Lorsqu'un employé quitte l'entreprise, le service informatique dispose d'un laps de temps limité pour protéger les données, assurer la continuité des activités et éviter qu'un simple incident RH ne se transforme en problème de sécurité. Cette checklist de départ Microsoft 365 offre aux dirigeants et aux équipes informatiques une procédure pratique et détaillée pour révoquer les accès, préserver les e-mails et le contenu OneDrive, gérer les appareils, transférer la propriété et prouver que les tâches ont bien été effectuées.
Besoin d'une désactivation plus sûre de Microsoft 365 ?
MSP Corp aide les organisations canadiennes à renforcer leurs processus d'identité, de terminaux, de messagerie, OneDrive, Teams et d'administration afin que le départ des employés n'entraîne pas d'accès risqués, de fichiers perdus ou de gaspillage de licences.
Le départ d'un employé crée une situation complexe, mêlant urgence et subtilité. Il faut bloquer rapidement l'accès à ses données, tout en assurant la continuité de l'activité. Vous pourriez avoir besoin de sa messagerie pour les communications clients, de son OneDrive pour les fichiers de projet, de son compte Teams pour le transfert de propriété, de son appareil mobile (effacement des données ou mise hors service) et de sa licence Microsoft 365 (récupération sans suppression de données essentielles à l'entreprise).
La méthode la plus sûre n'est pas de « supprimer l'utilisateur ». Il s'agit d'un processus de départ contrôlé : confirmer le type de départ, préserver les données pertinentes, révoquer l'accès, transférer la propriété, supprimer les chemins d'accès non gérés, récupérer la licence et vérifier le résultat. Les instructions de Microsoft destinées aux anciens employés détaillent ces tâches : blocage d'accès, préservation de la boîte aux lettres, gestion des appareils mobiles, redirection des e-mails ou conversion des boîtes aux lettres partagées, accès à OneDrive et Outlook, suppression de la licence et suppression du compte.1, 3, 4, 6
La CISA et le MS-ISAC ont enquêté sur un incident au cours duquel un acteur malveillant a accédé à une organisation gouvernementale d'État via le compte compromis d'un ancien employé. La CISA note que les acteurs malveillants utilisent couramment des comptes valides, y compris des comptes d'anciens employés qui n'ont pas été correctement supprimés d'Active Directory.14 C’est pourquoi le processus de départ des employés doit être considéré comme un contrôle de sécurité des identités, et non comme une simple tâche RH.
Que se passe-t-il lorsqu'un employé quitte son poste ?
Un processus de départ propre répond à six questions avant de supprimer l'accès de l'employé :
Pour un départ normal et à l'amiable, ce processus peut généralement être planifié sur plusieurs jours. En cas de licenciement, de compte compromis, de risque interne ou de départ d'un administrateur privilégié, le calendrier est différent. Les recommandations de Microsoft Entra mentionnent spécifiquement les comptes compromis, les licenciements et les menaces internes comme des scénarios où les administrateurs peuvent être amenés à révoquer tous les accès.2
Liste de vérification pour la sortie du M365 en bref
Le tableau ci-dessous est la version pratique. Adaptez-le à vos processus RH, à votre politique de sécurité et à votre modèle de licence Microsoft.
