Désactiver un compte dans l'annuaire (Entra ID / Active Directory) bloque la connexion, mais pas nécessairement les délégations, les règles de transfert, les applications OAuth ou l'appartenance aux canaux Teams que ce salarié avait accumulés. Offboarding Express vérifie précisément ce qui reste actif, au-delà de l'annuaire.
Un compte désactivé n'est pas la même chose qu'un salarié totalement coupé de vos systèmes
Bloquer la connexion dans l'annuaire arrête l'accès direct, mais les délégations qu'il détenait sur des boîtes partagées ou les règles de transfert qu'il avait configurées peuvent rester actives indépendamment du compte.
Un salarié a pu autoriser des applications tierces (calendrier, CRM, extensions navigateur) qui gardent un accès aux données de l'entreprise indépendamment de son compte utilisateur.
L'appartenance à des équipes, des canaux et aux fichiers partagés associés persiste souvent bien après le dernier jour de travail, sans qu'aucune alerte ne le signale.
Sans contrôle systématique à chaque départ, ces accès résiduels s'empilent au fil des années et deviennent des points d'entrée oubliés, invisibles depuis l'annuaire.
Un moteur de vérification multi-rails, le même que celui de l'audit M365 SYAGA, appliqué au départ d'un collaborateur
Nom du salarié parti (ou en cours de départ) et date de cessation d'accès prévue. Aucune installation n'est requise côté client.
Notre moteur interroge les rails Microsoft Graph, Exchange Online, Teams et Purview pour retrouver délégations sur boîtes partagées, règles de transfert automatique, consentements OAuth et appartenances à des canaux Teams.
Les identifiants sensibles sont pseudonymisés avant toute analyse. Aucune donnée brute n'est copiée ou conservée sur nos serveurs : seule la mesure remonte.
Vous recevez un rapport listant chaque zone vérifiée avec son statut (coupé / actif / à vérifier), ainsi que les recommandations pour fermer définitivement ce qui reste ouvert.
Un rapport concret sur l'état réel des accès d'un compte, au-delà du statut affiché dans l'annuaire
Statut détaillé (coupé / actif / à vérifier) pour chacune des zones contrôlées sur le compte concerné.
Trace technique de la vérification effectuée, utile en cas de contrôle interne ou d'incident lié à un ancien compte.
Liste priorisée des actions à mener côté client pour couper définitivement les accès identifiés comme actifs.
La gestion des accès au départ d'un collaborateur figure dans les référentiels de sécurité usuels
Mesures techniques et organisationnelles appropriées pour assurer la sécurité des données personnelles. La révocation effective des accès d'un salarié parti participe directement à cette obligation de sécurité.
Les guides d'hygiène informatique de l'ANSSI recommandent une gestion rigoureuse des comptes et des droits d'accès, y compris leur retrait complet lors des départs de collaborateurs.
La gestion des droits d'accès tout au long du cycle de vie d'un collaborateur, y compris leur retrait à la fin du contrat, fait partie des contrôles organisationnels couverts par la norme.
Une revue systématique des accès résiduels au départ d'un collaborateur s'inscrit dans une démarche générale de gestion des risques cyber, sans constituer à elle seule une obligation réglementaire spécifique.
Devis personnalisé dans tous les cas - aucun prix affiché ici n'est fixé à l'avance
Un départ isolé, à la demande
Départs fréquents, intégrés à votre process RH/IT
Multi-tenants, filiales, gros volumes
Deux autorités françaises encadrent ce sujet : l'ANSSI côté sécurité informatique, la CNIL côté protection des données. Voici ce qu'elles disent réellement, sans exagération.
Ce n'est pas une loi qui fixe un délai chiffré (il n'existe pas d'obligation du type "48 heures pour couper les accès"). C'est une exigence de résultat, portée par deux référentiels officiels : le départ ou le changement de poste d'un collaborateur doit entraîner la révocation de ses accès, sans délai injustifié. Une nuance importante à garder en tête pour ne pas confondre bonne pratique recommandée et obligation légale.
