Infogérance VaucluseComptes administrateur : qui détient les clés de votre inform…
Comptes administrateur : qui détient les clés de votre informatique
Les comptes administrateur sont les clés de votre informatique : qui les détient peut tout modifier, tout lire et tout bloquer. Avant d'externaliser, sachez qui les détient et gardez-en un sur chaque service.
Un compte administrateur permet de modifier la configuration d'un système, de créer ou de supprimer des utilisateurs et d'accéder à toutes les données : celui qui le détient a les clés de votre informatique. Avant d'externaliser, vous devez savoir combien il en existe, qui les détient, et garder au moins un compte à l'entreprise sur chaque service essentiel.
C'est un inventaire facile à oublier dans un état des lieux, et long à reconstituer le jour où un prestataire ou un salarié part sans avoir transmis ses accès.
Où se trouvent les comptes administrateur d'une PME
Les comptes administrateur d'une PME sont dispersés entre les postes, les serveurs, les équipements réseau et les services en ligne. Chaque équipement ou service a son propre compte d'administration, créé par la personne qui l'a installé, et pas toujours revu depuis.
| Élément | Compte à retrouver | Où le vérifier |
|---|---|---|
| Messagerie et bureautique en ligne | Administrateur général de Microsoft 365 ou de Google Workspace | Console d'administration, liste des rôles attribués |
| Nom de domaine | Compte chez le bureau d'enregistrement | Factures de renouvellement, titulaire déclaré du domaine |
| Box, pare-feu, Wi-Fi | Accès d'administration de l'équipement | Contrat de l'opérateur, ancien prestataire, documentation de l'équipement |
| Serveur et postes | Comptes administrateur locaux et, le cas échéant, du domaine Windows | Paramètres des comptes, ancien prestataire |
| Logiciels métier | Compte administrateur de l'application, compte client chez l'éditeur | Contrat de maintenance de l'éditeur |
| Sauvegarde | Accès à la console et, s'il existe, à la clé de chiffrement | Logiciel ou service de sauvegarde |
Le nom de domaine mérite une attention particulière, parce que la messagerie et le site en dépendent. Vérifiez qu'il est déposé au nom de l'entreprise, et pas à celui d'un ancien prestataire ou d'un salarié. Le même contrôle vaut pour l'abonnement Microsoft 365 ou Google : il doit être souscrit au nom de l'entreprise, et non à celui d'un intermédiaire.
La liste dressée, il reste à savoir qui, nommément, détient chacun de ces comptes.
Savoir qui détient chaque compte administrateur
Un compte administrateur partagé entre plusieurs personnes n'a pas de détenteur : on ne sait ni qui l'a utilisé, ni qui doit le fermer. Pour chaque compte de la liste, notez la personne ou l'entreprise qui le détient, la manière dont il est protégé et la date de la dernière vérification.
| Service | Compte | Détenteur | Authentification multifacteur | Dernière vérification |
|---|---|---|---|---|
| Messagerie en ligne | Administrateur général | Nom de la personne | Oui ou non | Date |
| Pare-feu | Compte d'administration | Ancien prestataire, salarié, direction | Oui ou non | Date |
Trois situations sont à repérer en priorité : un ancien prestataire qui a gardé un accès, un salarié parti dont le compte est resté actif, un mot de passe administrateur noté sur papier ou envoyé par messagerie. Dans le guide de l'ANSSI consacré aux risques de l'infogérance, la perte de maîtrise du système d'information figure en tête des risques d'une externalisation ; un compte dont on ignore le détenteur en est la forme la plus simple.
Savoir qui détient un compte ne suffit pas : un mot de passe volé ne doit pas suffire à l'ouvrir.
Protéger les comptes administrateur avant de les confier
Un compte administrateur se protège d'abord par l'authentification multifacteur : le mot de passe ne suffit plus, il faut un second élément, comme une application sur téléphone ou une clé physique. Les recommandations de l'ANSSI relatives à l'authentification conseillent de privilégier l'authentification multifacteur, et visent explicitement l'accès aux comptes à privilèges des administrateurs.
Deux règles complètent la première. Une personne qui administre utilise un compte distinct pour l'administration et un compte ordinaire pour son travail courant, pour qu'un message piégé ouvert dans la journée n'atteigne pas les droits d'administration. Les mots de passe sont longs, uniques et conservés dans un outil prévu pour cela : Cybermalveillance.gouv.fr conseille un gestionnaire de mots de passe, qui évite d'avoir à les retenir.
Pour les entreprises dont le réseau est plus étendu, l'ANSSI publie des recommandations relatives à l'administration sécurisée des systèmes d'information : elles décrivent les principes d'une architecture d'administration et s'adressent à un large public, au prix d'un vocabulaire technique.
