Le contrôle d’accès et la cybersécurité dans la gestion documentaire répondent à une question essentielle : qui peut consulter, modifier ou supprimer chaque document, et comment l’organisation peut-elle le prouver ? Sur une plateforme qui conserve des contrats, des données d’intervenants et des informations techniques, cette question n’admet pas de réponse approximative.
En bref
- Le contrôle d’accès repose sur trois éléments : l’authentification, l’autorisation et la journalisation.
- Le principe du moindre privilège limite l’impact des erreurs, des comptes compromis et des utilisations abusives.
- Les droits d’accès doivent suivre des profils définis, et non des demandes individuelles accumulées au fil des années.
- Ce sont les revues périodiques des accès et les journaux d’audit qui transforment les règles en preuves.
Les trois éléments du contrôle d’accès
| Élément | Question | Exemples de contrôles |
|---|---|---|
| Authentification | Qui est cette personne ? | Comptes individuels, authentification multifacteur, verrouillage après des tentatives infructueuses |
| Autorisation | Que peut-elle voir et faire ? | Profils, droits par dossier, entité ou type de document, séparation des tâches |
| Journalisation | Qu’a-t-elle fait et quand ? | Journaux d’accès, de modification et de suppression, alertes en cas de comportement anormal |
Ces trois éléments sont interdépendants : une faiblesse dans l’un d’eux fragilise les autres. Par exemple, des droits bien conçus perdent leur valeur si plusieurs personnes partagent le même compte, car il devient impossible de savoir qui a fait quoi.
Le principe du moindre privilège
Chaque utilisateur ne doit avoir accès qu’aux informations nécessaires à sa fonction, et seulement pendant la durée où il en a besoin. Bien que ce principe paraisse évident, il est souvent oublié dans la pratique : un collaborateur change de fonction et conserve ses anciens accès ; un prestataire termine son contrat et son compte reste actif ; un administrateur accorde des droits étendus pour résoudre un problème urgent et ne les retire jamais.
Le moindre privilège n’est donc pas un paramétrage que l’on effectue une seule fois. Au contraire, c’est une discipline qui exige une revue régulière. En même temps, il réduit l’impact de tout incident, car un compte compromis n’expose que ce à quoi il avait accès.
Des profils plutôt que des exceptions
Sur une plateforme de gestion documentaire, la manière la plus robuste de gérer les droits consiste à définir des profils par fonction, comme analyste documentaire, gestionnaire de contrat, responsable HSE, prestataire ou auditeur, puis à rattacher chaque utilisateur à un profil. Ainsi, les droits restent cohérents, la création de nouveaux comptes devient rapide et les revues deviennent possibles.
Cependant, lorsque chaque utilisateur reçoit des droits sur mesure, au bout de quelques années, personne ne peut expliquer pourquoi telle personne voit telle information. C’est pourquoi les exceptions doivent être rares, justifiées, approuvées et assorties d’une date de fin.
Séparation des tâches
Certaines combinaisons de droits créent des risques spécifiques. Par exemple, une même personne ne doit pas pouvoir déposer un document au nom d’un prestataire et le valider, ni modifier un enregistrement et effacer son historique. De même, celui qui administre la plateforme ne doit pas, en règle générale, approuver les exceptions au processus documentaire. Ainsi, la séparation des tâches protège l’organisation contre les erreurs et la fraude, et protège aussi les utilisateurs eux-mêmes, dont les actions restent claires et vérifiables.
Chiffrement et protection des données
Le contrôle d’accès agit sur les personnes qui utilisent la plateforme. Par ailleurs, le chiffrement protège les données lorsqu’elles circulent sur le réseau et lorsqu’elles sont stockées, y compris dans les sauvegardes. Ensemble, ces contrôles réduisent le risque d’exposition, même en cas de défaillance, comme le vol d’un disque ou l’interception d’une communication. Dans cette optique, lors de l’évaluation d’une plateforme, l’organisation doit vérifier que le chiffrement en transit et au repos est garanti et savoir qui gère les clés.
Journaux d’audit : Ce qu’il faut conserver
- accès réussis et échoués, avec la date, l’heure et l’origine ;
- consultations, téléchargements, modifications et suppressions de documents sensibles ;
- modifications des droits et des profils ;
- décisions de validation et d’exception.
Les journaux doivent être protégés contre toute modification et avoir une durée de conservation définie. Toutefois, tout conserver indéfiniment n’est pas la solution : la durée doit être proportionnée à la finalité et, lorsque les journaux contiennent des données personnelles, respecter le RGPD.
Revues périodiques des accès
Au moins une fois par an, et à chaque réorganisation, les responsables de chaque service doivent confirmer que les membres de leur équipe disposent toujours des accès appropriés. Les comptes inactifs, les comptes de prestataires dont le contrat est terminé et les droits d’administration méritent une attention particulière. De cette façon, l’organisation corrige les écarts avant qu’ils ne deviennent des incidents.
