Un lundi matin, Daniel A. tombe sur un dossier partagé qui traîne dans le Microsoft 365 de son atelier : les plans d'une pièce livrée à un client horloger, ouverts « à toute l'entreprise ». Il repense au même moment à ce stagiaire parti au printemps — son compte fonctionne-t-il encore ? Personne n'a jamais vraiment fait le tri, et ces questions n'ont pas de réponse claire ce matin-là.
C'est une situation banale, et c'est précisément ce qui la rend inquiétante. Dans une PME industrielle qui vit sur ses plans et son carnet de commandes, les accès numériques se sont installés au fil des embauches, des départs et des dépannages, sans que personne ne les regarde jamais d'ensemble.
Pourquoi revoir les accès Microsoft 365, et pas seulement les mots de passe
Microsoft 365, c'est la messagerie, les fichiers partagés, Teams, l'agenda : le système nerveux administratif de l'entreprise. Chaque personne y possède un compte, et chaque compte donne accès à un certain nombre de choses. Le problème, c'est que ces accès ne font que s'ajouter. On en ouvre pour dépanner, pour un projet, pour un remplacement — et on ne les referme presque jamais.
Trois dérives reviennent systématiquement dans les PME.
Le compte dormant d'abord : le compte d'une personne qui a quitté l'entreprise, ou qui ne s'en sert plus, mais qui reste actif. Tant qu'il existe, il peut être utilisé — par la personne partie, ou par un attaquant qui aurait mis la main dessus. C'est une porte laissée ouverte dans un bâtiment que plus personne ne surveille.
Le partage trop large ensuite : un dossier de fichiers qu'on a un jour ouvert « à tout le monde » pour aller vite, et qu'on a oublié de refermer. Dans un atelier de sous-traitance, cela peut vouloir dire que les plans techniques d'un donneur d'ordre — sa propriété intellectuelle, ce qu'il vous confie de plus sensible — sont visibles par des gens qui n'ont aucune raison de les voir.
L'accumulation de droits enfin, ce qu'on appelle parfois la « dérive des privilèges ». Une personne change de poste, prend de nouvelles responsabilités… et conserve tous ses anciens accès en plus des nouveaux. Au bout de quelques années, plus personne ne sait vraiment qui peut faire quoi. Ajoutez à cela l'invité externe — un fournisseur, un comptable, un client à qui on a partagé un dossier le temps d'un projet — et vous obtenez une liste d'accès que personne n'a jamais relue en entier.
Aucune de ces dérives ne résulte d'une faute. Elles naissent de la vitesse du quotidien : on ouvre un accès parce qu'il faut livrer, on ne le referme pas parce que plus rien ne vient le rappeler. C'est pour cette raison qu'un accès ne se gère pas « une bonne fois pour toutes » mais se revoit régulièrement, comme on refait l'inventaire d'un stock.
Face à cela, un principe simple sert de boussole : le moindre privilège. En clair, chacun ne devrait avoir accès qu'à ce dont il a besoin pour son travail — ni plus, ni pour toujours. C'est une bonne pratique reconnue, au cœur de référentiels comme l'ISO 27001:2022, celui-là même que vos clients horlogers regardent quand ils vous envoient un questionnaire sécurité fournisseur avant de renouveler un contrat.
Ce qu'il faut retenir
Trois idées suffisent à comprendre l'enjeu.
Les accès s'accumulent en silence. Personne ne décide un matin d'ouvrir grand ses données ; cela se fait geste après geste, sans mauvaise intention. C'est justement pour ça qu'il faut, de temps en temps, prendre le recul que le quotidien ne permet pas.
Un compte sans raison d'exister est un risque, pas un détail. Le compte du stagiaire parti, la boîte mail générique que trois personnes se partagent, l'accès accordé « juste pour cette fois » : chacun est un point d'entrée possible. Les supprimer ne coûte rien et retire autant de portes à surveiller.
Savoir qui accède à quoi, c'est aussi une attente de la nLPD. La nouvelle loi suisse sur la protection des données (nLPD), en vigueur depuis septembre 2023, demande aux entreprises une sécurité « appropriée » sur les données qu'elles détiennent. Maîtriser les accès en fait partie : c'est difficile de protéger une donnée si l'on ignore qui peut la consulter. Si vous travaillez aussi avec des clients dans l'Union européenne, le RGPD attend la même chose.
Les gestes à installer cette semaine
Pas besoin d'un audit complet ni d'un prestataire pour commencer. Trois gestes, faisables par vous ou par votre référent informatique, suffisent à reprendre la main.
1. Dresser la liste des comptes et repérer les dormants
Demandez la liste de toutes les personnes qui ont un compte Microsoft 365. Passez-la en revue avec une question simple pour chaque ligne : cette personne travaille-t-elle encore ici, et se sert-elle vraiment de ce compte ? Les comptes de personnes parties se désactivent en priorité. Les boîtes génériques partagées à plusieurs se notent : ce sont des cas à traiter, parce que quand tout le monde y a accès, plus personne n'en est vraiment responsable.
2. Regarder qui accède vraiment à vos dossiers sensibles
Choisissez vos deux ou trois dossiers les plus critiques — pour un atelier, ce sont souvent les plans clients et les gammes d'usinage. Ouvrez la liste des personnes qui y ont accès et lisez-la lentement. Chaque nom devrait vous sembler évident. Un partage « à tout le monde » ou un accès externe que vous ne reconnaissez pas est un signal à corriger tout de suite. L'objectif de la semaine n'est pas de tout passer au peigne fin, seulement de vérifier vos coffres-forts.
3. Adopter le réflexe « moindre privilège » à chaque mouvement
La vraie bascule n'est pas un grand ménage ponctuel, c'est une habitude. À chaque départ, chaque arrivée, chaque changement de poste, posez la question des accès au moment où ça arrive, pas six mois plus tard. Un départ ferme les accès le jour même. Un changement de rôle retire les anciens droits en même temps qu'il en ouvre de nouveaux. Ce réflexe, à lui seul, empêche la plupart des dérives de s'installer — et il ne coûte rien d'autre qu'une question posée au bon moment.
Chez une PME comme celle de Daniel A., ce genre de discipline tient souvent à une seule personne débordée, un référent informatique à mi-temps qui « éteint les incendies ». D'où l'intérêt d'en faire une routine légère et partagée plutôt qu'un chantier qui repose sur une mémoire unique.
Où en êtes-vous vraiment ?
Ces trois gestes vous donnent une photo, pas encore un système. Revoir les accès Microsoft 365 une fois, c'est bien ; savoir à quelle fréquence le refaire, comment tracer les changements, qui en est responsable et comment le prouver à un donneur d'ordre, c'est un autre travail — celui d'une vraie gestion des accès dans le temps.
C'est là que l'auto-évaluation Cyber Passport intervient. Elle ne certifie rien et ne vous déclare pas « en règle » : elle vous montre, question par question, où votre organisation tient debout et où elle repose encore sur la mémoire des uns et des autres. Vous en ressortez avec une image claire de votre maturité et un point de départ honnête pour structurer la suite. L'office fédéral de la cybersécurité (OFCS, ex-NCSC) place d'ailleurs la maîtrise des accès parmi les mesures de base recommandées aux PME.
Pour aller plus loin et mettre en place un cycle de vie des accès complet — comptes nominatifs, revue périodique, procédure de départ — notre blueprint « Gestion des accès » déroule la méthode pas à pas.
