Ces accès que vous avez oubliés — et qui restent ouverts

Vous n'utilisez plus cet outil depuis des mois. Mais votre compte existe encore. Votre adresse professionnelle y est toujours liée. Et si ce service venait à être compromis demain, la porte serait grande ouverte. Ce risque invisible touche la quasi-totalité des professionnels libéraux — sans qu'ils en aient conscience.

Un cabinet, des années d'outils — et personne ne fait le bilan

Imaginez un avocat — appelons-le Maître Dupont. En 2022, il refait son site. Une agence web obtient les accès à son hébergeur pour mener les travaux. Mission accomplie, accès jamais révoqués. La même année, il teste un outil de signature électronique gratuit, l'utilise trois semaines, puis passe à autre chose. Le compte reste actif, lié à sa boîte mail professionnelle.

En 2023, son assistante installe une application de gestion de planning sur les appareils du cabinet. Utile. Pratique. Synchronisée avec le calendrier partagé. L'assistante part en 2024. L'application, elle, est toujours là — et toujours connectée. Un stagiaire passe quelques mois. Il configure un outil de prise de notes collaboratives, l'utilise pour partager des documents de travail. À son départ, plus personne n'y pense.

Résultat : quatre points d'entrée actifs dans le système du cabinet. Quatre accès que Maître Dupont ignore avoir laissés ouverts.

Ne plus utiliser un outil ne ferme pas l'accès

C'est l'erreur de raisonnement la plus courante. On cesse d'utiliser un service, on le considère comme inexistant. Mais le compte, lui, continue d'exister. Il reste lié à votre adresse professionnelle. Il conserve éventuellement des accès à vos documents, votre calendrier, votre messagerie.

Le problème se cristallise en cas de compromission du service tiers. Les plateformes gratuites — outils de collaboration, applications de gestion, services de stockage — font régulièrement l'objet de fuites de données. Quand c'est le cas, les identifiants associés à ces comptes se retrouvent exposés. Et si l'un de ces comptes était lié à votre activité professionnelle, c'est votre cabinet qui devient vulnérable, par rebond.

Ce n'est pas votre comportement qui est en cause. C'est l'absence d'inventaire.

Une responsabilité que le RGPD ne partage pas

Le Règlement général sur la protection des données ne fait pas de distinction entre les outils que vous utilisez activement et ceux que vous avez oubliés. Il suit les données — et les données de vos clients peuvent transiter ou être accessibles via n'importe lequel de ces services.

La responsabilité repose sur le responsable du traitement. Pas sur le prestataire qui a mal sécurisé son service. Pas sur l'hébergeur. Sur vous. C'est ce que rappelle régulièrement l'Autorité de protection des données belge dans ses lignes directrices : la cartographie des accès et des traitements est une obligation, pas une recommandation.

En cas d'incident impliquant un outil tiers auquel vous avez accordé un accès, vous devrez démontrer que vous avez pris les mesures appropriées pour limiter cette exposition. Un inventaire à jour est la première de ces mesures.

Trois réflexes pour reprendre le contrôle

La bonne nouvelle : cette situation ne demande pas de compétences techniques pour être corrigée. Elle demande de l'organisation et de la méthode.

La première étape est l'inventaire. Une fois par an, prenez le temps de lister l'ensemble des services et applications liés à vos adresses professionnelles. La plupart des messageries permettent de consulter les applications tierces autorisées directement dans les paramètres du compte. C'est un point de départ simple et rapide.

La deuxième étape est la révocation. Pour chaque outil identifié que vous n'utilisez plus depuis plus de six mois, supprimez le compte ou révoquez les accès. Un compte fermé ne peut pas être compromis.

La troisième étape est la systématisation. À chaque départ — qu'il s'agisse d'un collaborateur, d'un stagiaire ou d'un prestataire — intégrez dans votre procédure de départ la vérification et la coupure de tous les accès accordés pendant la mission. Le jour même, pas la semaine suivante.

Ce que vous pouvez faire dès aujourd'hui Consultez les paramètres de votre compte Google ou Microsoft et listez les applications tierces autorisées. Vérifiez qui a accès à votre hébergeur, votre outil de facturation, votre CRM. Pour chaque départ récent : avez-vous bien coupé tous les accès le jour même ? Identifiez les outils gratuits testés ces deux dernières années — sont-ils encore actifs ? Documentez vos accès dans un fichier simple, mis à jour à chaque changement.

La surface d'attaque invisible

Votre exposition ne se limite pas à ce que vous utilisez aujourd'hui. Elle inclut l'ensemble des outils que vous avez essayés, des accès que vous avez accordés, des comptes que vous avez ouverts — et jamais fermés.

Ce n'est pas une fatalité. C'est un angle mort que l'on peut corriger avec méthode, sans expertise technique, sans budget particulier. Juste un peu de temps, une fois par an, pour faire ce que vous faites déjà pour votre armoire à archives : trier, fermer, et reprendre le contrôle.