Ancien salarié encore connecté à la messagerie ou au VPN : la faille discrète après un départ

Après un départ tendu, beaucoup de PME pensent avoir géré l'essentiel. Pourtant, la suppression des accès d'un salarié lors de son départ reste souvent incomplète : messagerie, VPN, téléphonie, partages, MFA. C'est là qu'apparaît un risque discret, mêlant sécurité, traçabilité et conformité.

Les accès oubliés ne sont presque jamais ceux qu'on regarde en premier

Dans une petite ou moyenne structure, le réflexe consiste à bloquer l'ordinateur, récupérer le badge, parfois changer un mot de passe principal. La désactivation du compte Microsoft 365 d'un salarié arrive ensuite, quand elle arrive complètement. Mais un départ précipité laisse souvent derrière lui une poussière d'accès encore actifs : session VPN, smartphone synchronisé, boîte partagée, transfert automatique d'e-mails, licence de téléphonie IP, outil métier connecté en SSO.

Le problème n'est pas théorique. Un ancien collaborateur qui reçoit encore des messages, ouvre un dossier partagé ou se connecte à distance n'a pas forcément une intention malveillante. Il peut simplement continuer à voir, parfois à agir. Juridiquement, cela suffit déjà à créer une zone grise. Qui a accédé à quoi ? Qui a envoyé ce message ? Pourquoi le compte existait-il encore après la rupture du contrat ?

Dans des environnements de 10 à 100 postes, ce sont rarement de grandes architectures complexes qui posent problème. Ce sont les petits restes. Un MFA encore lié à un téléphone personnel. Une règle de redirection vers une adresse externe. Un compte de messagerie converti trop vite en boîte partagée sans revue des droits. Un accès distant conservé au nom de la continuité, puis oublié.

Couper la messagerie ne suffit pas à fermer la porte

VPN, téléphonie, partages et jetons d'authentification restent souvent ouverts

Un compte e-mail désactivé ne met pas fin, à lui seul, à l'ensemble du périmètre utilisateur. L'accès VPN d'un ancien salarié peut rester valide si l'authentification dépend d'un annuaire distinct, d'un boîtier pare-feu ou d'un compte local non rattaché au cycle RH. La même logique vaut pour la téléphonie, certains outils SaaS, les partages réseau historiques ou les accès d'administration délégués.

Il faut aussi regarder les éléments moins visibles : sessions déjà ouvertes, applications mobiles, codes de récupération, appareils personnels enregistrés, groupes de sécurité, licences encore attribuées. Sur Microsoft 365, une désactivation partielle peut laisser subsister des données accessibles par délégation ou via des boîtes communes. Sur un réseau d'entreprise, un identifiant dormant garde parfois un pouvoir excessif simplement parce qu'il n'a jamais été recartographié.

C'est précisément ce que nous vérifions lors d'un audit et d'une reprise d'infogérance : non seulement les comptes, mais aussi les dépendances invisibles autour des comptes. Dans une PME, la sécurité réelle se joue souvent dans ces raccords un peu ternes, pas dans les principes affichés.

Ce que l'entreprise risque, au-delà du simple incident technique

Le premier risque est évident : la fuite d'informations. Contrats, échanges RH, devis, dossiers clients, pièces comptables, données juridiques ou financières peuvent rester exposés plusieurs jours, parfois plusieurs semaines. Pour des secteurs sensibles, ce n'est pas un détail.

Le second risque est plus discret : la perte de traçabilité. Si un message part depuis un compte encore actif, si un document est supprimé, si une connexion VPN apparaît après le départ, l'entreprise devra expliquer pourquoi ce compte existait encore. En matière de RGPD et de gestion des comptes utilisateurs, la question n'est pas seulement de protéger les données, mais de démontrer une gestion cohérente des habilitations. La CNIL rappelle d'ailleurs l'importance de limiter les accès aux seules personnes habilitées.

Enfin, il y a le risque opérationnel. Couper dans la panique peut faire perdre un historique utile, une boîte de contact commercial, un renvoi téléphonique indispensable, ou l'accès à un dossier dont personne n'a repris la main. À l'inverse, ne pas couper assez vite laisse une faille ouverte. Toute la difficulté tient là : sécuriser sans casser la continuité.

Quand un compte quitté continuait à recevoir les appels et les documents

Dans un cabinet de services près de Créteil, le départ d'une responsable administrative avait été géré dans l'urgence. L'ordinateur avait été récupéré, le mot de passe Windows changé, et tout le monde pensait le sujet clos. Pourtant, plusieurs devis clients continuaient d'arriver dans sa boîte, tandis que son poste de téléphonie 3CX restait associé à une file d'appels interne.

En reprenant la situation, nous avons constaté également une redirection active vers une boîte partagée et un accès mobile encore synchronisé. Rien de spectaculaire, presque rien visuellement. Mais assez pour brouiller les responsabilités et retarder le traitement de demandes urgentes. La remise à plat a consisté à réattribuer proprement les flux, conserver l'historique utile et fermer les accès restants. Parfois, le vrai désordre tient dans un compte qu'on croyait déjà absent.

Mettre en place un offboarding IT simple, tenable et vérifiable

Une checklist commune entre RH, management et informatique change tout

Un offboarding informatique en PME n'a pas besoin d'être lourd pour être solide. Il doit en revanche être systématique. La bonne base tient en quelques points : date et heure de coupure décidées à l'avance, liste des outils utilisés, inventaire du matériel, revue des délégations, transfert des données utiles, suppression des redirections, révocation des sessions et contrôle des groupes d'accès.

Il faut également définir ce qu'on archive, ce qu'on conserve temporairement et ce qu'on supprime. Une boîte mail professionnelle peut devoir être conservée pour la continuité, mais cela n'implique pas de laisser vivre le compte utilisateur. Même nuance pour les documents OneDrive, les dossiers réseau ou les échanges Teams. Sur ce terrain, la doctrine de l'ANSSI va dans le même sens qu'une pratique saine : fermer vite, documenter mieux.

Nous conseillons aussi de centraliser cette procédure dans le dispositif d'infogérance ou, à défaut, dans une checklist validée avec les RH. Sans preuve de ce qui a été coupé, de ce qui a été transmis et de ce qui a été conservé, la mémoire interne devient fragile. Et la mémoire, en sécurité, ne suffit jamais tout à fait.

Fermer proprement vaut mieux que couper brutalement

Un départ de salarié n'est pas seulement un sujet RH ou technique. C'est un point de jonction entre continuité d'activité, sécurité et conformité. Si vous voulez fiabiliser vos procédures, nous pouvons vous aider à cadrer cet offboarding, à vérifier les comptes actifs et à documenter les accès dans le cadre de notre accompagnement informatique ou d'un audit ciblé. En Île-de-France comme à distance partout en France, mieux vaut une fermeture nette qu'un angle mort qui traîne.