Reste la question que pose toute externalisation : quels accès donner au prestataire, et comment les reprendre.
Quels accès donner au prestataire d'infogérance
Le prestataire d'infogérance a besoin de droits d'administration pour travailler, mais il n'a pas besoin de vos comptes. La règle à écrire au contrat tient en une phrase : le prestataire reçoit des comptes nominatifs, à son nom ou à celui de ses techniciens, que vous pouvez désactiver à tout moment, et l'entreprise conserve ses propres comptes administrateur.
Les grands services en ligne prévoient ce fonctionnement. Pour Microsoft 365, la documentation Microsoft sur les privilèges d'administrateur délégué granulaires (GDAP) décrit un accès partenaire que le client doit accorder explicitement, limité à certains rôles et dans le temps. Demandez au prestataire quel mode d'accès il utilise pour chacun de vos services, et faites-le noter dans la liste des comptes.
Une fois les accès distribués, tout l'enjeu est de pouvoir les reprendre.
Reprendre les comptes administrateur quand quelqu'un part
Les accès se reprennent au départ de chaque personne et de chaque prestataire, pas seulement à la fin d'un contrat. Pour un salarié, la fermeture de ses comptes fait partie de la procédure de départ ; pour un prestataire, la remise des accès et de la documentation fait partie de la réversibilité, à écrire dans le contrat comme l'explique le dossier ce qu'une clause de réversibilité doit prévoir.
Quand un intervenant part, l'ordre des gestes compte :
- Vérifiez que vous disposez d'un compte administrateur de l'entreprise qui fonctionne, sur chaque service.
- Désactivez les comptes nominatifs de l'intervenant.
- Changez les mots de passe des comptes partagés qu'il connaissait, y compris ceux des équipements réseau.
- Retirez ses outils d'accès à distance et mettez à jour la liste des comptes.
Les entreprises qui accueillent des renforts saisonniers ont intérêt à appliquer la même procédure à chaque fin de saison, pour que les comptes ne restent pas ouverts des mois. Le dossier reprendre la main sur l'ancien prestataire ou l'informaticien qui part en donne la liste de contrôle complète, et le lexique rappelle les termes employés ici.
Une liste de comptes ne vaut que si elle reste juste après la signature.
La liste des comptes administrateur, un document à tenir
La liste des comptes administrateur n'est pas un document de départ que l'on range une fois le contrat signé. Elle rejoint l'état des lieux remis aux candidats, puis devient une pièce du contrat : le prestataire la complète avec ses propres comptes nominatifs, et chaque ajout ou retrait y est daté.
Relisez-la à chaque revue de service, en posant toujours les mêmes questions : chaque compte a-t-il un détenteur nommé, chaque détenteur est-il encore là, l'authentification multifacteur est-elle active, l'entreprise peut-elle encore se connecter seule ? Le dossier la revue de service montre où cette relecture trouve sa place, et pourquoi elle facilite, le moment venu, un changement de prestataire.
Questions fréquentes
Faut-il donner le mot de passe administrateur au prestataire d'infogérance ?
Non. Le prestataire doit recevoir ses propres comptes nominatifs, avec les droits nécessaires à sa mission, que vous pouvez désactiver à tout moment. L'entreprise garde ses comptes administrateur et leurs mots de passe. Pour Microsoft 365, Microsoft documente un accès délégué que le client accorde explicitement à son partenaire, limité à certains rôles et dans le temps.
Que faire si l'ancien prestataire ne rend pas les accès ?
Adressez-lui une demande écrite qui liste les comptes et la documentation attendus, en vous appuyant sur votre contrat. Pour un service en ligne, contactez l'éditeur en tant que titulaire de l'abonnement : c'est pourquoi l'abonnement et le nom de domaine doivent être au nom de l'entreprise. Si le contrat est en cause, la relecture d'un juriste aide à faire valoir vos droits.
Combien de comptes administrateur une PME doit-elle garder ?
Aucun nombre ne vaut pour toutes les entreprises. Le principe est d'en avoir le moins possible, chacun nominatif et protégé par l'authentification multifacteur, plus un compte de secours détenu par la direction sur chaque service essentiel. Un compte partagé par plusieurs personnes est à éviter : on ne sait ni qui l'utilise, ni qui doit le fermer.
L'authentification multifacteur suffit-elle à protéger un compte administrateur ?
Elle est la première protection à mettre en place, et l'ANSSI recommande de la privilégier, notamment pour les comptes à privilèges. Elle ne remplace pas les autres règles : un compte distinct pour administrer, des mots de passe longs et uniques conservés dans un gestionnaire, et la fermeture des comptes au départ de chaque intervenant.