Lorsqu’un salarié quitte une entreprise, il y a généralement une liste de tâches bien connue à accomplir. Les ordinateurs portables sont restitués, les dossiers de paie sont mis à jour, des entretiens de départ ont lieu et les responsables commencent à planifier la passation des tâches. Très vite, tout le monde passe à autre chose et l’attention se porte alors sur le pourvoi du poste vacant.
En coulisses, cependant, un autre processus devrait être mis en œuvre. Il faut désactiver les comptes utilisateurs, supprimer les autorisations, vérifier les accès aux disques partagés et mettre à jour les applications tierces. Bien que ces tâches bénéficient rarement du même niveau d’attention que le processus RH, elles sont tout aussi importantes. Chaque compte laissé actif et chaque autorisation négligée constituent une occasion supplémentaire pour que des informations sensibles tombent entre de mauvaises mains.
La procédure de départ est souvent considérée comme une simple tâche administrative, mais du point de vue de la cybersécurité, il s’agit de l’un des dispositifs de contrôle les plus importants dont dispose une organisation. La qualité de ce processus détermine si les anciens collaborateurs repartent avec rien d’autre que leurs souvenirs, ou s’ils continuent à avoir accès aux systèmes et aux informations longtemps après avoir quitté l’entreprise.
Les droits d’accès ont tendance à s’étendre
La plupart des collaborateurs ne rejoignent pas une entreprise en disposant d’un accès à tous les systèmes dont ils auront un jour besoin. Les autorisations sont accordées progressivement, à mesure que les collaborateurs changent de poste, rejoignent des projets, assument des responsabilités supplémentaires ou remplacent des collègues. Au fil des années, il est facile pour une personne d’accumuler des droits d’accès à des dizaines d’applications, de dossiers partagés et de plateformes cloud différents, sans que personne ne prenne le temps de vérifier si tous ces accès sont encore nécessaires.
Un accès excessif ou obsolète constitue un risque pour la sécurité à tout moment ; c’est pourquoi les autorisations doivent être régulièrement réexaminées. Lorsqu’une personne quitte l’entreprise sans que son accès ait été supprimé, ce risque existant s’aggrave encore davantage.
La suppression d’un accès s’avère souvent bien plus compliquée que son octroi, en particulier au sein des organisations qui s’appuient sur de multiples applications métier et outils de collaboration. Certaines autorisations sont faciles à révoquer, tandis que d’autres passent facilement inaperçues, car elles sont gérées par des équipes différentes ou ne relèvent pas des systèmes centraux de gestion des identités.
Une étude d’IBM met en évidence l’importance de cette question. Son rapport intitulé « Cost of a Data Breach » (Coût d’une fuite de données) a révélé que les identifiants volés ou compromis constituaient le vecteur d’attaque initial le plus courant, à l’origine de 16 % des fuites, ce qui souligne à quel point les comptes légitimes sont précieux pour les pirates. Si un compte n’a pas été correctement désactivé, ou si les autorisations restent en vigueur après le départ d’un collaborateur, ces identifiants peuvent constituer une voie d’accès directe à l’entreprise.
Que se passe-t-il lorsque les droits d’accès ne sont pas supprimés ?
Les lacunes dans la procédure de départ sont généralement le résultat de plusieurs petits oublis qui semblent insignifiants pris isolément, mais qui deviennent beaucoup plus graves lorsqu’ils s’accumulent.
Un compte Microsoft 365 peut être désactivé, mais l’accès à une plateforme de gestion de projet est oublié. Un prestataire termine sa mission, mais son compte reste actif car personne ne pense à le supprimer. Une boîte aux lettres partagée reste accessible, ou les droits d’administrateur accordés dans le cadre d’un projet à court terme ne sont jamais révoqués. Aucune de ces situations n’est inhabituelle, en particulier dans les grandes entreprises où les employés utilisent chaque jour des dizaines de systèmes différents.
Si un pirate parvient à accéder à l’un de ces comptes oubliés, il n’a pas besoin de franchir plusieurs niveaux de sécurité. Il hérite immédiatement de toutes les autorisations dont dispose encore cet utilisateur, qu’il s’agisse de l’accès à des documents confidentiels, à des dossiers clients, à des systèmes financiers ou à des communications internes. Ce qui n’était au départ qu’une simple formalité de fin de contrat peut rapidement se transformer en un incident de sécurité bien plus grave.
Les menaces internes ne sont pas toujours intentionnelles
L’expression « menace interne » évoque souvent l’image d’une personne qui vole délibérément des informations avant de quitter une organisation. Bien que de tels incidents se produisent effectivement, ils ne représentent qu’une partie du tableau.
