Michel est parti en 2019. Son compte, lui, est toujours là. Avec ses accès au logiciel de gestion clients. Une chronique tirée de notre livre « Audit-moi si tu peux ».
Ce qui se passe (dans presque tous les audits)
C’est un classique absolu. L’auditeur demande la liste des comptes d’un logiciel important et la compare à la liste du personnel. Et là, on retrouve un compte « Michel_Depart_2019 », toujours actif « au cas où ». Ou un compte générique « Admin » dont tout le service connaît le mot de passe.
Lors d’un audit interne, en observant une connexion aux serveurs DNS, l’auditeur tombe sur un bon vieux compte générique utilisé par toute l’équipe informatique, sans mot de passe conforme ni double authentification. Explication de l’audité : « Ben… c’est plus simple comme ça. »
La simplicité, c’est bien. Jusqu’à ce qu’un audit vous complique la vie. Ou pire, un attaquant.
Ce que l’auditeur regarde vraiment
On investit dans des pare-feux dernier cri, mais on laisse la clé sous le paillasson. Un compte oublié, c’est une porte d’entrée que personne ne surveille : si son mot de passe a fuité un jour, quelqu’un peut l’utiliser sans que rien ne paraisse anormal.
L’auditeur vérifie donc quatre choses très concrètes :
- les départs : les comptes sont-ils désactivés dès qu’un collaborateur ou un prestataire s’en va ?
- les revues d’accès : sont-elles faites pour de vrai, ou se résument-elles à signer en bas d’une liste sans la lire ?
- les comptes génériques : existent-ils encore ? Sans compte nominatif, impossible de savoir qui a fait quoi ;
- les droits d’administrateur : sont-ils réservés à ceux qui en ont besoin, ou distribués comme des confettis ?
À vous de jouer
Trois questions à vous poser :
- Le jour où quelqu’un quitte l’entreprise, qui est prévenu, et en combien de temps ses accès sont-ils coupés ?
- Quand avons-nous vérifié pour la dernière fois, ligne par ligne, qui a accès à nos logiciels les plus importants ?
- Reste-t-il chez nous des comptes partagés par plusieurs personnes ?
La moralité du livre : le danger ne vient pas toujours de pirates encagoulés à l’autre bout du monde. Parfois, il suffit d’un compte oublié à l’étage du dessous.
Pour aller plus loin : la gestion des accès et les autres écueils techniques sont détaillés dans notre livre « Audit-moi si tu peux ».
Chronique adaptée de notre livre « Audit-moi si tu peux : Chroniques (presque) véridiques de l’audit ISO 27001 » (KyNeo, 2026). Préparée avec l’aide d’une intelligence artificielle et validée par KyNeo.