Un collaborateur a un début et une fin : une embauche déclenche la création des accès, un départ déclenche leur suppression. Un prestataire n'a qu'un début. Son compte est créé par un projet, pour un besoin daté, et personne ne possède l'événement qui devrait le fermer.
C'est la définition d'un parcours orphelin, et c'est le premier endroit qu'un auditeur DORA ou NIS2 regarde — parce que c'est là que l'écart entre la politique écrite et la configuration réelle est le plus large.
Pourquoi ce parcours n'a pas de propriétaire
| Étape | Qui décide | Qui vérifie | L'écart |
|---|---|---|---|
| Ouverture de l'accès | le chef de projet | personne, l'urgence prime | le périmètre demandé est rarement discuté |
| Choix de la méthode | l'équipe technique | personne | on retient ce qui fonctionne vite |
| Renouvellement | personne | personne | l'accès se prolonge par défaut |
| Fin de mission | l'achat, parfois | personne | la clôture contractuelle n'atteint pas l'annuaire |
| Fin de contrat éditeur | la direction juridique | personne | les comptes techniques survivent |
Aucune ligne n'est absurde prise seule. L'ensemble produit un patrimoine d'accès dont plus personne ne connaît la justification, et dont le volume ne fait que croître.
Quatre asymétries avec un compte de collaborateur
- Aucun signal de départ. Rien, dans vos systèmes, ne vous apprend qu'une personne a quitté le prestataire. L'information existe, mais chez lui.
- L'appareil ne vous appartient pas. Vos exigences de chiffrement, de mise à jour et de verrouillage ne s'appliquent pas au poste depuis lequel l'accès est utilisé. Une méthode liée à l'appareil hérite donc d'un niveau que vous ne maîtrisez pas.
- L'authentification peut relever d'un autre annuaire. Si l'accès passe par une fédération, la qualité du facteur, la durée des sessions et les conditions de réinitialisation sont décidées ailleurs. Vous héritez d'un niveau, vous ne le fixez pas.
- Le support est ambigu. Qui réinitialise l'accès d'un prestataire bloqué un vendredi soir ? La réponse pratique est souvent : celui qui répond, avec les vérifications qu'il peut faire — c'est-à-dire le chemin le plus faible de toute votre chaîne.
Ce dernier point renvoie directement à l'audit des parcours de récupération : un accès tiers dont la reprise s'obtient par téléphone définit le niveau réel de tout ce qu'il ouvre.
Ce que la réglementation attend réellement
DORA (règlement (UE) 2022/2554), applicable depuis janvier 2025 au secteur financier, traite le risque lié aux prestataires tiers comme un objet propre : registre des prestataires, droit d'audit, réversibilité. NIS2 (directive (UE) 2022/2555) inscrit la sécurité de la chaîne d'approvisionnement dans les mesures de gestion des risques attendues.
Ni l'un ni l'autre ne prescrit une méthode d'authentification. Tous deux attendent que vous puissiez démontrer ce que vos tiers peuvent faire et depuis quand. La question d'audit n'est donc pas « utilisez-vous la MFA pour les prestataires ? » mais « produisez la liste des accès tiers actifs, avec leur justification et leur date de revue ». Peu d'organisations la produisent en séance.
Cette lecture est opérationnelle et ne constitue pas un avis juridique.
Cinq décisions à écrire
Aucune ne demande d'outil, toutes demandent un arbitrage.
- Une date de fin obligatoire. Tout accès tiers est créé avec une échéance, sans exception. Un accès qui doit durer se renouvelle explicitement ; il ne se prolonge pas par silence.
- Un propriétaire interne nommé. Une personne de l'organisation, pas une équipe ni un service : c'est elle qui répond de la justification de l'accès en revue.
- Un plancher de preuve indépendant de l'appareil. Puisque le poste n'est pas maîtrisé, la méthode ne doit pas reposer uniquement sur lui. Sur les opérations sensibles, la preuve doit porter sur l'action, ce qui est l'objet de l'authentification transactionnelle.
- Un canal de reprise défini à l'avance. Écrire qui peut réinitialiser un accès tiers, sur quelle preuve, et interdire tout autre chemin. Un support qui ne peut pas techniquement aboutir sans preuve indépendante est plus robuste qu'un support à qui l'on demande d'être vigilant.
- Une clause de notification des départs. Le contrat doit obliger le prestataire à signaler les sorties de son personnel affecté à votre mission. C'est la seule façon d'obtenir le signal qui vous manque, et elle relève de l'achat, pas de la technique.
La formulation contractuelle de ces points est traitée dans la trame d'appel d'offres.
Le cas particulier des accès du fournisseur d'authentification
Le prestataire le plus sensible est celui qui opère votre authentification. Son support peut-il agir sur vos comptes ? Avec quelle traçabilité ? Pouvez-vous désactiver cette capacité ?
Ces trois questions figurent rarement dans une consultation, et elles portent sur la brique dont tout le reste dépend — le raisonnement est développé dans l'authentification comme dépendance de rang zéro.
Ce que ces décisions ne règlent pas
Elles ne traitent pas la collusion : un prestataire dont un salarié agit délibérément contre vous dispose d'un accès légitime, et aucune méthode d'authentification ne distingue un usage autorisé d'un usage déloyal. Ce risque relève de la limitation de périmètre et de la détection d'usage, pas de la preuve d'identité.
Elles ne traitent pas non plus la profondeur de la chaîne. Votre prestataire a lui-même des sous-traitants, dont vous ne connaissez souvent que le premier rang. L'exigence d'auditabilité s'arrête en pratique là où s'arrête votre pouvoir de négociation, et il est plus honnête de l'écrire que de supposer une maîtrise complète. La preuve qu'une opération sensible a été voulue par une personne identifiée, plutôt que produite par un accès valide, est ce que cherche à établir le 4ᵉ facteur cognitif.
FAQ
Faut-il des comptes nominatifs pour les prestataires, ou des comptes partagés suffisent-ils ?
Nominatifs, sans exception sur les accès sensibles. Un compte partagé rend toute imputation impossible, donc tout dossier de preuve inutilisable, et il survit systématiquement au départ de ceux qui le connaissaient.
Comment traiter un prestataire qui refuse d'utiliser notre méthode d'authentification ?
En traitant le refus comme un coût, pas comme un obstacle technique : soit le périmètre d'accès se réduit à la mesure de la preuve qu'il accepte de fournir, soit la clause se négocie au renouvellement. Accorder une exception permanente revient à fixer le niveau de sécurité au niveau du fournisseur le moins coopératif.
La fédération d'identité simplifie-t-elle ou complique-t-elle le sujet ?
Elle simplifie l'exploitation et déplace le risque : vous cessez de gérer des comptes, vous commencez à dépendre des pratiques d'un annuaire tiers. C'est un bon choix à condition d'exiger et de vérifier le niveau du facteur et la durée des sessions côté partenaire.
À quelle fréquence revoir les accès tiers ?
Une revue annuelle est un minimum d'audit, pas une mesure de sécurité. L'échéance obligatoire à la création produit plus d'effet qu'une revue périodique, parce qu'elle ferme par défaut au lieu d'ouvrir par défaut.
Aller plus loin : pilier : authentification cognitive · comptes de service et identités machine · accès à privilèges et PAM · NIS2, DORA, DSP3, CRA