| Stage | Que faire | Pourquoi cela compte | propriétaire principal |
|---|---|---|---|
| Avant le départ | Confirmer la dernière heure de travail, le type de sortie, le responsable, le propriétaire des données, les exigences légales de conservation, l'inventaire des appareils et le successeur. | Empêche les modifications précipitées et réduit le risque de suppression ou de perte de documents commerciaux importants. | RH, gestionnaire, informatique |
| À l'heure du départ | Bloquer la connexion, révoquer les sessions, réinitialiser le mot de passe le cas échéant, supprimer les rôles d'administrateur, désactiver l'accès VPN et SaaS. | Bloque les voies d'accès interactives et basées sur des jetons le plus rapidement possible.2 | Informatique/sécurité |
| Remise de la boîte aux lettres | Convertissez la boîte aux lettres en boîte aux lettres partagée ou configurez le transfert avec approbation. Attribuez l'accès au successeur. | Permet de maintenir la communication avec les clients, les fournisseurs et les projets sans autoriser l'ancien employé à se connecter.3 | Responsable informatique |
| OneDrive et fichiers | Accorder un accès contrôlé, copier ou déplacer les fichiers nécessaires, préserver les dossiers de projet importants et supprimer ultérieurement l'accès administrateur temporaire. | Microsoft indique que si le compte utilisateur est supprimé, il existe un délai par défaut de 30 jours pour accéder aux données OneDrive de l'ancien utilisateur, sauf si la durée de conservation est modifiée.4, 5 | Responsable informatique |
| Appareils | Récupérer les appareils de l'entreprise, mettre hors service les appareils BYOD, effacer les données des appareils appartenant à l'entreprise si nécessaire, faire tourner l'accès à la récupération BitLocker et supprimer les enregistrements d'appareils obsolètes. | Supprime les applications gérées, les profils et les données d'entreprise des appareils tout en faisant correspondre l'action au type de propriété.9 | informatique, RH |
| Équipes, SharePoint, groupes | Transférez la propriété des équipes, des sites SharePoint, des groupes Microsoft 365, des canaux partagés, des plans Planner, des flux Power Platform et des réunions récurrentes. | Évite les espaces de travail orphelins, les approbations manquées, les automatisations défaillantes et les données partagées non gérées. | Responsable du département informatique |
| Licence | Ne supprimez ou ne réattribuez les licences Microsoft 365 qu'après avoir compris les exigences relatives à la conservation, à la boîte aux lettres, aux données et à l'accès. | Microsoft indique que lorsqu'une licence est supprimée, les données utilisateur sont conservées pendant 30 jours, après quoi la plupart du contenu utilisateur est définitivement supprimé, à l'exception des documents stockés dans SharePoint.6 | Informatique, finance |
| Vérification | Vérifiez les journaux de connexion, les journaux d'audit, les autorisations de boîte aux lettres, les règles de transfert, les autorisations de l'application OAuth, l'état de l'appareil et les preuves de ticket. | Confirme que l'ancien employé a quitté l'entreprise, que celle-ci dispose des données nécessaires et qu'il ne subsiste aucune exception à risque.10, 11 | Informatique/sécurité |
Point clé à retenir : la désactivation d’un compte doit être un processus structuré avec des preuves, et non une simple suppression de compte en un clic.
Étape 1 : Classer le départ avant d’apporter des modifications
Chaque départ ne nécessite pas la même procédure. La première étape consiste à classifier le départ afin que le service informatique puisse trouver un équilibre entre rapidité, préservation des données et gestion des risques.
Planifié et à faible risque
L'employé quitte ses fonctions en bons termes, sa date de départ est connue et il peut faciliter la transition. Profitez-en pour documenter les projets, transférer la propriété, récupérer les identifiants conservés dans des coffres-forts sécurisés, confirmer la restitution des appareils et identifier les relations avec les clients et les fournisseurs.
Risque immédiat ou élevé
Le départ est involontaire, l'employé disposait d'un accès privilégié, une compromission est suspectée ou des risques liés à des menaces internes existent. La révocation des accès doit être coordonnée pour une période déterminée et les premières modifications doivent concerner la connexion, les sessions, les rôles d'administrateur, le VPN et les outils SaaS sensibles.2, 14
La classification doit être clairement indiquée sur le ticket. Un commercial qui quitte l'entreprise sans privilèges d'administrateur, un responsable financier gérant des exportations sensibles et un administrateur système disposant de droits d'administrateur global ne doivent pas être exposés au même risque.
Étape 2 : Préparer l’inventaire des accès
Les erreurs les plus fréquentes lors de la désactivation des comptes utilisateurs se produisent généralement en dehors du compte Microsoft 365. Avant la date limite d'accès définitive, établissez un inventaire rapide des accès.
Microsoft 365 et identité
- Compte Microsoft Entra ID
- Licences et plans de service attribués
- Rôles d'administrateur, attributions d'identités privilégiées et droits d'administrateur délégués
- Groupes Microsoft 365, groupes de sécurité, listes de distribution et groupes dynamiques
- Adhésions et propriété d'équipes
- Autorisations SharePoint, propriété du site, liens de partage et exceptions de partage externe
- Autorisations de boîte aux lettres Exchange, règles de transfert, alias et accès aux boîtes aux lettres partagées
- Exclusions d'accès conditionnel et exceptions d'emplacement nommé
Si votre environnement d'identité est complexe en raison d'acquisitions, d'anciens domaines, de comptes dupliqués ou de plusieurs locataires, traitez-le dans le cadre d'une démarche plus globale. consolidation de l'identité effort. Si votre organisation fusionne des environnements Microsoft 365, un plan structuré pour consolidation multilocataire peut empêcher que le départ des employés ne devienne encore plus difficile.
