Départ d’un employé : la liste d’accès que la plupart oublient
Quand quelqu’un part, la plupart des entreprises désactivent son courriel et considèrent l’affaire réglée. L’accès survit pourtant à bien d’autres endroits. Où regarder, et une liste que les RH peuvent appliquer le dernier jour.
Les brèches qui font vraiment mal aux PME sont rarement sophistiquées. Très souvent, c’est une connexion qu’on n’a jamais fermée.
Un départ, c’est le moment où ça arrive. Quelqu’un part un vendredi, son courriel est désactivé le lundi, et tout le monde passe à autre chose — pendant que son accès à une demi-douzaine d’autres systèmes continue discrètement.
Où l’accès survit
Désactiver la boîte ferme une porte. Celles-ci restent ouvertes :
- Les sessions enregistrées. Navigateurs et applications restent connectés longtemps après un changement de mot de passe.
- Les mots de passe d’application et jetons d’API. Créés pour une intégration il y a des années, jamais liés à la connexion principale.
- Les règles de transfert. Créées avant le départ, elles copient encore discrètement le courriel vers une adresse externe.
- Les mots de passe partagés. Le compte de réseaux sociaux, le Wi-Fi, le portail fournisseur, la page d’administration du routeur.
- Les coordonnées de récupération. Un numéro de téléphone ou un courriel personnel défini comme méthode de récupération d’un compte d’entreprise.
- Les services tiers. Logiciel comptable, CRM, registraire de domaine, panneau d’hébergement — dont aucun n’utilise forcément votre courriel comme identifiant.
- L’accès physique et à distance. Codes de porte, codes d’alarme, profils VPN, outils de bureau à distance.
Le cas le plus grave : un ancien employé qui est le titulaire de votre domaine ou de votre compte d’hébergement. C’est un réel levier sur votre entreprise, et c’est bien plus simple à corriger tant que la relation est cordiale.
La liste du dernier jour
À appliquer le jour du départ — idéalement avant la dernière connexion :
- Désactiver le compte d’annuaire (Microsoft 365, Google Workspace) et révoquer toutes les sessions actives.
- Retirer les règles de transfert et les délégations de boîte.
- Révoquer les mots de passe d’application, jetons d’API et autorisations OAuth.
- Renouveler chaque identifiant partagé qu’il connaissait — Wi-Fi, réseaux sociaux, portails fournisseurs, administration du routeur et du pare-feu.
- Vérifier les coordonnées de récupération des comptes d’entreprise pour son numéro ou son courriel personnel.
- Le retirer des services tiers — comptabilité, CRM, banque, hébergement, registraire.
- Transférer la propriété de tout ce qui est enregistré à son nom.
- Changer les accès de porte, d’alarme et VPN.
- Consigner ce qui a été fait et quand.
Faciliter le prochain départ
La plupart des difficultés viennent des connexions partagées. Si cinq personnes utilisent un seul mot de passe, en retirer une oblige à le changer pour tous — donc ça ne se fait pas.
Des comptes nominatifs avec des rôles définis font du départ une seule action. Un gestionnaire de mots de passe avec coffre d’entreprise rend les identifiants partagés restants faciles à renouveler.
Si c’est déjà en retard, voir un ancien employé a encore accès à tout. Le travail plus large relève de notre pratique en cybersécurité.
- Contrôle d’accès
- Départ
- Cybersécurité