Départ d’un employé : la liste de contrôle des accès

01Confirmer qui autorise l’action et quand elle doit se produire

Avant de modifier les comptes, confirmer :

• le nom exact de la personne;
• la date et l’heure de fin d’accès;
• la personne qui autorise la coupure;
• la personne qui reprend les responsabilités;
• les données qui doivent être conservées;
• les communications qui doivent continuer;
• les appareils et biens à récupérer;
• toute exigence juridique ou de conservation connue.

Une coupure faite trop tôt peut empêcher un transfert prévu. Une coupure faite trop tard peut laisser un accès non autorisé.

02Bloquer les nouvelles connexions et révoquer les sessions

Dans Microsoft 365, désactiver le compte n’est qu’une partie du travail.

Une session déjà ouverte sur un ordinateur, un téléphone ou une application peut rester active pendant un certain temps. Microsoft recommande de bloquer la connexion et, lorsque la situation l’exige, de révoquer les sessions et jetons d’accès.

La liste peut inclure :

• bloquer la connexion Microsoft 365 et Entra ID;
• réinitialiser le mot de passe lorsque la procédure l’exige;
• révoquer les sessions actives;
• retirer ou réinitialiser les méthodes d’authentification multifacteur;
• désactiver les appareils gérés ou enregistrés lorsque nécessaire;
• vérifier les comptes administrateurs distincts;
• traiter les comptes invités dans d’autres organisations.

Les comptes externes ou fédérés peuvent nécessiter une action auprès d’un autre fournisseur.

04Retirer les accès aux applications et services externes

Microsoft 365 n’est qu’un point de départ.

Vérifiez notamment :

• logiciel comptable;
• système de paie;
• CRM;
• outils de gestion de projets;
• stockage infonuagique;
• VPN;
• bureau à distance et outils de soutien;
• applications métier;
• portails de fournisseurs;
• réseaux sociaux;
• outils de marketing et d’infolettres;
• services de sauvegarde;
• hébergement Web, domaines et DNS;
• plateformes bancaires ou de paiement;
• alarmes, contrôle d’accès et caméras;
• mots de passe enregistrés dans le navigateur.

Un inventaire de départ est beaucoup plus fiable qu’une recherche improvisée après coup.

05Récupérer les appareils et facteurs d’authentification

La récupération physique devrait couvrir :

• ordinateur portable ou poste de travail;
• téléphone et tablette;
• clé de sécurité matérielle;
• jeton d’authentification;
• carte d’accès;
• clés;
• supports USB;
• équipements prêtés;
• documents imprimés;
• sauvegardes ou copies locales autorisées.

Pour un appareil à distance, définir qui organise le retour, comment l’appareil est protégé pendant le transport et quand il sera vérifié.

N’effacez pas automatiquement un appareil avant d’avoir confirmé les besoins de conservation et de transfert.

06Changer les secrets partagés

Les mots de passe partagés sont difficiles à gérer parce qu’ils ne disparaissent pas lorsque le compte personnel est désactivé.

Changez ou remplacez :

• comptes génériques;
• mots de passe Wi-Fi internes;
• codes d’alarme;
• clés API;
• mots de passe d’équipement;
• accès de fournisseurs;
• comptes de réseaux sociaux;
• codes de coffres de mots de passe;
• secrets inscrits dans des scripts ou automatisations.

Le meilleur correctif à long terme est de remplacer les comptes partagés par des accès nominatifs et des rôles lorsque le système le permet.

08Gérer les appareils personnels et le travail à distance

Lorsque le travail a été effectué sur un appareil personnel, l’entreprise doit savoir quelles données ou applications y sont présentes.

Selon les outils et politiques en place, il peut être possible de :

• retirer uniquement les données d’entreprise gérées;
• révoquer l’accès aux applications;
• retirer l’appareil des systèmes de gestion;
• désactiver les profils VPN;
• confirmer la suppression de copies locales autorisées;
• préserver les preuves nécessaires en cas d’incident.

Une politique claire avant le départ est plus efficace qu’une négociation improvisée après celui-ci.

09Préparer la continuité des communications

Décidez :

• qui répondra aux messages;
• si une réponse automatique est appropriée;
• si l’adresse doit être transférée temporairement;
• qui reprend les clients et fournisseurs;
• comment les contacts importants seront informés;
• combien de temps la boîte ou l’adresse sera conservée.

Une redirection permanente et invisible peut créer des risques de confidentialité. Documentez la durée, le propriétaire et la raison.

10Produire une preuve de fermeture

La tâche n’est pas terminée lorsque le compte principal est bloqué.

Le dossier de départ devrait indiquer :

• les actions effectuées;
• la date et l’heure;
• la personne ayant autorisé chaque action importante;
• les données conservées;
• les accès transférés;
• les appareils récupérés;
• les exceptions;
• les actions restant à faire;
• la date de revue finale.

Cette preuve aide la direction, les ressources humaines, la conformité et le prochain technicien.

Transformer la liste en processus réutilisable

Le meilleur processus utilise un formulaire ou une tâche standard qui peut être déclenché dès qu’un départ est connu.

Il devrait accepter :

• l’identité de l’employé;
• son rôle;
• ses appareils;
• les groupes et applications connus;
• la date de coupure;
• la personne de remplacement;
• les exigences de conservation;
• les approbations;
• les résultats et exceptions.

Une évaluation de sécurité Microsoft 365 peut identifier les comptes, privilèges, partages et méthodes d’accès qui rendent les départs difficiles à gérer.

Si le départ révèle que personne ne possède clairement les comptes, appareils et applications, une revue des TI gérées et cogérées peut séparer ce qui reste à votre équipe de ce qui doit être pris en charge.

Communiquer avec Montréal TI pour mettre en place ou revoir un processus d’arrivée et de départ à portée définie.