Sécuriser le départ d’un employé

Lorsqu'un employé quitte votre entreprise—que ce soit volontairement ou non—c'est un point de vulnérabilité maximale. En fait, les recherches montrent que plus de 20 % des violations de données impliquent un initié, souvent un ancien employé mécontent qui a conservé un accès qu'il aurait dû perdre.

En tant que spécialiste en cybersécurité ayant mené d'innombrables enquêtes forensiques, j'ai vu les dégâts qu'un seul compte "admin" oublié peut causer. Un ancien responsable informatique se connecte trois mois plus tard pour "vérifier quelque chose", ou un représentant commercial télécharge toute la base de données clients avant son dernier jour.

Cette Liste de Contrôle de Sécurité pour le Départ des Employés est conçue pour combler ces lacunes. Elle fait le pont entre les RH et l'IT pour garantir que lorsqu'un employé franchit la porte, vos données restent à l'intérieur.

Les Actions Critiques du "Jour Zéro"

Ces étapes doivent se produire immédiatement au moment de la résiliation ou de l'acceptation de la démission.

1. Le "Kill Switch" (Gestion des Identités & Accès)

Désactiver le Single Sign-On (SSO) : Si vous utilisez Okta, Azure AD ou Google Workspace, suspendez l'utilisateur immédiatement. Cela devrait se propager aux applications connectées (Slack, Salesforce, Zoom).
Réinitialiser le Mot de Passe Active Directory : Changez le mot de passe et forcez une déconnexion de session pour tous les appareils.
Révoquer l'Accès VPN : Désactivez leur certificat ou retirez-les du groupe d'utilisateurs VPN pour empêcher l'accès réseau à distance.

2. Confinement des Appareils

Effacement à Distance des Appareils Mobiles : S'ils utilisaient un téléphone d'entreprise (ou BYOD avec MDM), lancez un effacement des données d'entreprise immédiatement.
Verrouiller l'Ordinateur Portable d'Entreprise : Si vous avez des agents de gestion installés (Intune, Jamf), lancez une commande de verrouillage à distance.

Sécurité Physique & Matérielle (Jour 1-3)

3. Récupération des Actifs

Collecter le Matériel : Ordinateur portable, téléphone, clés de sécurité (YubiKey) et cartes d'accès au bâtiment.
Vérifier les Accessoires : N'oubliez pas les disques durs externes ou les dongles spécialisés qui peuvent contenir des données sensibles.

4. Révocation de l'Accès Physique

Désactiver le Badge/Carte d'Accès : Supprimez leur numéro de série du système de sécurité du bâtiment.
Changer les Codes : S'ils connaissaient des codes d'alarme partagés ou des codes PIN de salle serveur, ceux-ci doivent être changés.

L'Accès Numérique "Silencieux" (Souvent Oublié)

C'est là que 90 % des entreprises échouent. Les anciens employés conservent souvent l'accès aux comptes "shadow IT" qui n'étaient pas connectés au SSO.

5. Comptes Partagés & Réseaux Sociaux

Changer les Mots de Passe Partagés : Avaient-ils accès au Twitter de l'entreprise, LinkedIn, ou une boîte email partagée support@ ? Changez ces mots de passe immédiatement.
Clés API & Secrets de Développeur : S'ils étaient développeurs, avaient-ils des clés API personnelles ou un accès aux identifiants racine AWS ? Changez les clés critiques. C'est une porte dérobée courante.

6. Audit SaaS Tiers

Vérifier les Comptes Indépendants : Vérifiez les services comme Canva, Trello ou des outils marketing spécialisés où ils pourraient avoir créé un compte utilisant leur email professionnel mais défini un mot de passe séparé.
Transférer la Propriété des Données : Assurez-vous que leurs fichiers Google Drive / OneDrive sont transférés à un manager avant de supprimer le compte.

La Couche Légale & Conformité

7. Rappel de Non-Concurrence & NDA

Entretien de Départ : Les RH doivent formellement leur rappeler leurs obligations de Propriété Intellectuelle (IP) et les accords de confidentialité.
Attestation de Retour de Données : Faites-leur signer un document déclarant qu'ils n'ont pas gardé de copies des données de l'entreprise sur des appareils personnels ou du stockage cloud.

Chronologie de Départ : de J-30 à J+30

Un départ se pilote en rétro-planning ; les durées ci-dessous sont indicatives.

J-30 : ouvrez un ticket unique fédérant RH, IT et manager ; passez en revue les accès privilégiés (administrateur, comptes racine, secrets) et planifiez leur rotation.
J-7 : transférez les fichiers de travail à l’équipe, réaffectez les scripts planifiés qui dépendent de son compte, vérifiez que les boîtes génériques (support@) ont un relais.
Dernier jour : exécutez le kill switch puis re-testez : toute connexion de son identité doit échouer, VPN et mobiles compris.
J+30 : relisez les journaux d’authentification du mois écoulé (dans le cadre normal d’exploitation du SI), auditez la facturation — sièges SaaS inactifs, abonnements récurrents — et clôturez le ticket, archivé comme trace.

