Gérer les accès des prestataires extérieurs à son système informatique
Un prestataire externe se connecte à votre réseau, intervient sur un poste, accède à vos données clients — puis repart. Son compte est-il désactivé le soir même ? Ses droits étaient-ils strictement limités à ce dont il avait besoin ? Dans la majorité des PME françaises, la réponse est non. Selon l’ANSSI, les accès tiers non maîtrisés figurent parmi les trois principales portes d’entrée utilisées lors des incidents de sécurité en entreprise. Cet article vous donne une checklist opérationnelle en 12 points pour gérer les accès prestataires informatique de façon rigoureuse, les trois étapes les plus critiques détaillées pas à pas, les erreurs les plus fréquentes à éviter, et une FAQ pour trancher les cas concrets qui posent problème.
Pourquoi la gestion des accès prestataires est un risque sous-estimé
Dans une PME de 20 à 150 salariés, il est courant de compter entre cinq et quinze prestataires extérieurs ayant accès, à un moment ou un autre, au système d’information : infogérant, développeur web, comptable externalisé, intégrateur CRM, technicien de maintenance, auditeur RH… Chaque accès ouvert sans procédure représente une surface d’attaque potentielle. Et cette surface est d’autant plus dangereuse qu’elle est invisible : vous ne savez pas, au moment précis de l’intervention, ce que le prestataire consulte, copie ou modifie.
Le coût moyen d’un incident de sécurité pour une PME française est estimé entre 15 000 et 50 000 euros selon les données publiées par la Fédération Française de la Cybersécurité, en incluant les pertes d’exploitation, les frais de remédiation et les pénalités contractuelles éventuelles. Gérer les accès prestataires informatique correctement, c’est donc autant une question de conformité que de protection directe du chiffre d’affaires.
La checklist complète : 12 points à valider avant, pendant et après chaque intervention
Avant l’intervention
- Identifier précisément le périmètre d’accès nécessaire. Quelles applications, quels serveurs, quels dossiers le prestataire doit-il réellement consulter ? Ni plus, ni moins.
- Créer un compte nominatif dédié à l’intervenant. Jamais de compte partagé, jamais de réutilisation d’un identifiant interne existant.
- Définir une durée de validité explicite. Le compte doit être configuré pour expirer automatiquement à la date de fin de mission.
- Appliquer le principe du moindre privilège. L’accès accordé doit être le minimum fonctionnel — pas les droits administrateur si le prestataire n’en a pas besoin.
- Formaliser un accord de confidentialité ou une clause contractuelle. Tout prestataire accédant à des données sensibles doit signer un engagement écrit avant toute ouverture d’accès.
- Documenter l’accès dans un registre des accès tiers. Ce document, même simple (tableur ou outil dédié), trace qui a accès à quoi, depuis quand et jusqu’à quand.
Pendant l’intervention
- Activer la journalisation des actions. Les logs de connexion et d’actions doivent être enregistrés pour chaque session prestataire. Un outil de gestion des accès privilégiés (PAM) comme Wallix Bastion ou CyberArk permet d’automatiser cette surveillance.
- Imposer l’authentification multifacteur (MFA). Un prestataire distant qui se connecte via VPN ou RDP doit passer par une double vérification. Des solutions comme 1Password Business ou des authentificateurs standards permettent d’appliquer ce prérequis sans friction excessive.
- Surveiller les connexions en temps réel ou à intervalles définis. Pour les interventions sensibles, une surveillance active ou un co-pilotage de session est recommandé.
Après l’intervention
- Désactiver le compte immédiatement après la fin de mission. Ne pas attendre le lendemain, ni la semaine suivante. La désactivation est une action à réaliser le jour même.
- Révoquer les accès VPN, les tokens et les clés SSH associés. Un compte désactivé ne suffit pas si des accès techniques parallèles subsistent.
- Archiver les logs de session pendant au moins un an. En cas de litige, d’audit ou d’incident ultérieur, ces journaux sont la seule preuve disponible de ce qui s’est passé.
Astuce pro : Planifiez une revue trimestrielle de votre registre des accès tiers. En quinze minutes, vous identifiez les comptes oubliés actifs, les prestataires dont le contrat est terminé et les droits qui n’ont jamais été révisés à la baisse. Cette revue seule peut fermer des failles ouvertes depuis des mois.
Les 3 points les plus critiques expliqués en détail
1. Le principe du moindre privilège — comment l’appliquer concrètement
Le principe du moindre privilège consiste à n’accorder à chaque utilisateur, humain ou applicatif, que les droits strictement nécessaires à l’accomplissement de sa mission. Pour un prestataire, cela se traduit par une cartographie préalable : quels dossiers, quelle base de données, quel outil métier ? Cette cartographie doit être réalisée avec le responsable du projet interne, pas uniquement avec le prestataire lui-même. Une erreur fréquente consiste à laisser le prestataire définir ses propres besoins d’accès — il a naturellement tendance à demander plus que nécessaire “pour être à l’aise”. Le bon interlocuteur pour valider le périmètre est le RSSI ou le responsable métier concerné.
En pratique, une matrice simple suffit : listez les ressources SI accessibles, puis cochez celles que le prestataire peut lire, modifier ou administrer. Cette matrice devient la base de configuration du compte et le document de référence en cas de litige.
2. La désactivation immédiate du compte — pourquoi c’est la règle la plus souvent violée
Dans les PME sans processus formalisé, la désactivation du compte prestataire dépend d’une action humaine déclenchée par quelqu’un. Cette personne est souvent le responsable technique ou le dirigeant — des profils très sollicités qui oublient, reportent ou délèguent sans suivi. Résultat : des comptes actifs pendant des semaines ou des mois après la fin de mission.
