L'employé est parti en mars. Son compte Microsoft 365 est toujours actif. Avec les mêmes droits qu'avant.
Et ce n'est pas une exception. C'est la règle.
Le problème n'est pas la mauvaise volonté. C'est l'absence de processus. L'offboarding n'a pas de propriétaire clair, l'IT apprend les départs par hasard, et l'urgence du quotidien fait que la désactivation d'un compte passe après les tickets en cours. Résultat : des comptes qui traînent, des droits qui s'accumulent, une surface d'attaque qui grandit en silence.
Un compte actif appartenant à un ancien employé, c'est une authentification valide sur vos outils. Microsoft 365, SharePoint, le VPN, le CRM : si le compte n'est pas désactivé, tout reste accessible.
Les audits d'accès que nous réalisons chez nos clients révèlent régulièrement entre 20 et 40 % de comptes orphelins ou inactifs dans des environnements pourtant bien tenus.
Un compte orphelin peut être exploité directement par l'ancien titulaire, ou compromis par un tiers sans que personne ne le remarque, précisément parce que personne ne le surveille.
Le compte orphelin est visible. Il y en a un autre, plus difficile à détecter : le compte actif dont les droits ne correspondent plus au poste.
Un collaborateur change de rôle. On lui donne accès aux outils de son nouveau périmètre. On retire rarement les accès de l'ancien. Au bout de deux ou trois évolutions, il a accès à des données RH, contrats, finance qui n'ont rien à voir avec ses responsabilités actuelles. C'est ce qu'on appelle le privilege creep.
En cas de départ conflictuel, de fuite de données ou d'audit, cette situation devient autant un problème juridique que technique.
Formaliser l'offboarding IT avec une checklist partagée RH/IT : désactivation du compte le jour du départ, révocation des sessions actives, transfert de boîte mail, libération de licence, coupure des accès tiers.
Révoquer les sessions explicitement. Sous Microsoft 365, désactiver un compte ne coupe pas les sessions déjà ouvertes : il faut révoquer les tokens d'authentification séparément.
Auditer les comptes inactifs deux fois par an. Les rapports M365 permettent d'identifier en quelques minutes les comptes sans connexion depuis 60 jours.
Gérer les droits par groupes de rôles, pas compte par compte. Quand quelqu'un change de poste, on change son groupe, les accès suivent automatiquement, dans les deux sens.
Inclure les prestataires. Les comptes créés pour des missions ponctuelles sont les plus oubliés : date d'expiration ou revue à chaque renouvellement.
La gestion des accès ne fait pas de bruit tant qu'elle ne pose pas de problème. Et puis un départ conflictuel, un audit, un incident, et l'état réel de l'environnement apparaît.
Un compte orphelin, c'est une porte oubliée ouverte. Des droits accumulés, c'est une clé qui ouvre trop de pièces. La vraie question : savez-vous lesquels ?
