Gestion des identités et des accès à Paris et en petite couronne : une demande simple, un devis gratuit

Le service couvre le cycle de vie des comptes et des droits, de leur création à leur fermeture. Il répond à trois questions : qui est la personne, à quels systèmes elle peut accéder, et comment elle prouve son identité à chaque connexion. Il s’appuie sur l’annuaire de l’entreprise, Active Directory pour un parc installé sur site, Entra ID pour un environnement dans le cloud, et sur les applications qui s’y raccordent.

Les composantes d’un dispositif

Un dispositif tient sur quelques éléments : un inventaire de tous les comptes, qu’ils soient nominatifs, génériques, de service ou d’administration ; une double authentification sur les accès sensibles ; des groupes de sécurité organisés par fonction plutôt que des droits accordés un à un ; une authentification unique vers les applications, pour éviter qu’un collaborateur gère une dizaine de mots de passe. Chacun de ces éléments se vérifie : un inventaire qui n’est jamais relu finit par ne plus rien dire.

Le compte d’administration à part

Une même personne peut administrer le système et rédiger ses courriers. Il est pourtant préférable que les deux usages soient séparés : un compte de bureautique pour le travail courant, un compte d’administration réservé aux tâches techniques, utilisé avec précaution et tracé. Le compte d’administration est distinct du compte de bureautique, et la fermeture d’un accès se traite le jour même, en lien avec les ressources humaines.

Ce que ce service n’est pas

La gestion des identités porte sur l’identité et les droits. Elle ne décrit pas la manière d’atteindre les applications depuis l’extérieur, qui relève de la sécurisation des accès distants, ni l’administration courante des serveurs, ni les réglages propres à Microsoft 365. Une double authentification bien posée réduit fortement l’exposition au vol d’un mot de passe, mais aucun dispositif ne supprime tout risque, surtout si d’anciens protocoles de connexion restent ouverts.

Le besoin se manifeste souvent lors d’un départ, d’un incident ou d’une demande extérieure. Quelques situations reviennent :

• Des anciens collaborateurs encore présents dans l’annuaire : le compte d’un départ reste actif pendant des semaines et conserve l’accès à la messagerie et aux dossiers partagés.
• Des administrateurs en surnombre : chacun dispose des droits maximum sur son poste ou sur un serveur, par commodité, et personne ne sait plus pourquoi.
• Une double authentification absente des accès sensibles : la messagerie, les connexions depuis l’extérieur et les comptes d’administration ne reposent que sur un mot de passe.
• Des comptes partagés entre plusieurs personnes : il devient impossible de savoir qui a fait quoi, et le mot de passe circule dans l’équipe.
• Un changement de service qui cumule les droits : le collaborateur garde ses anciens accès et s’ajoute les nouveaux, sans que personne ne le remarque.
• Un annuaire local et un annuaire dans le cloud qui divergent : une même personne n’a pas le même statut d’un côté et de l’autre, et les erreurs se propagent.
• Des mots de passe d’administration rangés dans un tableur : leur usage n’est tracé nulle part et leur diffusion est impossible à contrôler.
• Une question extérieure sur les accès : un assureur, un client ou un appel d’offres demande si la double authentification est généralisée ou si les droits sont revus, et la réponse n’est pas prête.

Le calendrier dépend du nombre de comptes et de l’état de l’annuaire, et se précise au devis. Le projet se déroule en trois temps.

Avant : inventaire et priorités

On recense les comptes, les groupes, les applications raccordées et leur propriétaire métier. Les comptes les plus exposés passent en premier : administrateurs, comptes de service, comptes qui n’ont pas servi depuis longtemps. La direction arbitre les priorités, et les règles existantes sont vérifiées avec les ressources humaines, car l’arrivée et le départ d’un collaborateur sont le point de départ de tout le reste.

Pendant : nettoyage et protection

Les comptes sans propriétaire identifié sont désactivés après vérification auprès des responsables. Les comptes d’administration sont séparés des comptes courants et réduits en nombre. La double authentification est activée en commençant par les administrateurs et les connexions venues de l’extérieur, puis étendue. Chaque règle est testée avant d’être généralisée : une règle d’accès mal essayée peut bloquer tout un service, administrateurs compris. Les mots de passe sensibles sont rangés dans un coffre-fort prévu à cet effet, et les groupes par fonction remplacent peu à peu les droits accordés au cas par cas.

Après : procédure et revue

Une procédure écrite décrit les arrivées, les changements de poste et les départs, avec le responsable qui prévient l’informatique avant la date concernée. Une revue périodique des droits est conduite avec chaque responsable de service, qui confirme ce qui doit rester ouvert et ce qui doit être retiré. Les modifications sont consignées, pour pouvoir expliquer plus tard qui a obtenu quel accès et pourquoi.

Deux propositions peuvent couvrir le même périmètre et différer sur l’essentiel. Quelques points méritent d’être comparés par écrit :

• La méthode d’inventaire : une offre précise comment elle recense les comptes, y compris dans les applications en ligne, et ce qu’elle fait des comptes restés inactifs.
• La séparation des rôles : le compte d’administration est-il distinct, combien de personnes administrent, et comment leur usage est-il tracé ?
• La procédure de départ : qui est prévenu, dans quel délai convenu, et qui vérifie que tous les accès ont bien été fermés, y compris ceux des prestataires.
• La coexistence des annuaires : que se passe-t-il lorsqu’un annuaire local et un annuaire cloud coexistent, et lequel fait référence ?
• La remise de la documentation : la liste des comptes, des groupes et des droits doit appartenir à l’entreprise, et non rester dans l’outil du prestataire.
• Le rôle de la direction : les décisions d’accès restent celles de l’entreprise. L’offre doit dire comment les arbitrages sont obtenus et consignés.

• Garder les comptes des partants « au cas où » : le compte reste actif et les accès s’accumulent. Parade : une procédure de départ déclenchée le jour même.
• Donner les droits d’administrateur par commodité : le confort du moment devient un risque permanent. Parade : des comptes d’administration séparés et peu nombreux.
• Activer la double authentification sans recenser les exceptions : d’anciens protocoles de connexion ou des exceptions oubliées permettent de la contourner. Parade : lister les protocoles et les exceptions avant de généraliser.
• Oublier les comptes de service : leur mot de passe n’a jamais changé et personne ne sait exactement à quoi ils servent. Parade : les recenser, les documenter et ranger leurs secrets dans un coffre-fort.
• Confier la revue des droits à l’outil seul : un outil ne sait pas si un accès est encore justifié. Parade : une revue menée avec les responsables de service, et consignée.

Avant de signer, quatre questions permettent de vérifier que l’offre répond au besoin réel.

Comment l’inventaire des comptes est-il réalisé, y compris dans les applications en ligne ? Demandez une méthode écrite, et non une promesse de couverture complète.

Comment les comptes d’administration sont-ils séparés et protégés ? Vérifiez qui les détient, combien ils sont et comment leur usage est tracé.

Comment la procédure de départ est-elle reliée aux ressources humaines ? Le délai, le responsable qui prévient et la vérification finale doivent être précisés par écrit.

Qui conduit la revue des droits, et avec quels responsables de service ? La décision finale reste celle de l’entreprise, et l’offre doit en tenir compte.

Pour démarrer, décrivez votre besoin dans le formulaire : un spécialiste de la gestion des identités et des accès vous recontacte, gratuitement et sans engagement.