De nombreux risques liés aux acteurs internes surviennent parce que les procédures quotidiennes n’ont pas été correctement menées à bien. Un ancien salarié peut ainsi conserver l’accès à un disque partagé parce que ses droits d’accès n’ont jamais été supprimés, ou un intervenant temporaire peut continuer à accéder à des applications cloud plusieurs mois après la fin d’un projet. Dans certains cas, personne ne se rend même compte qu’un compte existe encore jusqu’à ce qu’une activité inhabituelle soit détectée.
C’est ce qui fait de la gestion des départs un élément si important de la cybersécurité. L’objectif est de veiller à ce que les personnes n’aient accès qu’aux informations dont elles ont réellement besoin, et uniquement pendant la durée nécessaire.
La gestion des départs est une responsabilité partagée
Les processus de départ les plus efficaces rassemblent les services des ressources humaines, de l’informatique, de la sécurité et les responsables hiérarchiques, ce qui permet à chacun de comprendre son rôle dans la suppression des droits d’accès, la protection des données et la réduction des risques inutiles.
Les RH sont souvent les premières à être informées du départ d’un collaborateur, ce qui rend indispensable une communication rapide. Les responsables hiérarchiques sont ceux qui connaissent le mieux les systèmes et les informations auxquels un collaborateur a accès, tandis que les équipes informatiques et de sécurité sont chargées de désactiver les comptes, de supprimer les autorisations et de vérifier que l’accès a bien été révoqué sur toutes les plateformes. Lorsque ces équipes travaillent de manière isolée, il est beaucoup plus facile qu’un élément passe inaperçu.
Le défi s’est encore accru à mesure que les organisations ont adopté davantage d’applications basées sur le cloud. Les collaborateurs utilisent désormais un large éventail d’outils de collaboration, de systèmes de gestion de la relation client, de plateformes financières et de logiciels spécialisés, dont beaucoup ne sont pas gérés de la même manière. En l’absence d’un processus de désactivation clair, il arrive facilement que des comptes restent actifs parce que personne ne s’est rendu compte de leur existence.
Adopter de meilleures pratiques en matière de départ des collaborateurs
La technologie peut automatiser certaines étapes du processus de départ, mais elle ne saurait se substituer à une bonne gouvernance. Les organisations doivent toujours définir clairement les responsabilités liées au processus de départ, mettre en place des procédures cohérentes pour la suppression des comptes et des autorisations, et procéder à des réévaluations régulières des droits d’accès afin de s’assurer que les privilèges des utilisateurs continuent de refléter leurs rôles et responsabilités actuels.
Cela commence par déterminer à quoi les collaborateurs ont accès. Des bilans réguliers des droits d’accès permettent d’identifier les autorisations qui ne sont plus nécessaires, tandis que la tenue d’un inventaire précis des applications facilite grandement la suppression des droits d’accès lorsqu’un collaborateur quitte l’entreprise. Des processus automatisés peuvent également contribuer à garantir que certaines tâches ne soient pas oubliées, en particulier dans les grandes organisations où plusieurs équipes sont impliquées.
La procédure de départ ne doit pas se limiter à une simple formalité effectuée le dernier jour de travail d’un salarié. Des vérifications périodiques des comptes inactifs, des utilisateurs disposant de droits privilégiés et des systèmes tiers permettent de repérer les comptes qui ont échappé à la surveillance, réduisant ainsi le risque qu’un accès oublié ne devienne un futur problème de sécurité.
Intégrer la procédure de départ à votre culture de la sécurité
Les collaborateurs doivent comprendre pourquoi la gestion des départs est importante et en quoi des processus apparemment routiniers peuvent avoir des répercussions durables sur la sécurité.
Les responsables doivent être conscients de l’importance d’informer rapidement le service informatique lorsqu’un collaborateur quitte l’entreprise. Les chefs de projet doivent vérifier régulièrement qui a accès aux espaces de travail et aux applications partagés. Les collaborateurs doivent se sentir à l’aise pour signaler les comptes ou les autorisations qui ne semblent plus appropriés, en particulier à la suite de changements organisationnels ou de projets de longue durée.
Cette prise de conscience aide les organisations à ne plus considérer le départ d’un collaborateur comme un simple processus administratif. Il devient ainsi un moyen supplémentaire de limiter les opportunités offertes aux pirates et de protéger les informations sensibles tout au long du cycle de vie du collaborateur.
C’est là que les formations régulières de sensibilisation à la sécurité ont un rôle important à jouer. Plutôt que de se fier uniquement aux politiques, les collaborateurs doivent comprendre comment une mauvaise communication, des autorisations oubliées et des processus de départ incomplets peuvent engendrer de réels risques de sécurité.