Appareils et terminaux
- Ordinateurs portables, ordinateurs de bureau, téléphones, tablettes et bureaux virtuels Windows
- État d'inscription et de conformité d'Intune
- Accès à la clé de récupération BitLocker et propriété de l'appareil
- Comptes d'administrateur local et informations d'identification mises en cache
- outils d'accès à distance et agents de support
- Appareils personnels avec applications ou profils d'entreprise
Pour les appareils BYOD, l'action « Retirer » de Microsoft Intune supprime les données d'entreprise, les applications gérées, les paramètres et les profils MDM tout en préservant les données personnelles. L'action « Effacer », quant à elle, est plus radicale : elle réinitialise l'appareil et supprime les données personnelles et organisationnelles. Choisissez l'action la plus adaptée au modèle de propriété de l'appareil et à votre stratégie.9 Pour les entreprises qui sont encore en train de formaliser cela, une solution claire politique de sécurité BYOD permet de rendre les décisions de départ moins subjectives.
Accès tiers et SaaS
- Comptes CRM, finance, SIRH, paie, billetterie, gestion de projet, marketing et gestionnaire de mots de passe
- VPN, pare-feu, SASE, ZTNA et accès au bureau à distance
- Applications OAuth avec accès délégué aux données Microsoft 365
- Portails fournisseurs, bureaux d'enregistrement de noms de domaine, consoles cloud, comptes de réseaux sociaux et boîtes de réception partagées
- Outils d'IA, plugins de navigateur, copilotes, outils d'automatisation et connecteurs de données
Les autorisations des applications OAuth méritent une attention particulière. Microsoft Defender pour applications cloud peut afficher les applications OAuth installées par l'utilisateur qui ont accès aux données Microsoft 365, les autorisations dont elles disposent et les utilisateurs autorisés à y accéder.10 C’est important car la désactivation d’un compte Microsoft 365 n’équivaut pas à auditer chaque application ou connecteur tiers ayant accédé aux données de l’entreprise.
Étape 3 : Préservez les données de l’entreprise avant toute suppression.
Les données des employés quittant l'entreprise se répartissent généralement en trois catégories : les documents commerciaux que l'entreprise est tenue de conserver, les données personnelles ou non essentielles qui ne doivent pas être largement diffusées, et les données nécessitant un examen juridique, de conformité ou de protection de la vie privée. Votre processus de départ doit séparer ces données avant leur transfert.
Microsoft permet aux administrateurs d'accéder aux données OneDrive et Outlook d'un ancien employé, de les sauvegarder et de choisir d'accorder ou non l'accès à un autre employé.4 Cela ne signifie pas que chaque responsable doit recevoir toutes les informations. L'accès doit être ciblé, limité dans le temps et lié à un besoin de l'entreprise.
Courriel et calendrier
Pour la plupart des entreprises, la solution la plus simple pour la transition des boîtes aux lettres consiste à convertir la boîte aux lettres utilisateur en boîte aux lettres partagée, à accorder l'accès au successeur désigné et à empêcher l'ancien employé de se connecter. Microsoft précise que lorsqu'une boîte aux lettres utilisateur est convertie en boîte aux lettres partagée, les informations de messagerie et de calendrier existantes sont conservées et plusieurs personnes peuvent y accéder.3
Faites attention à trois détails :
- Convertissez avant de supprimer la licence. Microsoft indique que la boîte aux lettres de l'utilisateur nécessite une licence avant d'être convertie en boîte aux lettres partagée, et qu'après la conversion, vous pouvez supprimer la licence du compte utilisateur.3
- Ne supprimez pas l'ancien compte trop tôt. Microsoft indique que l'ancien compte utilisateur est le compte principal de la boîte aux lettres partagée.3
- Vérifiez la taille de votre boîte aux lettres et les exigences de stockage. Les boîtes aux lettres partagées sans licence ont des limites, et les mises en attente peuvent nécessiter la licence Exchange Online appropriée.3, 6
Pour les postes en contact direct avec la clientèle, configurez une réponse automatique et un transfert supervisé. Évitez le transfert silencieux sans responsable, car il peut créer une boîte aux lettres fantôme non gérée. Pour les postes juridiques, RH, financiers ou soumis à des réglementations, vérifiez les exigences en matière de conservation des données et de découverte électronique avant de modifier l'état de la boîte aux lettres.
onedrive
OneDrive est souvent le point faible des procédures de départ. Un responsable peut avoir besoin de fichiers clients, de notes de projet ou de documents en cours d'élaboration, mais un accès étendu au OneDrive d'un ancien employé peut exposer des informations personnelles, RH ou sensibles sans rapport avec l'entreprise. La meilleure solution consiste à cibler l'accès, à effectuer des copies ou des déplacements ciblés, puis à supprimer les droits d'administrateur temporaires une fois la transition terminée.
