Trente extranets, un seul cabinet : mettre de l’ordre dans les accès partenaires

L'inventaire, d'abord

On ne sécurise pas ce qu'on ne connaît pas. La première étape est une liste, sans rien changer : chaque partenaire, ce qu'on y fait, qui a un compte, et depuis quand personne ne l'a vérifié. Comptez une après-midi pour un cabinet de cinq personnes, et attendez-vous à des surprises : des comptes au nom d'un ancien collaborateur, des extranets que plus personne n'utilise, des identifiants partagés à quatre.

• Partenaire, nature de la relation : assureur, plateforme, société de gestion, courtier, banque.
• Adresse de l'extranet et ce qu'on y fait : souscription, suivi, documentation, back-office.
• Type de compte : nominatif ou compte du cabinet.
• Titulaires, et qui doit y avoir accès.
• Double authentification activée ou non.
• Date de la dernière vérification.

Cinq règles qui tiennent

• Un compte par personne, chaque fois que le partenaire le permet. Un compte partagé ne permet ni de savoir qui a fait quoi, ni de retirer l'accès à une seule personne.
• Un gestionnaire de mots de passe pour le cabinet, avec des coffres par équipe. Jamais un tableur, jamais un mail.
• La double authentification partout où elle existe, sur un téléphone du cabinet plutôt que sur celui d'un seul collaborateur.
• Une procédure de départ : le jour où un collaborateur quitte le cabinet, ses accès sont retirés le jour même, et les comptes partagés qu'il connaissait changent de mot de passe. La liste dit lesquels.
• Une revue par trimestre : quinze minutes pour repasser la liste, fermer ce qui ne sert plus, vérifier ce qui a changé.

Ce qui relève de la conformité

Derrière chaque extranet il y a des données de clients. Qui y accède, et pourquoi, fait partie de ce qu'un cabinet doit pouvoir expliquer au titre de la protection des données. L'inventaire des accès nourrit directement le registre des traitements, et la procédure de départ fait partie des mesures de sécurité qu'on vous demandera de décrire.

Un point souvent négligé : le mot de passe d'un extranet d'assureur ouvre parfois sur des contrats, des identités, des relevés. Sa protection n'est pas une question de confort, c'est une obligation.

Le modèle, et ce qu’il ne contient pas

Le tableau ci-dessous est l'inventaire décrit plus haut, prêt à remplir. Il ne contient volontairement aucune colonne pour les mots de passe : ils vont dans le gestionnaire, et nulle part ailleurs. Un inventaire qui circule ne doit rien permettre d'ouvrir.