Faut-il éviter les comptes partagés au bureau ?

Le mot de passe de la messagerie de l'accueil noté sur une étiquette. Le compte du logiciel de comptabilité utilisé par trois personnes. L'identifiant du fournisseur partagé par toute l'équipe. Ces pratiques s'installent par commodité et deviennent invisibles à force d'être quotidiennes. Elles posent pourtant des problèmes concrets.

Qu'est-ce qu'un compte partagé ?

C'est un identifiant utilisé par plusieurs personnes, par opposition au compte nominatif attribué à une seule. On le rencontre sous deux formes : le compte générique créé pour une fonction, comme une adresse d'accueil ou de facturation, et le compte individuel d'une personne dont le mot de passe circule dans l'équipe.

La seconde forme est la plus problématique. Le compte porte le nom d'une personne, qui se trouve responsable d'actions qu'elle n'a pas effectuées.

Quels problèmes cela crée-t-il ?

• Aucune traçabilité. En cas d'erreur, de suppression ou d'incident, impossible de savoir qui est intervenu. La question ne se pose pas pour blâmer, mais pour comprendre et corriger.
• Une fermeture impossible. Au départ d'une personne, il faudrait changer le mot de passe et le communiquer à tous les autres. Faute de le faire, l'ancien collaborateur conserve un accès.
• Un mot de passe qui ne change jamais. Parce que le changer oblige à prévenir tout le monde, il reste en place des années.
• Une diffusion incontrôlée. Transmis oralement, par message, noté sur un carnet, il finit par être connu au-delà du cercle prévu.
• Une double authentification difficile. Sur quel téléphone envoyer le code de validation quand le compte appartient à cinq personnes ?
• Des droits excessifs. Le compte commun cumule les besoins de tous, donc les droits de tous.

Comment sortir de cette situation ?

1. Recensez les comptes partagés. Interrogez chaque service sans chercher de responsable : l'objectif est la liste, pas le reproche.
2. Classez-les selon leur sensibilité : accès bancaires et administratifs d'abord, outils secondaires ensuite.
3. Créez des comptes nominatifs partout où le logiciel le permet, avec des droits adaptés à chaque fonction.
4. Traitez les adresses de fonction autrement : une adresse comme celle de l'accueil peut être redirigée vers plusieurs boîtes nominatives, ou consultée par délégation, sans mot de passe commun.
5. Pour ce qui reste réellement partagé, placez le mot de passe dans un gestionnaire de mots de passe, qui le partage sans le dévoiler et permet de retirer l'accès d'une personne. Voyez quel gestionnaire de mots de passe choisir en entreprise.
6. Notez le responsable de chaque compte restant et la date du dernier changement de mot de passe.

Quand un compte commun reste-t-il acceptable ?

Quelles règles appliquer aux comptes qui subsistent ?

Quand un compte partagé ne peut pas être supprimé, encadrez-le. Le mot de passe ne circule plus par message ni sur papier : il vit dans le gestionnaire, accessible aux seules personnes concernées. Il est changé à chaque départ, sans exception. Les droits du compte sont réduits au strict nécessaire, et il ne sert jamais à des opérations sensibles comme un virement ou une modification de coordonnées bancaires. Enfin, la liste de ceux qui y ont accès est tenue à jour, et revue avec les autres accès au moment des mouvements de personnel, comme le rappelle quels accès fermer au départ d'un collaborateur.

Par où commencer concrètement ?

Commencez par les accès dont la compromission aurait les conséquences les plus lourdes : messagerie, banque, portails administratifs, outils d'administration informatique. Ces comptes doivent devenir nominatifs et recevoir la double authentification. Le reste peut être traité progressivement, service par service, sans bloquer l'activité.

NexSecure structure ces comptes et leurs accès dans le cadre de l'infogérance.