Les instructions actuelles de Microsoft concernant la suppression des comptes OneDrive indiquent que le processus de nettoyage commence dès la suppression d'un compte utilisateur de Microsoft Entra ID, et non pas seulement lors du blocage de la connexion ou de la suppression d'une licence. L'utilisateur supprimé apparaît dans le centre d'administration Microsoft 365 pendant 30 jours, et la période de conservation par défaut de OneDrive est également de 30 jours, bien que les administrateurs puissent la modifier dans le centre d'administration SharePoint.5
Le moment choisi est crucial. Si vous supprimez d'abord et planifiez ensuite, vous déclenchez une période de rétention. Si vous conservez d'abord et supprimez ensuite, vous réduisez le risque de devoir précipiter la récupération.
Groupes SharePoint, Teams et Microsoft 365
Les équipes et SharePoint sont des espaces partagés, mais ils ont toujours des propriétaires. Lorsqu'un employé quitte l'entreprise, vérifiez s'il est le seul propriétaire d'équipes, de canaux privés, de canaux partagés, de sites SharePoint, de plans Planner, de listes ou de flux Power Automate. Attribuez un nouveau propriétaire avant de retirer l'utilisateur des groupes.
C’est également le moment opportun pour revoir le partage de fichiers invités et les fichiers sensibles. Les départs révèlent souvent que les autorisations se sont développées progressivement au fil des ans. Si vos fichiers font également partie de la préparation à l’IA ou à Copilot, assurez-vous que le processus de départ soit aligné sur les besoins des utilisateurs. Préparation de Microsoft 365 Copilot et Gouvernance de l'IA, car les contenus bénéficiant d'autorisations excessives peuvent être plus facilement mis en évidence par le biais de la recherche et des expériences d'IA.
Étape 4 : Révoquer l’accès dans le bon ordre
Pour un départ normal, l'accès peut être révoqué à l'heure de fin de travail convenue. En cas de départ à risque, les RH, le responsable, l'informatique et la sécurité doivent coordonner le début précis des modifications. L'ordre est important car l'accès à Microsoft 365 utilise des sessions, des jetons d'actualisation, des appareils, des applications et des services connectés.
Bloquer la connexion
Empêchez l'utilisateur de se connecter à Microsoft 365 et aux services connectés à Microsoft Entra. Le blocage de la connexion empêche les nouvelles connexions interactives, mais ne signifie pas que toutes les sessions sont instantanément fermées. Microsoft précise qu'un délai peut s'écouler entre le début de la révocation et la révocation effective de l'accès, selon l'environnement.2
Révoquer les sessions et les jetons
Utilisez la procédure de révocation d'accès de Microsoft Entra pour invalider les sessions et actualiser les jetons le cas échéant. Ceci est particulièrement important si l'employé a utilisé plusieurs appareils, applications mobiles, navigateurs ou a eu accès à des systèmes sensibles.2
Supprimer d'abord les rôles privilégiés
Supprimez les rôles d'administrateur général, d'administrateur Exchange, d'administrateur SharePoint, d'administrateur Teams, d'administrateur Intune, les rôles de sécurité, les enregistrements d'applications, la propriété du principal de service et les appartenances aux groupes privilégiés. Pour les sorties privilégiées, examinez les comptes d'urgence et les affectations de gestion des identités privilégiées dans le cadre du même processus.
Supprimer ou mettre à jour les appartenances aux groupes
Supprimez l'utilisateur des groupes Microsoft 365, des équipes Teams, des listes de distribution, des groupes de sécurité, des boîtes aux lettres partagées et des groupes d'accès basés sur les rôles. Si l'utilisateur est le seul propriétaire d'un groupe ou d'une équipe, désignez d'abord un autre propriétaire.