Le guide d'hygiène informatique de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) consacre une mesure entière à ce sujet, sans distinction de taille d'entreprise :
Un dispositif d'accompagnement gratuit ("Aidant cyber") existe même spécifiquement pour les structures sans service informatique dédié, c'est-à-dire la majorité des TPE et PME.
La CNIL (Commission nationale de l'informatique et des libertés) rattache ce même sujet à la protection des données, dans sa fiche dédiée à la gestion des habilitations :
Cette fiche s'adresse à tout organisme qui traite des données à caractère personnel : en pratique, toute entreprise ayant des salariés, des clients ou des prospects dans ses outils informatiques.
La mesure n°6 du guide liste ce que doit couvrir une procédure de départ, au minimum (texte exact) :
L'ANSSI recommande un inventaire à jour des comptes disposant de droits étendus (administrateur, accès aux répertoires d'autrui), car ce sont les cibles privilégiées des attaquants :
Concrètement : le compte administrateur du site web, de la messagerie professionnelle ou du logiciel de comptabilité en ligne mérite une vérification systématique à chaque départ, même dans une petite structure.
Ni l'ANSSI ni la CNIL ne fixent de délai chiffré (pas de "48 heures" ou "7 jours" légal). Les deux textes utilisent une obligation de résultat : les droits doivent être révoqués "lors du départ" (ANSSI) ou "dès que" la personne n'est plus habilitée, et "à la fin de son contrat" au plus tard (CNIL). C'est une recommandation de sécurité et de protection des données portée par deux autorités officielles, pas un article de loi avec un chiffre précis à respecter. La CNIL rappelle par ailleurs, comme erreur à éviter : "oublier de supprimer les comptes utilisateurs des personnes ayant quitté l'organisation ou ayant changé de fonction."
Au-delà du principe général, voici les actions précises attendues, qui les valide, et à quel rythme, telles que décrites par les textes officiels.
L'ANSSI recommande de définir une procédure de départ formelle, en lien avec les ressources humaines, qui couvre au minimum :
La CNIL rattache la révocation des accès à sa fiche dédiée à la gestion des habilitations, qui précise que toute attribution de droit doit avoir été validée par un responsable :
Dans une petite structure sans service informatique dédié, ce rôle revient en pratique au dirigeant ou à la personne qui gère les accès aux outils numériques de l'entreprise.
C'est la seule cadence chiffrée retrouvée dans les textes officiels consultés : la CNIL recommande une revue périodique des habilitations, à une fréquence minimale précise :
Cette revue permet notamment de repérer les accès oubliés après le départ d'un collaborateur, ceux qui sont passés entre les mailles du filet lors de la procédure de départ.
Le RGPD impose au responsable de traitement de prendre "toutes précautions utiles" pour préserver la sécurité des données (article 32). C'est une obligation légale réelle, mais formulée en termes de mesures appropriées : elle n'indique pas, en elle-même, la marche à suivre au départ d'un salarié. Ce sont les recommandations ANSSI et CNIL ci-dessus qui en donnent le mode d'emploi concret.
Aucun texte n'impose un délai en heures pour couper les accès d'un salarié parti : ni "48h", ni "24h" légal. En revanche, deux exigences précises et sourcées existent : révoquer les accès "lors du départ", sans attendre (ANSSI), et revoir l'ensemble des habilitations au moins une fois par an (CNIL) pour rattraper ce qui aurait été oublié. C'est ce double contrôle, immédiat après chaque départ et vérifiable dans le temps, que propose Offboarding Express.
Réponses simples, chacune adossée à une source officielle vérifiable (ANSSI, CNIL)
Sur ce sujet, il n'existe pas un article de loi unique qui liste tout. Ce sont deux autorités françaises, l'ANSSI pour la sécurité informatique et la CNIL pour la protection des données, qui publient des recommandations officielles. Voici ce qu'elles disent réellement, sans exagération.
Contactez-nous pour recevoir un devis personnalisé.
Gratuit: votre score + vos écarts. Le rapport détaillé et l'attestation : 499 € HT, seulement si vous le décidez.
contact@syaga.eu