Transfert de vault : évitez que les credentials partent avec l'employé sortant

Des logins partagés que seule une personne connaissait, des clés API stockées dans son vault personnel, des tokens 2FA liés à son téléphone privé. Comment éviter les moments « oh non ».

Le grand classique de l'offboarding : quelqu'un quitte l'entreprise et, une semaine plus tard, vous découvrez qu'il était le seul à connaître le mot de passe du compte professionnel du service X. Il ne répond plus. Problème.

Prévention à trois niveaux

1. Pas de vaults personnels pour les credentials professionnels. Tout ce qui est professionnel va dans un vault partagé (équipe ou système de vault). Les comptes 1Password personnels sont réservés à l'usage privé.
2. Au moins 2 personnes connaissent chaque credential critique. Voir accès privilégiés — veillez à ce qu'au moins 2 personnes disposent des droits administrateur.
3. 2FA non lié au téléphone personnel. Utilisez des solutions de tokens partagés (1Password TOTP, Keeper) ou des tokens matériels d'entreprise.

Lors de l'offboarding

1. Établissez une liste : quels éléments du vault seront perdus avec le départ de cette personne ? Ils doivent être transférés.
2. Pour chaque élément : transfert explicite au successeur + changement de mot de passe immédiatement après (par sécurité).
3. Tokens 2FA : redistribuer ou migrer vers un système partagé ou d'équipe.
4. Entrée dans le journal avec la date et les éléments concernés.

Après l'offboarding

Faites un bilan au trimestre suivant : reste-t-il des credentials manquants sur lesquels vous butez ? En général, dans le mois qui suit, vous en trouvez encore 1 ou 2 du type « ah oui, ça aussi ».

Voir aussi : gestion des mots de passe partagés, guide offboarding.