Revue des accès en TPE : vérifier les habilitations sans oublier les comptes SaaS

Un départ bien traité ne retire pas les droits devenus inutiles après une promotion, une mission terminée ou un essai logiciel. La revue des accès est ce contrôle périodique : elle compare les comptes et privilèges réellement actifs aux besoins actuels. Ce guide explique comment produire une liste complète, obtenir une validation métier, corriger sans interrompre l’activité et garder une preuve légère.

1. Distinguez la revue périodique de la gestion quotidienne

L’attribution initiale donne à une personne les droits nécessaires à son poste. La modification suit un changement de fonction. Le retrait accompagne un départ. La revue périodique prend du recul : elle détecte les droits cumulés, comptes oubliés, accès temporaires devenus permanents, privilèges trop larges et écarts entre la documentation et les outils.

Elle ne remplace donc pas la procédure retirer les accès lors d’un départ. Attendre la revue annuelle pour fermer le compte d’une personne partie serait dangereux. À l’inverse, une checklist de sortie parfaite ne repère pas le responsable commercial devenu administrateur d’un outil après un dépannage six mois plus tôt.

Le principe juridique et de sécurité est le besoin d’en connaître et la limitation aux accès nécessaires. La CNIL recommande de revoir régulièrement les habilitations et au moins annuellement. Cette fréquence minimale n’est pas suffisante pour tous les risques : comptes d’administration, données sensibles, paiement ou prestataires courts peuvent nécessiter une revue plus fréquente.

Fixez les événements déclencheurs : réorganisation, acquisition, changement de prestataire, incident, nouveau SaaS, changement de périmètre ou absence longue. Le calendrier est un filet de sécurité, pas la seule occasion de corriger.

2. Commencez par les actifs et les identités, pas par le tableur RH

Le tableau du personnel dit qui devrait être là, mais pas où se trouvent les comptes. Partez de l’inventaire des logiciels et équipements : messagerie, stockage, CRM, facturation, banque, site, réseaux sociaux, hébergeur, téléphonie, signature, sauvegarde, routeur, caméras et outils métiers.

Ajoutez les services gratuits, extensions, comptes de développeur, applications mobiles et portails fournisseurs. Interrogez comptabilité, vente et direction : les outils achetés par carte bancaire ou liés à une adresse personnelle échappent souvent à l’inventaire central. Recherchez les e-mails d’invitation et factures SaaS sans les considérer comme une liste complète.

Définissez les populations : salariés, dirigeants, alternants, stagiaires, prestataires, experts-comptables, agences, mainteneurs et comptes techniques. Pour chaque personne, utilisez un identifiant stable et l’entreprise de rattachement. Ne copiez pas plus de données RH que nécessaire dans la feuille de revue.

Classez les applications par criticité : données accessibles, action possible, exposition et impact. Priorisez les consoles d’administration, messagerie, stockage, paiement et données clients. Les contrôles cybersécurité prioritaires aident à placer la revue dans un programme plus large, sans transformer chaque petit outil en audit de plusieurs jours.

3. Exportez la réalité de chaque outil

Pour chaque service, exportez ou relevez les utilisateurs actifs, invités, suspendus, groupes, rôles, droits spéciaux, dernière connexion, date de création et méthodes d’authentification disponibles. Relevez également les sessions ou jetons durables lorsque l’outil les affiche. Une liste d’adresses e-mail sans rôle ne permet pas de valider le niveau d’accès.

Capturez l’état à une date donnée et conservez l’export dans un espace protégé. Ne partagez pas publiquement une cartographie de tous les administrateurs. Si l’outil ne propose aucun export, relevez les écrans de façon structurée et ouvrez une action fournisseur ; l’absence de fonction de revue est un critère de risque.

Comparez plusieurs sources : console de l’application, annuaire central, gestionnaire de mots de passe, facturation et liste des personnes. Un compte suspendu dans l’annuaire peut rester actif dans un SaaS autonome. Un accès par connexion fédérée peut disparaître à la désactivation centrale, mais un mot de passe local ou une clé API peut subsister.

Notez les comptes sans propriétaire, les adresses génériques, les invitations non acceptées et les domaines externes. Vérifiez les groupes : un droit peut venir d’un groupe, d’un rôle direct ou d’un lien partagé. La revue doit expliquer le chemin effectif, pas seulement le rôle affiché sur la fiche de l’utilisateur.

