Un salarié change d’équipe mais conserve ses anciens accès. Un remplaçant garde une autorisation temporaire. Ces situations s’accumulent discrètement et peuvent donner à un compte une portée qui ne correspond plus à ses missions.
Relier chaque droit à un besoin
La CNIL recommande une politique de contrôle d’accès et le retrait des permissions lorsqu’elles ne sont plus justifiées. La mobilité interne mérite donc autant d’attention que le départ de l’entreprise.
Attribuer les rôles de validation
Les ressources humaines connaissent les changements de situation ; le manager connaît le besoin métier ; l’IT applique les droits. Le processus doit relier ces acteurs et préciser qui vérifie l’exécution. Les comptes externes et techniques nécessitent aussi un responsable identifié.
Faire une revue exploitable
Exemple fictif : un responsable reçoit la liste des accès de son équipe. Pour chaque accès, il doit pouvoir comprendre l’application, le niveau de privilège et la justification. Une liste de codes incompréhensibles encourage une validation automatique.
Le regard Aztechnix
Commencez par une application sensible et quelques profils. Comparez les droits attendus aux droits réels, puis traitez les écarts. Conservez la décision et sa date pour les exceptions. Une revue n’est terminée que lorsque les retraits décidés ont été effectués. Cette démarche doit aussi couvrir les liens de partage et les accès accordés hors des groupes habituels, lorsque l’application le permet.
Source et méthode
CNIL — Gérer les habilitations. Source consultée le 1er novembre 2026. Synthèse et recommandations pratiques : Aztechnix. Les mises en situation sont fictives ; elles ne constituent pas des références clients.