Audit des accès en PME : reprendre le contrôle des comptes et des droits

Audit des accès : comment reprendre le contrôle des comptes et des droits dans votre PME

Dans beaucoup de PME, les accès informatiques se construisent par ajouts successifs : un nouveau collaborateur, un prestataire, un outil SaaS, un dossier partagé, une boîte mail générique. Le fonctionnement paraît simple tant que l’équipe est stable. Mais, avec le temps, personne ne sait toujours qui peut accéder à quoi — ni si cet accès est encore justifié.

Ce sujet ne relève pas uniquement de la cybersécurité. Des droits trop larges peuvent exposer des données clients, compliquer un départ, ralentir une enquête après incident et empêcher les équipes de travailler sereinement. Un audit des accès permet de retrouver une vision claire, sans transformer l’entreprise en forteresse impraticable.

Voici une méthode pragmatique pour lancer cette démarche dans une TPE ou PME.

Pourquoi les droits d’accès dérivent-ils ?

La dérive vient rarement d’une erreur volontaire. Elle apparaît lorsqu’un accès temporaire devient permanent ou qu’un changement d’organisation n’est pas répercuté dans les outils. Les situations les plus fréquentes sont les suivantes :

• un ancien salarié conserve une boîte mail, un VPN ou un compte d’application ;
• un collaborateur change de fonction mais garde les autorisations de son précédent poste ;
• des comptes administrateur sont utilisés au quotidien, faute d’alternative claire ;
• des partages de fichiers sont ouverts à une équipe entière alors que seuls quelques rôles en ont besoin ;
• un prestataire dispose d’un accès distant sans date de fin ni procédure de validation ;
• plusieurs outils utilisent des identifiants séparés, ce qui rend le suivi manuel fragile.

Le risque n’est pas seulement l’intrusion externe. Un mauvais destinataire, un compte compromis ou une manipulation involontaire peuvent suffire à créer une interruption de service ou une fuite de données. La bonne question n’est donc pas « avons-nous confiance dans nos collaborateurs ? », mais « nos accès correspondent-ils encore aux besoins actuels ? ».

Définir le périmètre avant de commencer

Un audit utile ne commence pas par une liste interminable de mots de passe. Commencez par recenser les briques qui donnent réellement accès à votre activité :

1. Identités : annuaire, comptes Microsoft 365 ou Google Workspace, messagerie, authentification multifacteur et comptes partagés.
2. Postes et accès distants : administrateurs locaux, VPN, outils de prise en main à distance et appareils mobiles.
3. Données : serveurs de fichiers, SharePoint, OneDrive, NAS, espaces projets et sauvegardes.
4. Applications métier et cloud : ERP, CRM, comptabilité, paie, outils de ticketing, stockage et solutions SaaS.
5. Infrastructure : pare-feu, Wi-Fi, hyperviseurs, consoles de supervision et comptes de prestataires.

Pour chaque élément, nommez un propriétaire métier. Cette personne n’a pas besoin d’être technicienne : elle doit pouvoir dire qui a légitimement besoin d’y accéder et valider les exceptions. C’est un point essentiel : l’IT administre les droits, mais le métier décide de leur nécessité.

Construire un inventaire exploitable

Exportez les listes de comptes et de groupes depuis vos principaux outils. L’objectif est de rapprocher chaque identité d’une personne, d’un service ou d’une fonction. Un tableau simple suffit pour démarrer, avec ces colonnes :

Ne cherchez pas la perfection au premier passage. Commencez par les comptes à privilèges, les accès aux données sensibles et les outils utilisés hors du réseau de l’entreprise. Ce sont les zones où une clarification apporte rapidement le plus de valeur.

Appliquer le moindre privilège sans bloquer les équipes

Le principe du moindre privilège consiste à donner le niveau d’accès nécessaire, pas davantage. Dans la pratique, il ne s’agit pas de retirer brutalement des autorisations : il faut comprendre les usages avant de corriger.

Une approche progressive fonctionne bien :

• supprimez ou désactivez d’abord les comptes manifestement inactifs, après validation ;
• remplacez les droits attribués individuellement par des groupes liés à des rôles ;
• séparez le compte de travail quotidien du compte d’administration ;
• limitez les accès prestataires à une période, un périmètre et une demande identifiés ;
• documentez les dérogations et prévoyez leur réexamen ;
• testez les changements avec les utilisateurs concernés avant de généraliser.