Désactiver l'accès non-Microsoft
Désactivez le VPN, le pare-feu, le RMM, le PSA, le CRM, les outils RH, financiers, de paie, de développement, la console cloud, la sauvegarde, l'enregistrement de domaine et l'accès aux solutions SaaS tierces. C'est là que de nombreuses entreprises ont besoin d'aide. partenaire informatique gérécar le compte Microsoft 365 ne représente qu'une partie de la surface d'accès réelle.
L'authentification multifacteur (MFA) contribue à réduire le risque de prise de contrôle de compte, mais ne remplace pas la désactivation de compte, la révocation de jeton, le retrait de groupe, les actions sur l'appareil, la vérification OAuth et la vérification d'accès conditionnel. Pour une sécurité d'identité renforcée, associez la désactivation de compte à… Accès conditionnel, le principe du moindre privilège, la conformité des appareils et la surveillance des connexions.
Étape 5 : Gérer les appareils en fonction de la propriété et des risques
Il convient de traiter rapidement les appareils car ils peuvent contenir des fichiers en cache, des jetons, des courriels hors ligne, des droits d'administrateur local, des sessions de navigateur, des rapports téléchargés ou du contenu OneDrive synchronisé.
| Scénario de l'appareil | Manipulation recommandée | Surveiller |
|---|---|---|
| L'ordinateur portable appartenant à l'entreprise a été rendu à temps. | Récupérer l'appareil, confirmer le chiffrement, préserver les données nécessaires, effacer ou réinitialiser avant réaffectation, mettre à jour le registre des actifs. | Fichiers OneDrive mis en cache, fichiers PST locaux, profils de navigateur, comptes d'administrateur locaux, clients VPN. |
| Ordinateur portable appartenant à l'entreprise non restitué | Désactivez immédiatement l'accès, tentez un verrouillage ou un effacement à distance lorsque cela est possible, transmettez le problème aux RH/au service juridique, suivez le numéro de série et l'état de l'appareil. | Exposition des données hors ligne, enregistrement retardé, comptes locaux non gérés. |
| Téléphone ou tablette personnelle | Utilisez une application gérée ou une action de retrait MDM le cas échéant. La fonction « Retrait » de Microsoft Intune supprime les données d'entreprise et les profils de gestion tout en préservant les données personnelles.9 | Respect de la vie privée, captures d'écran non gérées, fichiers enregistrés, applications de messagerie tierces. |
| Poste de travail d'administrateur privilégié | Conservez les preuves si nécessaire, faites tourner les identifiants, consultez les journaux, désactivez l'accès privilégié, effacez ou reconstruisez avant réutilisation. | Scripts, clés SSH, clés API, historique PowerShell, identifiants cloud, secrets des comptes de service. |
| bureau à distance ou bureau virtuel | Désactiver l'attribution des utilisateurs, révoquer les sessions, préserver les données de profil si nécessaire, supprimer les chemins d'accès persistants. | Lecteurs réseau mappés, informations d'identification enregistrées, conteneurs de profils, hôtes de sessions partagées. |
Si votre équipe propose une assistance 24h/24 et 7j/7, définissez précisément qui gère les licenciements en dehors des heures ouvrables, la désactivation urgente des comptes, le verrouillage des appareils et la vérification des accès. Une compréhension documentée de Qu'est-ce qui est inclus dans l'assistance informatique 24h/24 et 7j/7 ? évite toute confusion lors des évacuations d'urgence.
Étape 6 : Transférez la propriété de l’œuvre, et pas seulement de la boîte aux lettres.
Le transfert des activités professionnelles n'est effectif qu'une fois la propriété de l'entreprise transférée. La transmission de la boîte postale est utile, mais ne couvre pas tous les supports de communication de l'entreprise.
Propriété de la communication
- Conversations avec les clients et les fournisseurs
- Boîtes de réception partagées et alias
- Réunions récurrentes et gestion du calendrier
- Contexte des conversations d'équipe et des canaux
- modération des listes de diffusion
Propriété opérationnelle
- Sites SharePoint et bibliothèques de documents
- Plans Planner, espaces de travail Loop, blocs-notes OneNote
- Flux Power Automate et Power Apps
- Approbations, formulaires, rapports et tableaux de bord
- Portails fournisseurs et notifications de renouvellement
Pour les responsables informatiques, c'est là que la gestion des départs d'utilisateurs se recoupe avec la qualité du service d'assistance. Le ticket ne doit pas se contenter d'indiquer « utilisateur désactivé ». Il doit préciser ce qui a été transféré, conservé, supprimé et qui en a pris la responsabilité. Si votre modèle de support rencontre des difficultés lors de ces transferts, il est temps de revoir votre approche. comment les responsabilités de soutien évoluent du niveau 1 au niveau 3.
