Gérer les habilitations en entreprise : construire la matrice des droits d'accès, traiter arrivées et départs, encadrer les comptes à privilèges, tenir la revue.
Une habilitation associe un collaborateur, une ressource et un niveau d’action précis : lire, écrire, valider, administrer. La tenir suppose trois choses seulement, mais tenues ensemble : une matrice qui dit qui accède à quoi, une procédure déclenchée à chaque arrivée, mutation et départ, une revue périodique qui retire les droits devenus inutiles.
Habilitation, droit d’accès, profil : trois mots qui ne disent pas la même chose
Le vocabulaire flotte souvent, et le flou se paye ensuite en réunion. Un droit d’accès décrit une permission technique élémentaire, attachée à une ressource : ouvrir un dossier, modifier une fiche client, exporter une table. Un profil regroupe ces permissions en un ensemble cohérent, taillé pour un usage donné. L’habilitation, elle, désigne l’acte de gestion : rattacher une personne identifiée à un profil, pour une durée, sur décision d’un responsable nommé.
La distinction n’a rien de théorique. Une organisation qui raisonne en droits unitaires finit avec autant de configurations que de salariés, impossibles à comparer entre elles. Une organisation qui raisonne en profils compare, détecte les écarts, et sait répondre à la seule question qui compte lors d’un contrôle : pourquoi cette personne dispose-t-elle de cet accès aujourd’hui.
Le règlement général sur la protection des données, dans son article 32, impose des mesures adaptées au risque, et cite explicitement la capacité à garantir la confidentialité des systèmes de traitement. La gestion des habilitations en constitue la traduction opérationnelle la plus directe.
Le moindre privilège, et le prix réel de son abandon
Le principe du moindre privilège tient en une phrase : chacun dispose des accès nécessaires à son travail, rien au-delà, et pour la durée où ce travail lui incombe. L’ANSSI le place parmi les mesures fondamentales de son guide d’hygiène informatique, qui compte quarante-deux mesures, dont plusieurs portent exclusivement sur la gestion des comptes et des privilèges.
Ce qui se produit quand le principe cède ressemble toujours au même scénario. Les droits s’accumulent, mouvement après mouvement, sans jamais se retirer. Un comptable passé au contrôle de gestion conserve ses accès de facturation. Un chef de projet ayant dépanné le service achats pendant un congé garde la validation des commandes deux ans plus tard. Le phénomène porte un nom dans les référentiels d’audit : l’accumulation de droits, et il ne se voit pas depuis l’intérieur.
Le risque se matérialise sur trois plans distincts. Une compromission de compte donne à l’attaquant tout ce que le compte détient, y compris les accès oubliés. Une erreur de manipulation devient possible là où elle aurait dû rester impossible. Un départ conflictuel expose l’entreprise à des consultations ou des extractions qu’aucune règle technique n’arrête. La sauvegarde protège des données perdues, pas des données consultées par quelqu’un qui n’aurait plus dû pouvoir les atteindre.
Construire la matrice des habilitations
La matrice des habilitations est le document de référence : en lignes les profils, en colonnes les applications et les ressources, dans les cases le niveau d’action autorisé. Elle se construit en une demi-journée pour une petite structure, en quelques ateliers pour une organisation plus large.
Partir des rôles réels, pas des organigrammes
L’erreur de départ consiste à recopier l’organigramme. Un intitulé de poste ne dit pas ce qu’une personne manipule au quotidien : deux assistantes du même service peuvent occuper des rôles très différents dès qu’une seule d’entre elles saisit les règlements. Interrogez les responsables sur les tâches, applications ouvertes, données consultées, actions validées. Les profils émergent de cette description, et se comptent en général en dizaines, jamais en centaines.
Qualifier la sensibilité avant d’ouvrir quoi que ce soit
Toutes les ressources ne méritent pas la même rigueur, et prétendre le contraire garantit l’abandon du dispositif en trois mois. Trois niveaux suffisent : ouvert à tous les salariés, restreint à un périmètre métier, sensible avec validation nominative. Les données de paie, les données de santé, les fichiers clients et les accès de production tombent dans le troisième niveau. Ce classement rejoint le travail de gouvernance des données, qui désigne pour chaque jeu de données un propriétaire métier capable d’arbitrer.
| Niveau | Exemples de ressources | Règle d’attribution |
|---|---|---|
| Ouvert | intranet, annuaire, modèles de documents | par défaut à l’arrivée |
| Restreint | applications métier, partages de service | validation du responsable de service |
| Sensible | paie, données clients, environnements de production | validation nominative et durée limitée |
La matrice reste utile à une condition : qu’elle vive dans un fichier unique, daté, avec un responsable identifié. Une matrice dupliquée en quatre versions dans quatre boîtes mail ne vaut rien.
Arrivée, mutation, départ : les trois moments qui font tout
Les droits ne dérivent pas de manière continue. Ils dérivent lors de trois événements précis, et c’est là que la procédure se joue.
À l’arrivée, le compte se crée à partir d’un profil de la matrice, jamais par recopie des droits d’un collègue. La duplication d’un compte existant propage silencieusement toutes les anomalies accumulées par la personne servant de modèle. Le premier jour, le nouvel arrivant reçoit les accès de son profil, ni plus, ni moins.
À la mutation, le réflexe manquant reste toujours le même : les nouveaux droits s’ajoutent, les anciens ne partent jamais. La règle tient en une ligne : une mutation se traite comme un départ suivi d’une arrivée, avec retrait complet puis attribution du nouveau profil. Une période de recouvrement de quelques semaines se justifie pour transmettre les dossiers, à condition qu’elle porte une date de fin écrite.
