Départ d'un employé : checklist de révocation des accès

Trois mois après le départ d'un chargé de projet, une entreprise de construction de la Rive-Sud remarque des connexions à son compte Microsoft 365 depuis l'étranger. Le compte n'avait jamais été désactivé : il servait encore à recevoir les courriels de quelques fournisseurs. Le mot de passe, lui, avait été réutilisé ailleurs et avait fuité.

Ce scénario n'implique même pas un ancien employé malveillant. Le plus souvent, le risque vient d'un compte oublié, d'un mot de passe partagé jamais changé ou d'un téléphone personnel qui synchronise encore la boîte de courriel. Chaque accès qui survit au départ est une porte que personne ne surveille.

La solution tient en une procédure écrite et une checklist, exécutées à chaque départ, volontaire ou non. La voici.

Pourquoi un départ est un moment à risque

Le Centre canadien pour la cybersécurité, dans ses contrôles de base pour les petites et moyennes organisations, recommande d'avoir un processus pour révoquer les comptes qui ne sont plus nécessaires, notamment lors du départ d'un employé. La Loi 25 va dans le même sens : un renseignement personnel n'est accessible à un employé que s'il est nécessaire à l'exercice de ses fonctions (article 20). Le jour où les fonctions prennent fin, l'accès doit suivre.

Les risques sont de trois ordres :

• L'accès résiduel. Un compte actif, une session ouverte sur un téléphone, un jeton d'application qui continue de fonctionner.
• La fuite de données. Des fichiers clients copiés sur une clé USB ou synchronisés vers un compte personnel dans les derniers jours.
• La perte de données. Un compte supprimé trop vite, et les courriels d'un client important disparaissent avec lui.

Avant le départ : préparer

Dans une PME, le départ est souvent connu deux semaines à l'avance. C'est le moment de préparer, discrètement si nécessaire.

• Inventorier les accès. Comptes Microsoft 365 ou Google Workspace, logiciel comptable, CRM, banque en ligne, portails gouvernementaux, réseaux sociaux de l'entreprise, accès physiques.
• Identifier les droits particuliers. Administrateur de quelque chose ? Signataire bancaire ? Seul détenteur du compte du nom de domaine ou du site Web ?
• Prévoir le transfert. Qui reprend les dossiers, les courriels, les fichiers OneDrive ou Drive ?
• Surveiller sans excès. Lors d'un départ conflictuel, votre fournisseur peut vérifier les téléchargements massifs ou les transferts vers l'extérieur. Encadrez cette surveillance avec votre conseiller juridique.

Le jour J : couper les accès

Pour Microsoft 365, Microsoft recommande de commencer par réinitialiser le mot de passe et fermer toutes les sessions. Un détail compte : le blocage de la connexion peut prendre jusqu'à 24 heures à s'appliquer, alors que la réinitialisation du mot de passe agit immédiatement. Après la fermeture des sessions, l'utilisateur doit se reconnecter au plus tard dans l'heure. Dans Google Workspace, la suspension du compte bloque l'accès aux services tout en conservant les données.

Dans le cas d'un congédiement, coupez les accès pendant la rencontre, pas après.

La checklist complète

Comptes principaux

• Réinitialiser le mot de passe et fermer toutes les sessions actives.
• Bloquer la connexion (Microsoft 365) ou suspendre le compte (Google Workspace).
• Retirer les méthodes MFA enregistrées et les mots de passe d'application.
• Retirer le compte des groupes, des rôles d'administration et des listes de distribution.
• Désactiver le compte dans l'Active Directory local, s'il y en a un.

Courriel et fichiers

• Convertir la boîte aux lettres en boîte partagée ou configurer un transfert temporaire vers le remplaçant.
• Vérifier et supprimer les règles de transfert automatique créées par l'employé.
• Transférer la propriété des fichiers OneDrive ou Drive avant toute suppression.
• Retirer les partages externes que l'employé avait créés.

Appareils

• Récupérer le portable, le téléphone, les clés de sécurité, les cartes d'accès et les clés physiques.
• Effacer les données de l'entreprise sur le téléphone personnel (effacement sélectif par la gestion des appareils).
• Retirer les appareils de l'employé de la liste des appareils autorisés.

Applications et accès externes

• Désactiver les comptes dans les applications infonuagiques qui ne passent pas par l'authentification unique : CRM, comptabilité, paie, outils de conception.
• Retirer l'accès à la banque en ligne et changer les autorisations de signature.
• Retirer les droits sur les pages de réseaux sociaux, les comptes publicitaires et le gestionnaire de nom de domaine.
• Désactiver le compte VPN et les accès à distance.

Secrets partagés

• Changer tous les mots de passe partagés que l'employé connaissait : Wi-Fi, alarme, comptes génériques, portails de fournisseurs.
• Retirer l'employé des coffres partagés du gestionnaire de mots de passe.

Clôture

• Rappeler par écrit les obligations de confidentialité et le retour des documents.
• Faire confirmer la checklist par écrit par la personne responsable.
• Planifier la suppression définitive du compte et la récupération de la licence.

Un gestionnaire de mots de passe d'entreprise rend l'avant-dernière section beaucoup plus simple : on voit d'un coup d'œil à quels secrets l'employé avait accès. Notre guide pour déployer un gestionnaire de mots de passe explique comment s'y prendre.

Après le départ : conserver, puis supprimer

Ne supprimez pas le compte le jour même. Microsoft indique qu'après la suppression d'un compte, le contenu de sa boîte aux lettres et de son OneDrive est conservé 30 jours, période pendant laquelle on peut encore restaurer le compte. Récupérez d'abord ce qui est utile.

Ensuite, appliquez votre calendrier de conservation : la Loi 25 exige de détruire ou d'anonymiser les renseignements personnels une fois les fins accomplies, sous réserve des délais de conservation prévus par une loi (article 23).

Enfin, si vous découvrez qu'un ancien employé a accédé à des renseignements personnels après son départ, traitez la situation comme un possible incident de confidentialité et consignez-la dans votre registre des incidents.

Vérifier que la procédure fonctionne

Une fois par trimestre, comparez la liste des comptes actifs à la liste des employés fournie par la paie. Tout compte sans propriétaire est un problème à régler.

Appliquez la même logique aux changements de poste. Une adjointe qui passe de la comptabilité aux ventes ne devrait pas garder l'accès aux dossiers de paie. Sans revue, les droits s'accumulent au fil des années, et un seul compte compromis ouvre alors toutes les portes. Il en va de même pour les stagiaires, les contractuels et les employés d'un fournisseur qui quittent votre dossier : leur départ ne passe pas par vos RH, mais leurs accès doivent tomber aussi.

Cette vérification fait partie des points que nous examinons lors d'un audit Microsoft 365 et Google Workspace, avec les comptes d'administration oubliés et les règles de transfert suspectes. Pour en savoir plus sur ces réglages, lisez aussi notre article sur l'audit de sécurité Microsoft 365.