La solution est procédurale et technique : au moment de la création du compte, configurez une date d’expiration automatique dans l’Active Directory ou l’outil de gestion des identités. Même si personne ne pense à désactiver le compte manuellement, il devient inactif à la date prévue. Cette automatisation seule évite une majorité des oublis. Les outils de gestion des identités tels que Microsoft Entra ID ou des solutions de PAM permettent de configurer cette expiration en quelques clics.
3. La journalisation des sessions — ce qu’elle doit contenir pour être utile
Enregistrer qu’un prestataire s’est connecté ne suffit pas. Les logs doivent tracer les actions réalisées : fichiers consultés, modifications effectuées, commandes exécutées. Sans cette granularité, en cas d’incident, vous savez que quelqu’un était connecté, mais pas ce qu’il a fait. Pour les accès à des environnements critiques (serveurs de production, bases de données clients, fichiers RH), un outil PAM capable d’enregistrer les sessions vidéo ou les commandes tapées est la référence. Pour les accès moins sensibles, les logs applicatifs natifs et les journaux VPN constituent une base minimale acceptable.
Cette traçabilité est également une exigence réglementaire : le RGPD impose de documenter les accès aux données personnelles par des tiers. En l’absence de journalisation, une PME ne peut pas démontrer sa conformité en cas de contrôle de la CNIL.
Les erreurs classiques à éviter
- Partager un compte générique entre plusieurs prestataires. Impossible de savoir qui a fait quoi en cas de problème. Chaque intervenant doit avoir son propre identifiant.
- Donner les droits administrateur “pour aller plus vite”. Ce raccourci est la première cause de sur-exposition des accès tiers. La configuration initiale prend plus de temps, mais elle protège l’ensemble du système.
- Ne pas informer le prestataire des règles de sécurité internes. Un prestataire qui ne sait pas qu’il ne doit pas copier de données sur son poste personnel ne constitue pas une faute intentionnelle — mais le risque est identique. La charte d’accès doit être communiquée et signée avant toute intervention.
- Oublier les accès techniques non nominatifs. Clés API, tokens d’intégration, accès FTP créés lors d’un projet ponctuel : ces accès survivent souvent à la fin de la mission et ne sont associés à aucune personne. Un audit semestriel des accès techniques est nécessaire pour les identifier et les révoquer.
- Négliger la gestion des mots de passe temporaires. Si vous transmettez un mot de passe au prestataire par e-mail ou SMS, ce mot de passe doit être changé dès la fin de la mission. Pour approfondir ce point, consultez notre article sur la gestion des mots de passe en entreprise.
FAQ — Questions fréquentes sur la gestion des accès prestataires
Un prestataire peut-il utiliser son propre poste pour accéder à mon système ?
C’est une pratique courante mais risquée. Si le prestataire utilise son propre matériel, vous n’avez aucune maîtrise de l’état de sécurité de son poste (antivirus, mises à jour, chiffrement). La bonne pratique consiste à imposer un accès via un bureau virtuel (VDI) ou un environnement cloisonné, de sorte que le prestataire travaille sur votre infrastructure sans que ses données locales interagissent avec vos systèmes. À défaut, exigez contractuellement que son poste réponde à des critères minimaux de sécurité (antivirus actif, chiffrement du disque, MFA activé).
Combien de temps faut-il conserver les logs d’accès prestataires ?
La recommandation de l’ANSSI est de conserver les journaux de sécurité pendant au moins un an. Dans un contexte RGPD impliquant des accès à des données personnelles, cette durée correspond également aux exigences de démonstration de conformité en cas de contrôle. Pour des secteurs réglementés (santé, finance), des durées plus longues peuvent s’appliquer selon les obligations sectorielles spécifiques.
Doit-on renouveler la procédure si le même prestataire revient régulièrement ?
Oui, à chaque nouvelle mission. Un prestataire récurrent ne justifie pas un accès permanent. Entre deux missions, le compte doit être désactivé. Au retour, un nouveau compte ou une réactivation documentée avec validation explicite est nécessaire. Cette discipline garantit que le registre des accès reste à jour et que vous savez, à tout moment, qui peut accéder à votre système.
Comment gérer les accès prestataires si je n’ai pas de DSI interne ?
En l’absence de DSI, la gestion des accès repose souvent sur l’infogérant principal, qui devient alors responsable de la mise en œuvre technique. Dans ce cas, formalisez contractuellement ses obligations : création de comptes nominatifs, application du MFA, journalisation, désactivation en fin de mission. Vous gardez la supervision via le registre des accès tiers, que vous pouvez tenir vous-même sous forme de tableur simple. Si vous souhaitez aller plus loin sur la sensibilisation de vos équipes internes, notre article sur former ses salariés aux cybermenaces en une demi-journée vous donnera une méthode directement applicable.
Conclusion : reprendre le contrôle des accès tiers, concrètement
Gérer les accès prestataires informatique n’est pas une question de technologie complexe. C’est une question de processus : qui crée les comptes, selon quelles règles, avec quelle traçabilité, et qui les désactive quand la mission est terminée. Une PME qui applique les 12 points de cette checklist réduit significativement sa surface d’attaque, protège ses données clients, et se met en conformité avec les exigences RGPD — sans budget exceptionnel. Le premier gain est immédiat : vous savez enfin, à tout moment, qui a accès à votre système et pourquoi.
Pour aller plus loin sur l’ensemble des pratiques de cybersécurité adaptées aux PME françaises, consultez notre guide complet L’IA au service de la Cybersécurité des PME.
