Qui a accès à quoi dans votre entreprise, et qui peut le prouver ?
L'ANSSI a publié début septembre sa fiche pratique sur la gestion des identités. Elle s'adresse à un public technique, alors que les décisions qu'elle décrit se prennent en comité de direction. Nous l'avons traduite en livre blanc.
Sommaire
Un dirigeant nous appelle parce qu’un devis est sorti de l’entreprise. Il veut savoir qui l’a envoyé. La réponse tient en une phrase, et ce n’est pas celle qu’il espérait : le fichier a été ouvert depuis le compte « compta », que trois personnes utilisent.
À partir de là, il n’y a plus d’enquête possible. Ni pour lui, ni pour son assureur, ni pour qui que ce soit d’autre. Le problème n’est pas qu’il manque un outil de sécurité : c’est qu’il manque une réponse.
C’est exactement le sujet que traite l’ANSSI dans sa fiche pratique « Gestion des identités », parue le 7 septembre 2026 au sein des fiches pratiques ReCyF. Le Référentiel Cyber France y détaille les mesures attendues pour atteindre les objectifs de sécurité fixés par la directive NIS 2. Il est diffusé à ce stade comme un document de travail, non contraignant en l’état — mais il annonce déjà, noir sur blanc, ce qui sera demandé.
Un détail nous a arrêtés. La fiche précise qu’elle s’adresse à « un public technique chargé de la mise en œuvre ». Or l’essentiel de ce qu’elle décrit n’est pas technique. Ce sont des décisions d’organisation, et elles se prennent en comité de direction, pas devant une console d’administration.
Nous l’avons donc traduite.
Trois fonctions que l’on confond en permanence
Toute sécurité d’accès repose sur trois choses distinctes, que le langage courant mélange sous le mot « connexion ».
L’identification annonce qui l’on est : c’est l’identifiant, le nom d’utilisateur, l’adresse e-mail. Il désigne une personne, mais ne prouve rien, puisque n’importe qui peut le saisir.
L’authentification le prouve : mot de passe, code reçu sur le téléphone, empreinte. L’ANSSI demande qu’au moins un des éléments en jeu reste réellement secret — ce qui, au passage, exclut le visage ou l’empreinte comme unique preuve, puisqu’ils n’ont rien de secret.
Les droits d’accès décident de ce que l’on peut faire une fois entré. Le comptable accède à la comptabilité, pas aux dossiers du personnel. Être authentifié ne veut pas dire avoir le droit.
À ces trois fonctions s’ajoute la traçabilité, qui garde la trace de qui a fait quoi et quand. Sans elle, les trois autres restent invérifiables.
Quatre décisions qui ne coûtent presque rien
Un compte par personne, un compte par programme. C’est la règle fondatrice. Les comptes techniques, rattachés à une application ou à un script, ne doivent être utilisés par personne : dès qu’un humain s’en sert, les traces deviennent illisibles. Conséquence directe sur les habitudes : le compte « accueil » ou « atelier » partagé par commodité devient une exception à justifier, pas un confort.
Des droits attribués par profil métier, jamais par individu. On définit des profils — comptabilité, commerce, direction — et l’arrivée d’un salarié consiste à lui donner le bon profil, pas à recopier les droits d’un collègue. Sans cela, une carrière interne se transforme en cumul d’accès que plus personne ne sait justifier.
Une procédure qui relie un départ à une désactivation. L’ANSSI demande une désactivation « sans délai » des comptes dont l’usage n’est plus justifié. Sans délai suppose deux choses : un signal, le plus souvent déclenché par les ressources humaines, et une action rapide. À défaut d’automatisation, il faut au moins un responsable désigné et un délai écrit.
Une revue annuelle des comptes et des droits. Parce que des oublis se produisent toujours, et que les comptes ouverts pour un prestataire extérieur survivent souvent des années à la fin de sa mission.
Le mot de passe, et ce qui a changé
Les règles qui l’entourent ont beaucoup évolué, et certaines habitudes d’entreprise sont aujourd’hui contre-productives. La solidité se mesure par l’entropie, exprimée en bits, qui combine la longueur du mot de passe et la variété des caractères autorisés. Une phrase longue et facile à retenir bat une suite courte de symboles illisibles — la CNIL met d’ailleurs à disposition un générateur construit à partir d’une phrase et un calculateur pour évaluer sa politique.