4. Construisez une matrice lisible et orientée décision

Une ligne par couple personne-outil suffit souvent. Ajoutez le rôle actuel, le besoin métier, le propriétaire de l’application, la dernière activité, la date de fin prévue, la décision, le valideur et l’état d’exécution. Utilisez des valeurs contrôlées : maintenir, réduire, retirer, suspendre, enquêter.

Évitez une matrice géante où chaque colonne représente un outil et chaque cellule contient des codes incompréhensibles. Le format long facilite filtres, dates et preuves. Une vue synthétique par personne ou application peut être générée pour la validation.

Décrivez les rôles en langage métier. « Éditeur » peut signifier modifier une page ou supprimer toute la base selon l’outil. Ajoutez les actions sensibles : exporter, inviter, facturer, rembourser, modifier les droits, consulter les journaux ou accéder aux données de tous les clients.

5. Faites confirmer le besoin par le métier et le propriétaire de l’outil

L’utilisateur connaît ses tâches, mais ne doit pas valider seul ses privilèges. Le responsable métier confirme la nécessité ; le propriétaire de l’application comprend le rôle technique ; la personne chargée de la sécurité challenge les accès sensibles. Dans une TPE, une même personne peut cumuler ces rôles, mais la décision reste explicitée.

Posez trois questions : quelle tâche exige cet accès maintenant ? Quel niveau minimal permet de la réaliser ? Jusqu’à quand ? « Il pourrait en avoir besoin » n’est pas une justification. Si le besoin est occasionnel, prévoyez une élévation temporaire ou une demande plutôt qu’un privilège permanent.

Ne demandez pas « tous ces accès sont-ils bons ? » sur cinquante lignes. Présentez les anomalies : administrateurs, inactifs, externes, rôles différents de leurs pairs, absence de fin, connexion ancienne ou accès à des données sensibles. Exigez une décision ligne par ligne pour ces cas et une validation groupée seulement lorsque le modèle de rôle est fiable.

Comparez aux profils attendus : vente, production, comptabilité, direction, prestataire. Un rôle de référence accélère la revue sans devenir une vérité automatique. Les exceptions ont un motif, un approbateur et une expiration. Intégrez cette logique à l’onboarding d’un salarié pour éviter l’accumulation future.

6. Isolez administrateurs, comptes partagés et techniques

Administrateurs : vérifiez le nombre, les propriétaires, l’usage quotidien et la MFA. Un compte d’administration ne doit pas servir à lire les e-mails ou naviguer. Gardez un moyen de secours protégé, documenté et testé ; ne retirez pas le dernier administrateur sans procédure de récupération.

Comptes partagés : remplacez-les par des comptes nominatifs lorsque possible. Si une adresse fonctionnelle doit subsister, distinguez l’adresse de réception du compte de connexion. Documentez utilisateurs, secret, rotation et journalisation. Un mot de passe sur un post-it collectif n’est pas une stratégie de continuité.

Prestataires et invités : rattachez chaque compte à un sponsor interne et une date de fin. Vérifiez les agences web, maintenance, cabinet comptable et support éditeur. Un contrat terminé ne ferme pas automatiquement l’accès. Pour les fournisseurs critiques, la checklist sous-traitant SaaS complète la revue par le contrat et les données.

Comptes techniques, clés API et robots : nommez un propriétaire, une finalité, les droits, le système utilisateur, la date de création, la rotation et le moyen de révocation. Ne les attribuez pas fictivement à un salarié. Une clé sans connexion récente peut rester utilisée par une tâche mensuelle ; observez les journaux avant de la couper.

Comptes dormants : une dernière connexion ancienne est un signal, pas une preuve d’inutilité. Vérifiez les tâches saisonnières et de secours. Suspendez d’abord lorsque l’incertitude est forte, surveillez, puis supprimez selon la politique. Conservez les données métier nécessaires dans l’espace de l’entreprise, pas dans le compte personnel.

7. Appliquez les décisions sans créer une panne

Traitez d’abord les accès inconnus, anciens externes et privilèges administrateur injustifiés. Pour un droit critique, préparez le retour : autre administrateur, export de configuration, contact fournisseur et fenêtre d’intervention. Ne remettez pas toute correction au trimestre suivant sous prétexte qu’une ligne est complexe.

