Votre nouveau salarié hérite souvent d’un compte informatique calqué sur celui d'un collègue, chargé de droits sans rapport avec son poste. À l’inverse, l’accès d'un salarié parti est actif des semaines, parfois des mois, après son départ, faute de procédure écrite. Entre les deux, il suffit de quelques abonnements SaaS oubliés pour élargir la surface d’attaque d’une PME.
Lorsque vous embauchez quelqu’un, votre service informatique copie, le plus souvent, les droits d’un collègue déjà en poste pour ouvrir son compte, plutôt que de calculer, poste par poste, ce dont chacun a réellement besoin. Quand ce collaborateur part, la procédure inverse, l’offboarding, n’est pas aussi urgente. Son accès est donc encore valide, parfois plusieurs semaines après son dernier jour de travail.
Aucune des treize mesures essentielles que recommande l’ANSSI aux TPE et PME n'est consacrée à la création ou la suppression de ces accès. Dans une structure de moins de cent salariés, c’est souvent une seule et même personne qui prend en charge les embauches et fins de contrats, et donc tous les accès, parfois en plus du reste de ses missions quotidiennes.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
À l’embauche, un raccourci aux conséquences durables
En copiant les droits d’un collègue plutôt qu’en les créant, le technicien transmet aussi les routines que ce collègue a accumulées au fil du temps. Le nouvel arrivant reçoit alors des mots de passe partagés et un accès à des dossiers sans rapport avec son poste, parfois des droits d’administrateur oubliés depuis un test ponctuel.
Mais ce qu’il ignore sans doute, c’est qu'il va à l’encontre des recommandations de l’ANSSI, notamment dans sa mesure consacrée à la séparation des usages. Il ne faut jamais employer un compte administrateur pour les tâches courantes et toujours cloisonner les usages personnels et professionnels. Et attention, car elle a sanctionné, en 2025, quatorze organisations pour des données insuffisamment sécurisées, justement pour l’usage de mots de passe trop simples ou de comptes partagés entre plusieurs utilisateurs.
Un identifiant partagé entre plusieurs personnes ne dit pas laquelle a agi en cas d’incident, ni depuis quel poste. Aux RH ou au service informatique, personne ne vérifie cette règle à l’embauche, ni ne la réexamine ensuite, car elle passe bien après plusieurs dizaines d’autres urgences à traiter.
Pourtant, la création du compte serait, en réalité, le moins coûteux pour activer une double authentification. Un pirate profite plus facilement d'un compte trop permissif et dépourvu de cette protection. Lui non plus n'a pas de temps à perdre.
Au départ, la fermeture du compte n’est pas
À l’inverse, quand un de vos collaborateurs quitte votre PME, personne n’a le réflexe de fixer de date de fermeture de compte à l’avance. Il se peut alors que certains anciens employés gardent la main sur leurs accès, et puissent intervenir, voire espionner ou falsifier des dossiers ou des missions d’autres collègues, si toutefois le départ s’était mal passé.
La porte ouverte aux intrusions des comptes oubliés
L’exemple le plus courant est l’attribution d’une licence de conception graphique à un stagiaire qui n’est jamais désactivée après son départ. Le service informatique ne voit pas toujours passer ce type d’abonnement, car un salarié peut le souscrire avec sa carte bancaire personnelle ou son adresse professionnelle, sans jamais le déclarer ou alors en note de frais à son nom. C’est très risqué.
Comme vous pourrez le lire dans l’encadré ci-dessous, une étude Vendr, relayée par SaaS Management, a établi que la totalité des entreprises consultées possédaient au moins une licence inutilisée, avec une moyenne de 1,4 licence dormante par PME ou ETI, et 37 % de l’ensemble des licences analysées étaient durablement sous-exploitées.
Dans une structure de cinquante salariés, il suffit de quelques comptes dormants pour élargir la surface d’attaque. Ni pare-feu ni antivirus ne détectent ce type d’accès, qui ressemble, du point de vue du système, à une connexion parfaitement légitime. En mai 2021, les enquêteurs mandatés après l’attaque par rançongiciel contre l’opérateur américain Colonial Pipeline ont établi que les pirates étaient entrés par un compte VPN inactif, dépourvu de de système d’authentification à deux facteurs.
Alors certes, votre PME ne pilote pas un oléoduc, mais elle laisse parfois, à son échelle, un compte actif sans la moindre surveillance.
Fermez les accès oubliés en quatre étapes
Notez, dans une charte informatique commune aux ressources humaines et à l’informatique, une date de fermeture de compte pour chaque départ, quelle qu’en soit la cause. Selon l’ANSSI, ce document donne aux règles de sécurité une portée opposable aux salariés. Prévenez ensuite le salarié de cette date pour sa messagerie professionnelle, comme la CNIL le demande, avant de supprimer son adresse nominative.
Passez en revue, au moins une fois par trimestre, la liste complète des comptes actifs, y compris les abonnements SaaS ouverts en dehors du service informatique, et profitez-en pour repérer les droits excessifs accordés à l’embauche et jamais réexaminés depuis. Recensez aussi les comptes de service et les accès partagés entre plusieurs personnes, souvent oubliés parce qu’ils n’appartiennent formellement à personne, et attribuez à chacun un responsable identifiable. Demandez à chaque manager de signaler un départ dès qu’il en a connaissance, sans attendre la fin du préavis.
Pour l’ordre dans lequel couper chaque accès, consultez notre dossier consacré aux dix actions critiques d’un offboarding, dans l’encadré ci-dessous. Activez une authentification à deux facteurs sur tous les comptes, y compris les plus anciens et les moins utilisés. C’est précisément cette protection qui manquait au compte VPN de Colonial Pipeline.
Automatisez la création et la suppression des comptes grâce à un outil de connexion unique, mais verrouillez-le avec une authentification obligatoire et un suivi des connexions, car un fournisseur d’identité compromis peut faire tomber, d'un seul coup, la messagerie professionnelle, les documents partagés, le CRM et la facturation qui en dépendent.
