Qui doit accéder à quel dossier partagé ?

Dans beaucoup d'entreprises, les dossiers partagés sont ouverts à tous, ou au contraire verrouillés au point que chacun recrée ses propres copies. Les deux extrêmes posent problème. Entre les deux, une organisation simple tient dans quelques règles, à condition de les décider une fois pour toutes.

Pourquoi ne pas tout ouvrir à tout le monde ?

L'accès général paraît pratique. Il crée pourtant trois risques concrets. Les documents confidentiels, comme les dossiers du personnel ou les éléments financiers, deviennent consultables par n'importe qui. Une suppression ou une modification accidentelle peut toucher des fichiers dont l'auteur n'avait pas la charge. Enfin, si un compte est compromis par un e-mail piégé, l'attaquant accède immédiatement à l'ensemble des documents de l'entreprise.

À l'inverse, un verrouillage excessif produit un effet pervers connu : les personnes contournent l'obstacle. Elles s'envoient les fichiers par e-mail, les copient sur une clé, les déposent sur un espace personnel. Les documents échappent alors totalement au contrôle et aux sauvegardes.

Comment définir les droits sans y passer des semaines ?

La méthode tient en une idée : on donne des droits à des groupes, pas à des personnes. Un groupe correspond à une fonction ou à un service. Quand quelqu'un arrive, change de poste ou part, il suffit de le faire entrer ou sortir du groupe, sans revoir chaque dossier.

1. Listez les grands dossiers du premier niveau de votre arborescence.
2. Créez un groupe par service : commerce, comptabilité, technique, direction.
3. Attribuez un niveau d'accès à chaque couple dossier et groupe.
4. Traitez les dossiers sensibles à part, avec une liste nominative courte et assumée.
5. Écrivez le résultat dans un tableau d'une page, qui devient la référence.
6. Rattachez chaque personne à un groupe, jamais directement à un dossier.

Quels niveaux d'accès distinguer ?

La distinction entre lecture seule et modification est la plus utile au quotidien. Elle protège les documents de référence, souvent altérés par erreur, sans empêcher personne de les consulter.

Comment traiter les cas particuliers ?

Il y en aura toujours : un projet qui réunit deux services, un stagiaire qui n'a besoin que d'un dossier, un prestataire extérieur. Trois règles évitent que ces exceptions deviennent la norme.

• Créez un groupe de projet plutôt que d'ajouter des personnes une à une sur un dossier.
• Datez les accès temporaires. Notez la date de fin dès l'ouverture, sinon l'accès restera ouvert des années.
• Pour un intervenant extérieur, ouvrez un espace dédié où déposer les documents nécessaires, au lieu d'un accès au dossier général.

À quelle fréquence revoir les accès ?

Une revue annuelle suffit dans la plupart des cas, complétée par une vérification à chaque mouvement de personnel. Prenez le tableau des droits, parcourez chaque groupe et posez une seule question par ligne : cette personne a-t-elle encore besoin de cet accès pour son travail actuel ?

Les accès accumulés lors de changements de poste sont le cas le plus fréquent. Quelqu'un passé du service technique au service commercial garde souvent les droits des deux, sans que personne y songe. Au moment d'un départ, la fermeture doit être complète : voyez quels accès fermer au départ d'un collaborateur.

Faut-il garder une trace des consultations ?

Pour les dossiers les plus sensibles, la journalisation, c'est-à-dire l'enregistrement automatique des accès et des modifications, apporte une réponse en cas de doute. Elle permet de savoir qui a ouvert ou supprimé un document, et à quel moment. Elle relève aussi des obligations de sécurité prévues par le RGPD lorsque les dossiers contiennent des données personnelles. Informez les équipes de l'existence de ces enregistrements et limitez leur consultation aux personnes habilitées.

La logique est la même à l'intérieur des logiciels de l'entreprise, comme l'explique la gestion des droits d'accès dans une application.

NexSecure structure et révise ces droits d'accès dans le cadre de l'infogérance.