Réduisez le rôle, retirez les groupes, fermez les sessions, révoquez les jetons et clés, puis contrôlez depuis la console. Changer un mot de passe ne révoque pas toujours une session ou une application connectée. Activez la double authentification pendant la correction lorsque l’outil le permet.

Prévenez l’utilisateur lorsque son travail peut être affecté et donnez un canal de rétablissement rapide. Le moindre privilège ne consiste pas à bloquer une personne sans explication. Si un accès retiré était réellement nécessaire, rétablissez le rôle minimal après validation et utilisez l’incident pour corriger le profil de référence.

Rejouez l’export après les modifications. Contrôlez un échantillon d’actions : un lecteur ne peut plus exporter, un ancien invité ne peut plus se connecter, l’administrateur de secours fonctionne. Une case « fait » dans le tableur ne prouve pas que la console a accepté la commande.

8. Gardez une preuve utile sans conserver des secrets

Conservez le périmètre, la date d’extraction, les applications couvertes, les anomalies, les décisions, les valideurs, les dates d’exécution et le résultat du contrôle. Ajoutez les exclusions et leur échéance. Ne stockez ni mots de passe, ni codes de récupération, ni clés API dans le dossier de revue.

Mesurez la couverture des outils critiques, le nombre d’administrateurs, les comptes sans propriétaire, les accès externes sans fin, les décisions non exécutées et l’âge des exceptions. Le nombre total de comptes retirés n’est pas un objectif : une revue peut être excellente et confirmer la majorité des droits si le périmètre est exact et la validation sérieuse.

Fixez la prochaine date selon le risque. La CNIL indique une revue régulière, au moins annuelle ; adoptez par exemple un rythme trimestriel pour les consoles critiques et annuel pour les outils à faible impact, avec des événements déclencheurs. Ce découpage est une recommandation d’organisation, pas un délai légal universel.

Faites remonter les causes : rôle trop large par défaut, absence de date pour les invités, outil sans export, compte partagé ou départ non signalé. Corriger le processus produit plus de valeur que fermer les mêmes anomalies à chaque revue.

9. Exemple hypothétique : une entreprise de huit personnes et douze SaaS

Une TPE fictive possède huit salariés, un dirigeant et trois prestataires. Son inventaire révèle douze SaaS, mais la facturation en montre deux de plus. Les exports recensent 97 couples compte-outil, dont neuf administrateurs, quatre invités sans date et deux adresses d’anciens stagiaires.

Le dirigeant et chaque responsable valident les anomalies. Un prestataire web conserve un rôle administrateur sur le stockage alors qu’il ne maintient que le site : accès retiré. Une salariée a besoin d’exporter les factures mais pas de gérer les utilisateurs : rôle réduit. Le compte du robot de sauvegarde reste actif, avec un propriétaire et une rotation de clé planifiée.

Avant de retirer le dernier administrateur d’un outil métier, la TPE crée un compte de secours dans son gestionnaire, active la MFA et teste la récupération. Elle suspend les anciens stagiaires, vérifie l’absence de dépendance, puis les supprime. L’export final confirme les changements.

La revue révèle surtout un problème de processus : toute invitation externe était permanente. L’entreprise crée désormais une date de fin obligatoire et une revue mensuelle des invités. Ce résultat évite que la prochaine campagne reproduise les mêmes anomalies.

Sources officielles et primaires : CNIL — gérer les habilitations ; CNIL — guide de la sécurité des données personnelles 2026 ; NIST — SP 800-53 Rev. 5, contrôles AC-2 et AC-6 ; ANSSI — MesServicesCyber, pratiques de sécurité. Consultées le 3 août 2026. Les référentiels NIST et ANSSI servent de recommandations ; adaptez fréquence et profondeur aux risques et obligations de votre structure.

En résumé

La revue des accès vérifie la réalité des consoles, puis demande au métier de justifier chaque droit sensible. Elle couvre SaaS, groupes, comptes externes, administrateurs et identités techniques. Une TPE peut la tenir dans une matrice simple si elle prouve l’extraction, la décision, l’exécution et le contrôle. Les anomalies récurrentes doivent devenir des règles d’attribution et d’expiration.