Un départ se traite le jour même, avec une liste, pas en une semaine

L'affirmation

Quand une personne quitte votre entreprise, chaque compte auquel elle pouvait accéder devrait être fermé ou transféré avant la fin de sa dernière journée — et pour un départ non volontaire, dans l'heure. La plupart des petites entreprises prennent une à trois semaines, non par négligence, mais parce que personne ne peut produire la liste de ce à quoi la personne avait accès. Le contrôle qui compte n'est donc pas la procédure de révocation. C'est la tenue de la liste avant d'en avoir besoin.

Pourquoi l'écart est dangereux même avec de bonnes personnes

Écartons la malveillance ; elle est rare. Les défaillances ordinaires sont pires parce qu'elles sont certaines. Le portable d'un ancien employé synchronise encore le lecteur partagé : un dossier qu'il supprime en faisant du ménage disparaît pour tout le monde. Son téléphone reçoit encore les courriels de clients par une application oubliée. Huit mois plus tard, son mot de passe réutilisé, exposé dans une fuite sans rapport, ouvre votre GRC, et personne ne s'en aperçoit puisque le compte est actif et que son activité paraît normale. Rien de tout cela n'exige un acteur hostile — seulement un compte qui a survécu à son titulaire.

Le registre des accès

Un document partagé, quatre colonnes : personne, système, niveau de permission, mode d'octroi (authentification unique, compte direct, identifiant partagé, clé d'API). Mettez-le à jour au moment où l'accès est accordé, seul moment dont quiconque se souvient vraiment. Trente minutes à créer, deux minutes par changement à entretenir, et le départ passe de l'enquête à la liste de contrôle.

En le bâtissant, vous trouverez les vrais problèmes : le mot de passe de la boîte « info@ » connu de six personnes, dont deux parties l'an dernier ; le processeur de paiement à identifiant unique du propriétaire ; la clé d'API créée en 2023 dont trois intégrations dépendent et que personne n'ose faire tourner.

La séquence du jour même

1. Le fournisseur d'identité d'abord. Suspendez le compte d'authentification unique et chaque session meurt avec lui. C'est l'argument pour placer chaque service derrière l'authentification unique quand il la prend en charge : une action en couvre quarante. L'ordre compte — faites-le avant l'entrevue de départ dans les cas non volontaires.
2. Les comptes directs ensuite, à partir du registre : les outils jamais rattachés, le registraire, le portail bancaire, le compte du transporteur.
3. Faites tourner ce qui ne se révoque pas. Les mots de passe partagés que la personne connaissait, les clés d'API qu'elle pouvait lire, la phrase Wi-Fi si un seul réseau sert encore à tout. Pour les secrets partagés, le contrôle, c'est la rotation, pas l'espoir.
4. Réacheminez sa boîte, ne la supprimez pas. Transfert vers le gestionnaire pendant 90 jours, réponse automatique nommant le nouveau contact, puis archivage. Supprimer la boîte au jour un rend orphelins chaque fil client et chaque réinitialisation de mot de passe qui y est rattachée.
5. Récupérez ou effacez les appareils. Une capacité d'effacement à distance préparée d'avance — incluse dans tous les grands outils de gestion de parc — fait la différence entre « le portable est quelque part » comme course à faire et comme incident.
6. Vérifiez les octrois invisibles : applications OAuth autorisées sur l'espace de travail, délégations de boîte et d'agenda, règles de réacheminement créées par la personne. Tout cela survit aux changements de mot de passe et constitue l'élément le plus souvent oublié de cette liste.

Vérifiez, car « révoqué » est une prétention

Le lendemain, exécutez la vérification plutôt que de croire la liste :

# Des connexions sur le compte suspendu ?
# Des regles de reacheminement pointant hors du domaine ?
# Des sessions actives ou mots de passe d'application restants ?

Chaque grande plateforme d'identité expose ces éléments en rapports d'administration ou en appels d'API. Dix minutes, et deux fois par année vous trouverez quelque chose — habituellement une règle de réacheminement ou une session mobile qui a survécu.

La revue trimestrielle ferme la boucle

Une fois par trimestre, sortez la liste des utilisateurs de vos cinq systèmes les plus importants et comparez-la à la liste de paie. Chaque écart est soit une personne partie avec un accès vivant, soit un compte de service sans responsable, et les deux méritent un billet. La première revue en trouve typiquement de trois à six ; les suivantes, un ou zéro, ce qui est le but.

Ce que cela coûte et ce que cela remplace

Le registre, la liste et la comparaison trimestrielle représentent peut-être dix heures par année pour une entreprise de cinquante personnes. En face : le compte parti-mais-actif moyen persiste des mois sans détection, conserve les permissions de son titulaire à son meilleur jour, et c'est exactement ce qu'un vérificateur, un assureur ou un organisme de protection de la vie privée demandera en premier après tout incident. C'est la réduction de risque la moins chère offerte à une entreprise de votre taille, et elle n'exige aucun logiciel neuf — seulement l'aveu que la mémoire n'est pas un système de contrôle d'accès.