Un salarié parti garde encore des accès : quand l'assurance cyber de votre TPE peut intervenir

Un départ de salarié avec des accès informatiques encore actifs ressemble souvent à un simple oubli administratif. En réalité, c'est parfois le premier maillon d'un incident cyber en PME, surtout si un ancien collaborateur peut encore toucher à la messagerie, aux fichiers clients ou aux outils métiers.

Le vrai risque commence souvent après la remise du badge

Dans une TPE, la désactivation des accès des collaborateurs n'est pas toujours centralisée. Un compte Microsoft 365 est coupé, mais le CRM reste ouvert. La messagerie est redirigée, mais un accès distant subsiste. Et puis il y a les mots de passe partagés, les doublons, les droits accordés un peu trop largement, parce qu'il fallait aller vite.

Le sujet bascule quand un ancien salarié conserve un accès à des données clients, à des devis, à la comptabilité ou à un agenda sensible. Tant qu'aucune action anormale n'est constatée, beaucoup de dirigeants restent sur un raisonnement RH. C'est compréhensible, mais un peu court. Car en cybersécurité, le risque existe dès la persistance d'un accès non autorisé, pas seulement quand le dommage est déjà visible.

Les signaux qui doivent faire réagir dans les premières heures

Quelques indices méritent une réaction immédiate : connexions encore possibles après le départ, réinitialisation inexpliquée d'un mot de passe, transfert d'e-mails, téléchargements massifs de documents, ou simple impossibilité de savoir qui a encore accès à quoi. Cette dernière situation est, à sa manière, la plus inquiétante.

Dans ces premières heures, il faut penser en priorité au confinement plutôt qu'à l'explication. Couper les accès, révoquer les sessions ouvertes, changer les mots de passe d'administration, vérifier la double authentification, suspendre les redirections de messagerie. Ce sont des gestes de continuité d'activité, pas une accusation.

À partir de quand ce n'est plus seulement un sujet RH

Un départ tendu n'est pas automatiquement un sinistre. En revanche, il devient un événement cyber dès qu'il y a un risque crédible sur la confidentialité, l'intégrité ou la disponibilité de vos données et outils. C'est le cas si un compte actif permet encore d'entrer dans la boîte mail professionnelle, d'exporter un fichier patient, de supprimer des documents ou de se connecter à distance au serveur.

Pour un cabinet médical, paramédical, juridique ou comptable, le seuil est encore plus bas, si l'on peut dire. Les données manipulées sont sensibles, parfois réglementées, et le préjudice ne se limite pas à la perte d'un fichier. Il peut toucher la confiance des clients, la conformité et l'organisation même du cabinet.

La CNIL rappelle d'ailleurs que les violations de données personnelles s'analysent selon leurs effets concrets et potentiels. Autrement dit, attendre la preuve d'un détournement avant de réagir est souvent une mauvaise habitude.

Ce que l'assurance cyber peut prendre en charge selon le scénario

Une assurance cyber pour TPE n'intervient pas seulement après un rançongiciel spectaculaire. Selon les contrats, elle peut mobiliser une assistance dès la découverte d'un accès non révoqué ayant entraîné, ou susceptible d'entraîner, une atteinte aux données ou à l'activité.

Concrètement, plusieurs volets peuvent entrer en jeu : gestion de crise, expertise informatique, recherche de traces, accompagnement juridique, frais de notification, communication de crise, voire pertes d'exploitation si l'activité doit être interrompue. Tout dépend du contrat, bien sûr, et de la qualification de l'incident.

C'est précisément le point que nous travaillons quand nous relisons une couverture cyber-risques avec un dirigeant : non pas seulement le plafond, mais les déclencheurs réels de garantie, les exclusions et la façon dont l'assureur attend d'être alerté. Beaucoup de contrats sont mal compris parce qu'ils sont lus trop tard.

Un cabinet de conseil a découvert le problème dans la messagerie partagée

Le départ avait été rapide, sans conflit ouvert. Quelques jours plus tard, une associée d'un cabinet de conseil basé à Créteil remarque qu'un dossier client a été déplacé et qu'une règle de transfert automatique existe encore sur une boîte commune. Rien de spectaculaire : juste cette petite anomalie froide, presque silencieuse.

Les accès sont coupés dans l'urgence, puis l'équipe vérifie les journaux de connexion. L'ancien collaborateur pouvait encore entrer dans plusieurs outils via un identifiant secondaire oublié. À ce stade, il ne s'agissait plus d'un simple sujet RH. Nous voyons souvent ce moment de bascule : celui où l'on comprend qu'un contrat bien expliqué vaut aussi par la rapidité des bons réflexes.

Le cabinet a alors pu traiter l'incident sobrement, limiter l'exposition, documenter les faits et sécuriser ses accès. La leçon tenait en peu de mots : un compte dormant n'est jamais neutre.

Avant d'appeler l'assureur, rassemblez les bons éléments

Il ne sert à rien d'attendre un dossier parfait, mais il faut un minimum de matière. Notez la date de départ, la liste des outils concernés, les accès encore actifs, les premières anomalies constatées et les mesures déjà prises. Gardez les captures utiles, sans bricoler l'environnement technique.

Ensuite, contactez selon l'ordre logique du risque : votre prestataire informatique pour sécuriser, votre conseil juridique si des données personnelles sont en cause, puis votre assureur ou votre interlocuteur pour vérifier la marche à suivre. Sur ce type de dossier, la vitesse compte, mais la clarté compte plus encore.

Pour beaucoup de structures, le plus raisonnable reste de prévoir une check-list de sortie : messagerie, CRM, accès cloud, VPN, téléphonie, outils métiers, mots de passe partagés, authentification multifacteur, matériel restitué. C'est moins glamour qu'une politique cyber en 20 pages, mais souvent plus efficace. Nos articles reviennent d'ailleurs régulièrement sur ces angles morts très ordinaires.

En complément, les ressources de Cybermalveillance.gouv.fr sont utiles pour structurer les premières mesures, surtout quand la situation est encore floue.

Le bon réflexe n'est pas seulement technique

Quand un salarié part, la question n'est pas seulement de savoir si vous avez coupé un compte. Il faut se demander si votre organisation sait prouver que les accès utiles ont bien été retirés, dans le bon ordre, et si votre contrat cyber répond à ce type d'incident discret. Si vous souhaitez faire le point sur vos garanties professionnelles ou relire vos angles morts, vous pouvez consulter notre FAQ, parcourir nos analyses ou prendre rendez-vous avec nous. C'est souvent avant le prochain départ que la protection devient enfin cohérente.