Licenciement ou Départ Volontaire : Deux Déroulés

Le calendrier RH dicte le calendrier IT — pas l’inverse.

Départ volontaire : la date est connue ; rotation des secrets, transfert de connaissances et réaffectation des droits couvrent tout le préavis. Les alertes de volumétrie standard suffisent à surveiller cette fenêtre, sans coupure du travail courant hors décision RH formalisée.
Licenciement ou rupture immédiate : la date d’effet n’est connue qu’au prononcé. La coupure devient un scénario répété — suspension SSO, déconnexion des sessions, désactivation du badge, matériel récupéré dès l’entretien avec les RH, dans le respect du droit du travail — puis un sort tracé pour la boîte mail : relais temporaire, absence générique, archivage daté.

Révocations Précises : Sous le Radar du SSO

Au-delà de l’identité centrale, ces révocations échouent le plus souvent.

Sièges SaaS : dans un CRM ou un outil de facturation, réaffectez d’abord leads, tickets et dossiers clients avant de suspendre le siège — sinon trou de service, puis siège facturé pour rien.
Désinscription MDM : appareil d’entreprise : récupération, sauvegarde, puis désinscription pour un inventaire de flotte juste ; appareil personnel : seul le conteneur professionnel est visé (voir notre guide du MDM).
Contrats en attente de signature : enveloppes où il restait signataire à annuler ou réaffecter, et délégations (banque, bons de commande) à retirer sans attendre.
Jetons de dépôts de code : les PAT survivent au SSO — suppression, régénération des clés de déploiement et des secrets CI, audit des webhooks configurés par ses comptes.
Tableaux de bord partagés : exports planifiés et abonnements BI continuent d’arriver sur une boîte morte ; transférez la propriété de ces rapports au relais.

Modes de Défaillance : Quand le Processus Glisse

Trois glissements reviennent systématiquement.

Réinitialisation partielle : le mot de passe Active Directory ne couvre pas les identités synchronisées ailleurs — navigateur relié à un compte personnel, trousseau iCloud. Réinitialisez service par service et purgez les facteurs de récupération rattachés à ses profils.
Remise à zéro prématurée : si un contentieux est prévisible, effacer avant sauvegarde détruit ce qu’une investigation régulière aurait documenté. L’ordre est fixe : sauvegarde des données de travail, puis effacement ; une copie d’image n’intervient que si le cas le justifie, par les procédures internes habituelles.
Transfert de messagerie sans échéance : le relais vers le manager sert la continuité, mais sans date de fermeture, des données clients arrivent des mois durant dans une boîte sans finalité. Fixez la date d’arrêt et tenez-la.

Données à la Sortie : Conservation Légale et Condensé d’une Page

Le traitement doit être aussi raisonnable juridiquement que techniquement : garder moins, garder tracé, aucune intrusion dans les comptes ou appareils personnels sans accord.

Conserver : ce que la loi impose (paie, comptabilité liée au contrat, registres d’accès physique), souvent des années selon la réglementation locale — dans un espace partagé d’équipe, pas sur un compte individuel.
Supprimer : les données du salarié sans finalité restante, au terme des durées requises ; toute boîte conservée est appariée à une finalité et une date d’arrêt.
BYOD : l’employeur n’accède jamais aux données privées d’un appareil personnel ; l’effacement vise le seul conteneur professionnel, et toute investigation passe par le consentement et les procédures internes, jamais par un accès discret.

Condensé d’une page, à imprimer :

J-30 : ticket fédéré ; privilèges non essentiels retirés
J-7 : fichiers, intégrations et enveloppes de signature réaffectés
Dernier jour : coupure SSO / AD / VPN / badge ; matériel récupéré ; attestation signée
Premier mois : PAT et secrets régénérés ; sièges réaffectés ; journaux relus
Conformité : boîte mail bornée ; conservations légales ; désinscription BYOD avec accord documenté

Pourquoi Cela Compte : Le Coût de l'Inaction

Nous avons récemment traité un cas où un développeur licencié a gardé ses clés SSH. Deux semaines plus tard, il a supprimé la base de données de production. La récupération a coûté à l'entreprise 400 000 $ en temps d'arrêt et en criminalistique.

Ne comptez pas sur la confiance. Comptez sur le processus.

Besoin d'un Audit de Sécurité ?

Si vous craignez que d'anciens employés puissent encore avoir accès à votre réseau, ou si vous avez besoin d'aide pour automatiser cette liste de contrôle, contactez Cyberlord aujourd'hui. Nous pouvons effectuer une Revue d'Accès Utilisateur complète pour identifier et fermer les comptes dormants avant qu'ils ne deviennent des menaces internes.

Aperçu

Décisions clés, risques et actions de mise en oeuvre pour ce sujet.

Liste de Contrôle de Sécurité pour le Départ des Employés : Comment Prévenir les Menaces Internes (2026)