À retenir
Examinez ensemble les comptes, les méthodes de connexion et les droits sur les données. Un outil de protection ne remplace pas une décision claire sur les personnes qui doivent avoir accès.
Repartez des personnes et de leurs rôles
Qui travaille encore dans l’organisation ? Qui a changé de fonction ? Qui intervient comme prestataire ? Comparez cette réalité aux comptes et aux droits présents dans votre environnement.
Examinez séparément les comptes d’administration et les comptes utilisés au quotidien. Pour chaque accès sensible, identifiez une personne responsable et une raison de le conserver.
Regardez comment les personnes se connectent
La présence d’une authentification multifacteur ne suffit pas à décrire toutes les conditions de connexion. Examinez les méthodes autorisées, les exceptions et les procédures de récupération.
Une clé de sécurité physique peut faire partie des méthodes envisagées. Son choix doit tenir compte des applications, des appareils et de la prise en main par les utilisateurs ; il ne règle pas à lui seul l’ensemble des accès.
Vérifiez ce qui reste accessible après un départ
Le départ d’un collaborateur demande de coordonner la fermeture des accès et la continuité du travail. Qui doit reprendre les dossiers ? Quels contenus doivent être conservés ? Qui autorise leur consultation ?
La documentation Microsoft distingue notamment le blocage de connexion et les opérations sur la messagerie, les données et les appareils. Adaptez la procédure à votre environnement et vérifiez son résultat.
Transformez la revue en actions attribuées
Un accès à retirer, un partage à corriger, une exception à réexaminer : chaque constat doit mener à une action, un responsable et une vérification.
Vous n’avez pas besoin de tout changer en une fois. Commencez par les comptes sensibles et les données essentielles, puis organisez les revues après les arrivées, les départs et les changements de rôle.
Trois questions pour votre équipe
- Chaque compte sensible a-t-il un responsable identifié ?
- Les exceptions aux règles de connexion sont-elles expliquées ?
- Le départ d’une personne déclenche-t-il une vérification des accès ?
Une checklist pour le prochain départ
Avant la date convenue, le responsable métier précise qui reprend les dossiers. L’équipe informatique traduit cette décision en actions et conserve une trace de leur vérification. Évitez de commencer par supprimer le compte : la conservation des données doit être préparée.
| Action à préparer | Qui décide ou réalise ? | Comment vérifier ? |
|---|---|---|
| Fixer la date de fin d’accès et les applications concernées | Responsable métier et IT | Liste approuvée des services, y compris hors Microsoft 365 |
| Bloquer les connexions et traiter les sessions actives | IT habilitée | Contrôle des comptes et méthodes d’accès concernés |
| Organiser la continuité des dossiers et de la messagerie | Responsable métier, puis IT | Accès de reprise limité et validé |
| Récupérer les appareils et traiter les données professionnelles | Responsable matériel et IT | Inventaire mis à jour et contrôle du traitement |
| Réexaminer licences et conservation avant suppression | IT et responsable des données | Décisions consignées, puis exécution vérifiée |
Cette grille coordonne les personnes ; elle ne remplace pas une procédure technique adaptée à votre configuration.
Qui détient les clés de votre Microsoft 365 ?
Les comptes qui administrent votre environnement méritent une attention particulière. Séparez les usages quotidiens et l’administration, vérifiez les privilèges attribués et prévoyez une authentification résistante au phishing.
Préparez aussi la récupération de l’administration si les accès habituels deviennent inutilisables. Microsoft recommande au moins deux comptes d’urgence cloud, fortement protégés, surveillés et testés. Leur configuration doit éviter de recréer les dépendances qui pourraient vous bloquer.
Quelles applications peuvent consulter vos informations ?
Une application peut disposer d’autorisations sans qu’un utilisateur se connecte devant vous. Examinez les consentements, les permissions et le responsable de chaque intégration, y compris les services utilisés pour envoyer des messages ou accéder aux documents.
Une autorisation devenue inutile doit être examinée puis retirée par une personne habilitée. Préparez les tests avant de modifier une intégration nécessaire à votre activité.
Votre fiche de revue des accès
Réunissez le responsable métier et votre interlocuteur IT. Pour chaque point, notez le constat, la personne qui décide et la prochaine vérification.
| À examiner | Question utile | Trace à conserver |
|---|---|---|
| Administration | Qui possède des privilèges et pour quelle raison ? | Comptes, responsables et exceptions à revoir |
| Connexions | Quelles méthodes et exceptions sont réellement utilisées ? | Méthodes autorisées et plan de transition |
| Invités et partages | Les destinataires ont-ils encore besoin de cet accès ? | Partages revus et décisions de maintien ou retrait |
| Applications | Qui autorise les accès aux messages et aux documents ? | Permissions, propriétaire et utilité actuelle |
| Accès de secours | Peut-on reprendre l’administration si les accès habituels échouent ? | Procédure protégée et date du dernier test |
Ne rassemblez pas les mots de passe ou les secrets dans cette fiche. Les fonctions disponibles et les vérifications dépendent des licences, des journaux accessibles et des services concernés.