Les groupes par rôle rendent aussi les arrivées et départs plus fiables. Au lieu d’ajouter manuellement des autorisations dans plusieurs services, l’équipe IT attribue un rôle validé. Le collaborateur reçoit les ressources adaptées à sa fonction, et non celles de la personne qu’il remplace.

Sécuriser le cycle de vie d’un collaborateur

L’entrée, la mobilité interne et le départ doivent déclencher des actions connues. Une checklist partagée entre RH, manager et IT évite les oublis.

À l’arrivée, créez une identité nominative, activez l’authentification multifacteur lorsque c’est possible, attribuez les groupes validés et remettez les règles d’usage. Lors d’un changement de poste, réévaluez les anciens droits au lieu de simplement ajouter les nouveaux. Au départ, désactivez l’identité selon la procédure définie, retirez les sessions actives, transférez les données utiles avec l’accord du responsable et révoquez les accès externes associés.

Les boîtes mail génériques et comptes partagés méritent une attention particulière. Ils peuvent être nécessaires pour une fonction, mais doivent avoir un propriétaire interne, des accès nominatifs et une revue régulière. Partager un mot de passe entre plusieurs personnes rend les actions difficiles à attribuer et complique sa modification lors d’un départ.

Ne pas oublier les comptes techniques et les prestataires

Les comptes de sauvegarde, de supervision, d’intégration ou d’administration sont souvent oubliés parce qu’ils ne correspondent pas à un salarié. Pourtant, ils peuvent disposer de droits étendus. Pour chacun, conservez au minimum : son usage, son propriétaire, les systèmes concernés, son niveau de privilège et la date de dernière revue.

Pour un prestataire, privilégiez un accès nominatif, limité dans le temps et journalisé. Un accès distant permanent « au cas où » est difficile à justifier et à contrôler. Si une intervention doit être urgente, une procédure rapide peut être prévue, mais elle doit laisser une trace et prévoir la désactivation après intervention.

Faire de la revue des accès un rendez-vous régulier

Un audit ponctuel donne une photographie ; une revue régulière maintient l’image à jour. Pour une PME, un rythme trimestriel sur les comptes sensibles et semestriel sur le reste est souvent plus réaliste qu’un grand contrôle annuel difficile à terminer.

À chaque revue, demandez aux responsables :

• ce collaborateur a-t-il toujours besoin de cet accès ?
• ce groupe contient-il encore les bonnes personnes ?
• ce compte technique ou prestataire est-il toujours actif et justifié ?
• les privilèges d’administration sont-ils nécessaires et protégés ?
• les changements réalisés ont-ils été consignés ?

Conservez la date, le périmètre, le validateur et les actions décidées. Cette traçabilité aide à piloter les corrections et facilite les échanges avec un client, un assureur ou un auditeur, sans prétendre remplacer une analyse de conformité complète.

Les indicateurs qui aident à piloter

Quelques indicateurs simples peuvent révéler une dérive : nombre de comptes sans propriétaire, comptes inactifs, administrateurs, comptes sans MFA lorsque la fonctionnalité existe, accès prestataires sans date de revue et demandes d’accès traitées hors procédure. Ces mesures doivent servir à prioriser, non à sanctionner les équipes.

Si votre environnement mélange serveur local, cloud, télétravail et logiciels SaaS, l’inventaire peut vite devenir complexe. Un audit d’infrastructure VaultAura permet de cartographier les accès critiques, les dépendances et les priorités de remédiation. Les droits sur les fichiers et les outils de travail peuvent aussi être rapprochés de votre organisation collaborative, afin que la sécurité ne freine pas les usages utiles.

Conclusion : retrouver une base saine, puis l’entretenir

Reprendre le contrôle des accès ne demande pas de tout refondre en une semaine. Commencez par les identités privilégiées, les outils indispensables et les comptes sans propriétaire clair. Formalisez ensuite les entrées, mobilités, départs et accès prestataires. Cette discipline réduit les angles morts tout en rendant le support plus fluide.

Vous souhaitez obtenir une vision objective de vos comptes, droits et accès critiques ? Contactez VaultAura pour préparer un audit adapté au périmètre de votre PME et bâtir un plan d’actions priorisé.