Exemple : L’accès oublié
Un technicien HSE change de site et travaille désormais dans une autre région. Six mois plus tard, il voit toujours la documentation des intervenants de son ancien site, y compris les fiches d’aptitude. Personne ne lui a retiré ses accès, car la demande de mutation ne portait que sur les nouveaux droits. Lors d’une revue des accès, toutefois, la situation est détectée et corrigée. Sans cette revue, l’organisation conserverait un accès inutile à des données personnelles sensibles, difficile à justifier devant une autorité de contrôle.
Accès logique et accès physique : La même logique
Dans de nombreuses organisations, le contrôle d’accès à la plateforme documentaire et le contrôle d’accès aux installations sont gérés par des équipes différentes. Pourtant, la logique est la même : seules les personnes qui remplissent les conditions définies doivent entrer. C’est pourquoi, lorsque le statut documentaire d’un intervenant externe alimente le système de contrôle d’accès physique, l’organisation garantit la cohérence entre ce que dit la documentation et ce qui se passe à l’accueil. De plus, lorsqu’une personne cesse de travailler avec l’organisation, la désactivation du compte et la révocation du badge physique doivent avoir lieu simultanément.
Erreurs courantes
- Comptes partagés. Les journaux ne permettent plus d’identifier qui a réalisé chaque action.
- Droits cumulés. Une personne qui change de fonction conserve des accès dont elle n’a plus besoin.
- Trop d’administrateurs. Chaque compte d’administration est une cible privilégiée pour un attaquant.
- Journaux que personne ne consulte. Sans alertes ni analyse, les journaux ne servent qu’après l’incident.
- Prestataires oubliés. Les comptes d’entreprises qui ne travaillent plus avec l’organisation restent actifs.
Indicateurs à suivre
- nombre de comptes disposant de droits d’administration ;
- comptes inactifs depuis plus de 90 jours ;
- pourcentage de comptes protégés par une authentification multifacteur ;
- délai moyen entre le départ d’une personne et la désactivation de son compte ;
- tentatives d’accès échouées et alertes traitées.
Ensemble, ces indicateurs donnent à la direction une vision simple de l’état du contrôle d’accès, sans exiger de connaissances techniques approfondies.
Contrôle d’accès et cybersécurité : Mise en œuvre en cinq étapes
- Classer l’information. Tout d’abord, identifier les documents publics, internes, confidentiels ou contenant des données personnelles sensibles.
- Définir des profils. Ensuite, associer chaque fonction à un ensemble de droits, sur la base du moindre privilège.
- Renforcer l’authentification. De plus, appliquer l’authentification multifacteur, en commençant par les administrateurs et les comptes ayant accès à des données sensibles.
- Activer les journaux et les alertes. Ainsi, les accès et les modifications deviennent traçables et les comportements anormaux sont signalés.
- Revoir régulièrement. Enfin, planifier des revues des accès et corriger les écarts.
Questions fréquentes
Qui doit approuver les droits d’accès ?
Le responsable de l’information, généralement le responsable du service qui la produit ou l’utilise. L’équipe informatique effectue le paramétrage, mais la décision sur qui doit voir quoi appartient aux métiers.
Les prestataires doivent-ils avoir accès à la plateforme ?
Oui, lorsqu’ils déposent et mettent à jour leur documentation, mais ils ne doivent voir que les informations de leur entreprise et de leurs intervenants, avec des comptes individuels et une authentification adaptée.
Qu’est-ce qui change avec une plateforme dans le cloud ?
Avec une plateforme en mode SaaS, une partie de la sécurité relève de la responsabilité du fournisseur, comme l’infrastructure, le chiffrement et les sauvegardes. Cependant, la gestion des utilisateurs, des profils et des droits reste à la charge de l’organisation. Il convient donc de préciser dans le contrat qui fait quoi et comment l’organisation accède aux journaux d’audit.
À quelle fréquence faut-il revoir les accès ?
En général, au moins une fois par an pour tous les utilisateurs, et plus souvent pour les comptes d’administration et de prestataires. Les réorganisations, fusions ou changements de fournisseur justifient également des revues exceptionnelles.
Questions pour la direction générale
- Quand avons-nous effectué la dernière revue des accès à la plateforme documentaire ?
- Combien de comptes disposent de droits d’administration, et pourquoi ?
- Pouvons-nous savoir qui a consulté un document sensible au cours du dernier mois ?
Conclusion
En somme, le contrôle d’accès et la cybersécurité dans la gestion documentaire ne reposent pas sur une technologie isolée, mais sur un ensemble cohérent de règles, de profils, de journaux et de revues. Lorsque ces éléments fonctionnent ensemble, l’organisation protège l’information et peut, en même temps, démontrer cette protection à ses clients, à ses auditeurs et aux autorités.
Par conséquent, le meilleur point de départ est souvent le plus simple : dresser la liste de ceux qui ont accès aujourd’hui, vérifier s’ils en ont besoin et corriger ce qui n’a pas de sens. Répété régulièrement, cet exercice élimine déjà une part importante du risque.
AISP-GEDOC accompagne les entreprises dans la gestion documentaire sur des plateformes numériques, y compris la définition des profils, des droits et des règles d’accès.
À lire aussi : L’authentification dans la gestion des documents d’entreprise et Les journaux d’audit dans les plateformes de gestion documentaire.
Pour aller plus loin : Gestion documentaire : Le guide complet pour les entreprises.