travaille ici ? La réponse naturelle est le système de gestion des ressources humaines. C’est lui qui connaît les arrivées, les mutations, les congés longs et les départs. Le raccorder à la gestion des comptes, pour que chaque événement RH déclenche l’action correspondante, est le chantier le plus rentable de tout le sujet.

Restent ceux que le système RH ignore : prestataires, intérimaires, stagiaires, agents mis à disposition, parfois élus. Ce sont eux que l’on retrouve le plus souvent dans les comptes orphelins. Ils ont besoin d’un référentiel des personnes externes, plus léger, avec deux champs obligatoires : un responsable interne et une date de fin.

Le cycle de vie : arrivée, mobilité, départ

• Arrivéecomptes et droits du profil de poste, le premier jour
• Mobilitédroits du nouveau poste, retrait des anciens
• Absence longuesuspension, sans suppression
• Départdésactivation le jour même, archivage des données

L’arrivée est rarement le problème : l’agent réclame ses accès, et il les obtient. Le départ est mieux suivi qu’on ne le croit, du moins pour les comptes principaux. Le vrai point faible est la mobilité. Un agent qui change de service obtient les droits de son nouveau poste et garde ceux de l’ancien, « au cas où », pour assurer une transition. Après deux ou trois mobilités, il cumule des droits que personne ne lui aurait jamais accordés en une fois. La règle à poser est simple : à chaque mobilité, les anciens droits tombent à une date fixée, sauf demande motivée et limitée dans le temps.

Les absences longues méritent aussi une règle. Un compte inutilisé pendant des mois est une cible idéale ; le suspendre, sans le supprimer, protège sans pénaliser l’agent à son retour.

Des droits que l’on peut relire

Attribuer les droits un par un, à la demande, produit en quelques années une situation illisible. La parade consiste à définir des rôles métiers : « agent d’accueil de l’état civil », « instructeur urbanisme », « gestionnaire comptable ». Chaque rôle regroupe les droits nécessaires sur chaque application, et chaque poste se voit attribuer un ou plusieurs rôles. Les exceptions restent possibles, mais elles deviennent visibles.

Ce modèle permet aussi d’appliquer la séparation des tâches, principe ancien de la gestion publique : celui qui engage une dépense n’est pas celui qui la paie, celui qui crée un fournisseur n’est pas celui qui valide ses factures. Le cadre de référence du NIST (contrôles AC-5 et AC-6 de la publication SP 800-53) formalise ces principes, sous les noms de séparation des tâches et de moindre privilège. Les règles d’incompatibilité entre rôles se définissent une fois et se contrôlent automatiquement.

Des modèles plus fins, fondés sur des attributs (le service, le territoire, le type de dossier), complètent les rôles quand la granularité l’exige, par exemple pour limiter un agent aux dossiers de sa circonscription. Ils sont plus puissants et plus difficiles à relire ; on les réserve aux applications qui en ont vraiment besoin.

Comptes à privilèges et prestataires

Les comptes d’administration des systèmes sont ceux dont la compromission coûte le plus cher. Les recommandations de l’ANSSI sur l’administration sécurisée des systèmes d’information convergent sur quelques règles : des comptes d’administration distincts des comptes de bureautique, nominatifs, utilisés depuis des postes dédiés, avec une authentification renforcée et une traçabilité complète.

Les prestataires qui interviennent sur ces systèmes doivent suivre les mêmes règles, avec une contrainte de plus : des accès ouverts pour la durée de l’intervention, puis refermés. Un compte générique partagé par l’équipe d’un prestataire est à proscrire ; il rend impossible de savoir qui a fait quoi.

Authentifier sans décourager

L’authentification multifacteur figure parmi les mesures que la directive NIS 2 attend des entités qu’elle concerne (article 21), et l’ANSSI la recommande pour les accès distants et les comptes à privilèges. La difficulté est d’usage : des agents qui saisissent un code dix fois par jour finissent par contourner le dispositif. Une authentification unique, solide à l’ouverture de session puis transmise aux applications par fédération d’identité, concilie sécurité et confort. Plusieurs pays ont d’ailleurs mis en place des fédérations d’identité communes aux agents de différentes administrations, qui évitent de multiplier les comptes.

Revoir, tracer, prouver

Une revue des habilitations consiste à demander, à intervalles réguliers, à chaque responsable de confirmer les droits de son équipe. Elle échoue quand elle prend la forme d’un tableur de milliers de lignes envoyé par l’informatique. Elle fonctionne quand chaque responsable reçoit une liste lisible, par rôle, limitée à son équipe, avec les écarts mis en évidence. Les journaux d’accès, eux, permettent de répondre aux questions qui suivent un incident ou une réclamation : qui a consulté ce dossier, quand, avec quels droits.

Pour démarrer, une liste courte suffit.

• Rapprocher les comptes actifs de la liste RH et du référentiel des externes ; fermer ce qui ne se rattache à rien.
• Brancher les départs du système RH sur la désactivation des comptes, le jour même.
• Fixer une règle de retrait des droits à chaque mobilité.
• Définir les rôles des trois ou quatre métiers les plus sensibles, à commencer par l’état civil et les finances.
• Séparer les comptes d’administration et les protéger par une authentification renforcée.
• Organiser une première revue des droits sensibles par les responsables métiers.

Ces principes prolongent notre guide sur le cycle de vie d’une identité, appliqué cette fois aux agents plutôt qu’aux usagers. Notre expertise identité numérique et notre produit État civil, où chaque acte engage la responsabilité d’un officier habilité, partent de la même exigence : savoir à tout moment qui peut faire quoi, et pourquoi.

Questions fréquentes

Qui doit valider les habilitations d'un agent ?

Son responsable hiérarchique ou le responsable de l'application concernée, selon les règles fixées par l'organisation. Le service informatique exécute et trace ; il ne devrait pas décider seul des droits métiers d'un agent.

À quelle fréquence revoir les habilitations ?

Une revue annuelle de l'ensemble des droits est un minimum courant ; les droits sensibles (finances, état civil, données de santé, administration des systèmes) justifient une revue plus fréquente, par exemple semestrielle, et une vérification à chaque mobilité.

Comment gérer les prestataires et les stagiaires, absents du système RH ?

En leur créant une fiche dans un référentiel des personnes externes, avec un responsable interne désigné et une date de fin obligatoire. À l'échéance, les accès sont suspendus automatiquement, sauf prolongation explicite.

L'authentification multifacteur est-elle obligatoire pour les agents ?

Pour les entités soumises à la directive NIS 2, elle figure parmi les mesures de gestion des risques attendues, selon les cas. Au-delà de l'obligation, elle est recommandée par l'ANSSI pour les accès à distance et pour tous les comptes disposant de privilèges.