Gestion des identités et des accès (IAM) pour PME : les bases à mettre en place

Dans une PME de vingt personnes, la question “qui a accès à quoi ?” semble simple. En réalité, elle l’est rarement. Un ancien stagiaire dont le compte Microsoft 365 n’a jamais été désactivé, une commerciale qui a les droits admin sur le NAS “parce qu’elle en avait besoin une fois”, un prestataire dont les accès n’ont pas été révoqués depuis son départ : ces situations sont courantes et chacune représente une surface d’attaque.

Ce qu’est l’IAM et pourquoi ça compte

L’IAM (Identity and Access Management) désigne l’ensemble des pratiques et outils qui permettent de gérer qui peut accéder à quoi dans votre système d’information. L’objectif est simple : chaque utilisateur doit avoir exactement les accès dont il a besoin pour son travail, ni plus ni moins. C’est le principe du moindre privilège.

Dans une PME moderne qui utilise Microsoft 365, SharePoint, un ERP, un CRM et peut-être des applications métier supplémentaires, les identités et les accès se multiplient rapidement. Sans gestion centralisée, vous perdez la visibilité sur votre propre SI.

Les quatre briques fondamentales

Un annuaire centralisé. Entra ID (anciennement Azure AD) est l’annuaire d’identités de Microsoft. C’est lui qui authentifie vos utilisateurs sur Microsoft 365, Teams, SharePoint et toutes les applications compatibles SSO. Si vous n’utilisez pas encore Entra ID comme source d’identité centrale, c’est le premier sujet à adresser. Notre offre Microsoft 365 inclut la configuration d’Entra ID et d’Intune pour les PME.

Des groupes et des rôles bien définis. Plutôt que d’attribuer des droits individuellement à chaque utilisateur, créez des groupes par fonction (commerciaux, comptabilité, direction, support IT) et attribuez les droits aux groupes. Quand un collaborateur arrive ou part, vous modifiez son appartenance aux groupes, pas chaque droit individuellement.

Un processus d’arrivée et de départ formalisé. L’onboarding et l’offboarding sont les moments les plus critiques en termes de gestion des accès. À l’arrivée : créer le compte, l’affecter aux bons groupes, fournir les accès nécessaires. Au départ : désactiver le compte, révoquer tous les accès, récupérer le matériel. Ce processus doit être documenté et suivi à chaque fois, sans exception.

Une révision périodique des accès. Les droits accordés un jour ne sont pas toujours pertinents six mois plus tard. Une révision trimestrielle ou semestrielle des accès, même rapide, permet de détecter les droits excessifs accumulés au fil du temps.

Ce que ça change en pratique

Avec une IAM correctement mise en place, quand un collaborateur quitte l’entreprise, la désactivation de son compte Entra ID coupe simultanément son accès à la messagerie, à SharePoint, à Teams et à toutes les applications connectées en SSO. En une action, tous les accès sont révoqués. Sans cette centralisation, il faut aller désactiver le compte dans chaque application séparément, et il y a toujours un oubli.

Les outils disponibles pour une PME

Entra ID (inclus dans Microsoft 365) : gestion des utilisateurs, groupes, MFA, accès conditionnel, SSO vers des milliers d’applications tierces.

Entra ID Governance (licences premium) : revues d’accès automatisées, gestion des identités externes, cycle de vie des comptes invités.

Intune : gestion des appareils, complémentaire à la gestion des identités.

Pour les applications métier non compatibles avec le SSO Entra ID, une cartographie manuelle des accès reste nécessaire, mais elle peut être couverte par un processus documenté plutôt que par un outil dédié.

Pour faire le point sur la gestion des identités et des accès de votre PME, contactez l’équipe Zerobug.