Le vrai danger reste la réutilisation : un mot de passe volé sera essayé partout ailleurs, c’est le premier réflexe de l’attaquant. En mémoriser des dizaines étant hors de portée, l’outil prévu pour cela est le coffre-fort numérique. Nous avions détaillé la construction d’un secret solide dans un article dédié aux mots de passe, et le fonctionnement du second facteur dans celui consacré à l’authentification à deux facteurs. Pour les aspects proprement techniques, l’ANSSI publie ses recommandations relatives à l’authentification multifacteur et aux mots de passe.
Ce que nous avons volontairement laissé de côté
La fiche de l’ANSSI consacre plusieurs pages aux annuaires LDAP et Active Directory, ainsi qu’aux infrastructures de gestion de clés et aux certificats. Nous ne les avons pas repris.
Ce n’est pas un oubli. Ces sujets relèvent de la mise en œuvre, ils supposent un lecteur qui administre déjà un système d’information, et les inclure aurait rendu le document illisible pour son public. Le livre blanc s’arrête donc là où commence la console d’administration. Si vous avez besoin de la suite, l’ANSSI la documente déjà très bien, et c’est notre métier de vous accompagner dessus.
Pour aller plus loin
Le livre blanc reprend l’ensemble en seize pages : le problème de l’imputabilité, les trois fonctions, la règle du compte individuel, le cas des comptes partagés et leurs mesures compensatoires, les mots de passe, l’authentification multifacteur, les droits d’accès et le cycle de vie d’un compte, les pièges les plus fréquents, et une checklist de onze points à passer en revue dans votre organisation.
Il ne demande aucun prérequis technique. Si vous décidez qui a accès à quoi — dirigeant, responsable administratif ou RH, chef de projet — il a été écrit pour vous. Et si votre entreprise travaille pour des clients soumis à NIS 2, sachez que ces questions vous seront posées : nous expliquions dans un article sur la sous-traitance comment la directive atteint des PME qui ne sont pas directement visées.
→ Téléchargez le livre blanc « ACCÈS : qui est qui, qui peut quoi, et qui l’a vraiment fait » (PDF)
Retrouvez nos articles en priorité dans vos résultats Google en nous ajoutant à vos sources préférées.
Ajouter aux sources préféréesQuestions fréquentes
Qu'est-ce que l'imputabilité en sécurité informatique ?
C'est la capacité à rattacher chaque action réalisée sur un système à une personne précise. Elle repose sur trois fonctions combinées : l'identification, qui annonce qui l'on est ; l'authentification, qui le prouve ; les droits d'accès, qui bornent ce que l'on peut faire. Sans elle, une entreprise ne peut répondre à la seule question qui compte le jour d'un incident : qui a fait quoi, et quand.
Peut-on encore utiliser un compte partagé entre plusieurs salariés ?
L'ANSSI l'admet dans deux cas seulement : quand l'équipement ne sait pas gérer plusieurs comptes, ou quand plusieurs personnes doivent travailler dans une même session ouverte. Dans ces situations, le compte ne garantit plus l'imputabilité, et elle doit être rétablie autrement : un contrôle d'accès physique à la salle, ou un registre où chacun inscrit la date et l'heure de son utilisation.
Faut-il supprimer le compte d'un salarié qui quitte l'entreprise ?
Non, il faut le désactiver. La suppression efface aussi les traces et les données rattachées au compte, qui peuvent être nécessaires plus tard en cas d'enquête ou de litige. La désactivation empêche toute connexion tout en préservant l'historique, dans le respect des règles de protection des données. Elle vaut aussi pour les absences longues, le compte étant réactivé au retour.
Mon entreprise est-elle concernée si elle n'est pas soumise à NIS 2 ?
Les mesures décrites restent pertinentes quelle que soit la taille de l'entreprise, parce qu'elles ne coûtent presque rien et qu'elles décident de la capacité à répondre après un incident. Par ailleurs, beaucoup d'entreprises hors du périmètre direct de la directive y entrent par la porte de service, leurs clients régulés leur répercutant leurs propres obligations par voie contractuelle.