Au départ, la coupure doit intervenir le jour même, et couvrir tous les canaux : session bureautique, messagerie, applications métier, accès distant, comptes de services en ligne souscrits directement par le service, téléphonie, badges d’accès aux locaux. Cette liste exhaustive n’existe que si l’entreprise tient un inventaire à jour, ce que produit une gestion de parc informatique sérieuse, croisée avec le recensement des abonnements que révèle un inventaire des licences logicielles.
Les comptes à privilèges, catégorie à traiter à part
Un compte à privilèges ne se gère pas comme un compte ordinaire, et le mélanger au flux courant revient à ne pas le gérer. Trois règles suffisent à couvrir l’essentiel.
Un administrateur dispose de deux comptes distincts : un compte nominatif ordinaire pour la bureautique et la navigation, un compte d’administration réservé aux tâches techniques. Cette séparation, recommandée de longue date par l’ANSSI, évite qu’un message piégé ouvert pendant une pause ne s’exécute avec des privilèges d’administration.
Les comptes génériques et partagés disparaissent, ou deviennent traçables. Un compte utilisé par quatre personnes rend impossible toute imputation d’une action, et retire tout intérêt à la journalisation. Quand un compte technique ne peut être supprimé, son mot de passe vit dans un coffre-fort d’équipe qui enregistre chaque consultation.
Les accès aux environnements de production sont temporaires et motivés. Un développeur intervient sur la production le temps d’une opération, avec une trace de la demande, et perd cet accès ensuite. Le même raisonnement s’applique aux prestataires, dont les comptes portent une date d’expiration alignée sur le contrat.
La revue périodique : cadence, déroulé, preuve
La revue des droits consiste à présenter à chaque responsable la liste des personnes disposant d’un accès sur son périmètre, et à lui demander de confirmer, réduire ou supprimer, ligne par ligne. Le rythme raisonnable : une fois par an sur l’ensemble du système d’information, deux fois par an sur les ressources sensibles et les comptes à privilèges. La CNIL décrit ce réexamen périodique comme une mesure élémentaire dans son guide de la sécurité des données personnelles.
Le déroulé pratique se tient en cinq étapes. Extraire la liste réelle des comptes et des droits depuis chaque application, sans se fier à la matrice théorique. Rapprocher cette extraction du fichier du personnel pour repérer les comptes sans titulaire actif. Envoyer à chaque responsable la portion qui le concerne, avec une échéance. Appliquer les décisions et horodater les retraits. Archiver le tout, y compris les validations.
Le dernier point porte souvent toute la valeur. Sans archivage, l’entreprise ne peut prouver ni la tenue de la revue ni la date d’un retrait, alors même que ces preuves sont demandées lors d’un audit client, d’une certification, ou d’un contrôle après incident. La norme ISO/IEC 27001, dans sa version 2022, consacre plusieurs mesures de son annexe A au contrôle d’accès et à la gestion des identités, toutes attendues avec leurs éléments de preuve.
Tracer les accès sans transformer l’outil en surveillance
La journalisation des accès enregistre qui s’est connecté, quand, depuis où, et quelles opérations sensibles ont eu lieu. Elle sert à comprendre un incident, pas à mesurer l’activité des salariés, et cette frontière se documente. La CNIL rappelle qu’un dispositif de traçabilité doit être proportionné, avec une durée de conservation définie et une information claire des personnes concernées.
Quelques repères tiennent la route dans une petite structure. Journaliser les authentifications, les échecs répétés, les créations et modifications de comptes, les accès aux ressources classées sensibles. Conserver ces traces sur une durée écrite dans la politique interne, généralement six mois à un an. Restreindre la consultation des journaux à des personnes désignées, et journaliser cette consultation elle-même. Écrire ces règles dans la charte informatique, portée à la connaissance des salariés, sans quoi la traçabilité devient juridiquement fragile.
Ces traces prennent toute leur importance quand un incident survient. Reconstituer le chemin d’une compromission suppose de savoir quels comptes disposaient de quels accès à un instant donné, information qu’un plan de continuité d’activité bien construit rend disponible dès les premières heures, au même titre que les procédures de restauration.
Les erreurs qui reviennent le plus souvent
Trois travers reviennent dans presque toutes les organisations qui reprennent le sujet.
Le premier : traiter les habilitations comme un projet technique confié à l’informatique seule. La décision d’ouvrir un accès appartient au métier, qui connaît la valeur de la donnée. L’informatique applique, trace, et alerte sur les incohérences.
Le deuxième : viser l’exhaustivité au premier tour. Une matrice couvrant les cinq applications les plus sensibles, tenue à jour, vaut infiniment mieux qu’un référentiel complet abandonné au bout d’un trimestre. Élargissez ensuite, application par application.
Le troisième : oublier les accès qui ne passent pas par le service informatique. Les outils souscrits directement par un service, les partages de fichiers ouverts vers l’extérieur, les accès oubliés aux plateformes bancaires ou aux portails fournisseurs échappent au recensement classique. Ce sont pourtant ceux dont l’oubli coûte le plus cher au moment d’un départ, un point que le guide cybersécurité pour PME rappelle parmi les portes d’entrée les plus fréquentes.
Prochaine étape : extraire la liste des comptes actifs de vos trois applications les plus sensibles et la confronter au registre du personnel. Le premier écart apparaît en moins d’une heure, et il donne le point de départ de la matrice.