« Cyber Police » est la série de sensibilisation aux cybermenaces en prises de vues réelles de MetaCompliance, qui met en scène les cybermenaces actuelles à travers des scénarios réalistes se déroulant en milieu professionnel. Grâce à des acteurs professionnels, des personnages auxquels on s’identifie facilement et des attaques mises en scène, elle montre comment des processus métier apparemment routiniers, tels que le départ d’un salarié, la gestion des accès utilisateur et la suppression des autorisations, peuvent offrir des opportunités aux cybercriminels, et comment de petites négligences peuvent rapidement dégénérer en incidents de sécurité graves.
En observant ces situations se dérouler dans leur contexte, les collaborateurs comprennent mieux pourquoi chaque étape du processus de départ est importante et en quoi leurs propres actions contribuent à assurer la sécurité de l’entreprise.
Cyber Police transforme la sensibilisation à la sécurité en une démarche à laquelle les collaborateurs s’investissent véritablement
Au lieu de se limiter à la théorie, chaque épisode plonge les spectateurs dans des situations professionnelles réalistes, en leur montrant comment les décisions quotidiennes, la communication et les processus métier peuvent influencer les risques cybernétiques.
Couvrant tous les sujets, du phishing et des ransomwares aux menaces internes, en passant par les deepfakes et les attaques basées sur l’IA, cette série encourage la discussion, renforce les comportements sécuritaires et aide les collaborateurs à mettre en pratique ce qu’ils ont appris dans des situations concrètes.
Rendez-vous sur notre page « Cyber Police » pour visionner un épisode gratuit, découvrir l’intégralité de la série ou contacter notre équipe afin de mettre en place, au sein de votre organisation, une formation à la sensibilisation à la cybersécurité axée sur des scénarios.
Découvrez-en davantage sur Cyber Police et voyez comment une formation à la sensibilisation axée sur des scénarios aide les organisations à instaurer des comportements de sécurité durables qui vont au-delà de la simple conformité.
Foire aux questions sur le départ d'un collaborateur
Qu'est-ce qu'une menace interne ?
Une menace interne désigne tout risque de sécurité émanant d’une personne disposant d’un accès légitime aux systèmes ou aux données d’une organisation. Il peut s’agir d’employés en poste, de prestataires, d’intérimaires ou d’anciens employés dont l’accès n’a pas été supprimé. Si certaines menaces internes sont délibérées, beaucoup surviennent parce que des comptes, des autorisations ou des droits d’accès sont maintenus alors qu’ils ne sont plus nécessaires.
Pourquoi le processus de départ est-il important pour la cybersécurité ?
La procédure de départ va au-delà d’un simple processus RH. Elle permet de s’assurer que les salariés et les prestataires n’ont plus accès aux systèmes, aux applications et aux données dès qu’ils quittent une organisation. Si des comptes restent actifs ou si les autorisations ne sont pas supprimées, ils peuvent devenir une cible facile pour les pirates informatiques ou ouvrir la voie à des accès non autorisés.
Quels sont les risques liés aux comptes d'utilisateurs inactifs ?
Les comptes inactifs peuvent offrir aux pirates un point d’entrée dans une organisation s’ils sont compromis. Comme ces comptes font souvent l’objet de moins d’attention que les utilisateurs actifs, des activités suspectes peuvent passer inaperçues tandis que les pirates exploitent les autorisations existantes pour accéder aux systèmes, aux données ou aux ressources partagées.
Comment les organisations peuvent-elles améliorer leur processus de départ ?
Un processus de départ rigoureux doit inclure la désactivation des comptes utilisateurs, la suppression de l’accès à l’ensemble des systèmes de l’entreprise, la vérification des autorisations, la récupération des appareils de l’entreprise et l’audit régulier des comptes inactifs.
Une communication claire entre les équipes des ressources humaines, des responsables hiérarchiques, de l’informatique et de la sécurité contribue également à garantir qu’aucun élément ne soit négligé.
Comment Cyber Police aide-t-elle les employés à comprendre les menaces internes ?
« Cyber Police » s’appuie sur des situations professionnelles réalistes pour montrer comment les processus métier quotidiens peuvent engendrer des risques de sécurité. En mettant en scène, sous forme de fiction, des scénarios tels que des comptes oubliés, une communication défaillante ou des procédures de départ incomplètes, les employés comprennent mieux comment les menaces internes se développent et pourquoi les bonnes pratiques en matière de sécurité ne se limitent pas à la prévention des e-mails de hameçonnage.