Étape 7 : Examiner les règles de transfert, de délégation et de boîte aux lettres
Les règles relatives aux courriels sont souvent négligées. Avant de finaliser la commande, veuillez vérifier :
- Règles de réexpédition externe
- Règles de boîte de réception permettant de supprimer, masquer ou déplacer les messages
- Accès délégué
- Autorisations de boîte aux lettres partagée
- Autorisations « Envoyer en tant que » et « Envoyer au nom de »
- partenariats en matière d'appareils mobiles
- Exposition de l'authentification SMTP et de l'authentification héritée lorsqu'elle est encore présente
Si le départ fait suite à une activité suspecte, considérez les règles de transfert masquées comme des indicateurs potentiels. Microsoft Purview Audit permet de rechercher l'activité des utilisateurs et des administrateurs. Microsoft précise que la recherche d'audit donne accès à des données d'événements d'audit critiques pour l'analyse des activités des utilisateurs.11 Si une boîte aux lettres a pu être utilisée de manière abusive, associez sa désactivation à une… plan d'intervention en cas d'incident et un processus de triage de base.
Étape 8 : Audit des applications OAuth, des outils d’IA et des intégrations non autorisées
Les employés utilisent fréquemment des applications tierces connectées à Microsoft 365. Certaines sont des outils de productivité légitimes, tandis que d'autres exposent inutilement des données. Lors du départ d'un employé, il convient d'examiner les applications pour lesquelles il a donné son consentement, notamment pour les employés des services financiers, des ressources humaines, des ventes, de l'informatique, de l'ingénierie et les cadres dirigeants.
Microsoft Defender pour applications cloud peut afficher quelles applications OAuth ont accès aux données Microsoft 365, quelles autorisations elles possèdent et quels utilisateurs ont accordé ces autorisations.10 Ceci est utile lors du départ d'un employé, car les applications connectées peuvent avoir plus d'accès que l'entreprise ne le pense.
Les employés ont pu utiliser des outils d'IA, des extensions de navigateur, des connecteurs de données, des preneurs de notes, des robots de transcription ou des services d'automatisation. Intégrez l'examen des connecteurs d'IA et d'applications à la liste de vérification de départ, surtout si l'employé a traité des informations confidentielles, du code source, des contrats, des dossiers clients, des dossiers d'employés ou des données financières. Pour une gouvernance plus large, associez cela aux pratiques d'incitation du copilote et votre processus d'approbation de l'IA.
Étape 9 : Supprimez ou réattribuez les licences avec précaution.
Il est important de faire le ménage dans les licences, car les licences inutilisées engendrent des coûts inutiles. Cependant, supprimer une licence trop tôt peut entraîner des problèmes de conservation et d'accès aux données. Microsoft recommande de supprimer la licence Microsoft 365 d'un ancien employé et de la retirer de votre abonnement ou de l'attribuer à un autre utilisateur. Toutefois, il est essentiel de bien comprendre les conditions de blocage et d'accès aux données avant toute suppression.6
Utilisez ce chemin de décision :
- Vérifier les exigences légales ou de conformité en matière de conservation des données. Si une boîte aux lettres doit être accessible pour des raisons de découverte électronique ou juridiques, vérifiez d'abord les exigences en matière de licences et de conservation.6
- Convertissez la boîte aux lettres si nécessaire. Convertissez la boîte aux lettres en boîte partagée avant de supprimer la licence utilisateur si la boîte aux lettres doit rester disponible.3
- Conservez les données OneDrive nécessaires. Copiez ou déplacez les fichiers professionnels avant que le processus de suppression du compte utilisateur ne lance le compte à rebours du nettoyage OneDrive.5
- Supprimez les forfaits de service inutiles. Ne réclamez les licences qu'une fois les décisions relatives aux données et à l'accès documentées.
- Mettre à jour l'inventaire des licences. Suivre les licences récupérées, les licences réattribuées et tous les besoins en matière de boîtes aux lettres partagées payantes ou d'archivage.
Si la gestion des licences est déjà complexe, celle de MSP Corp... Assistance en matière d'approvisionnement informatique et de licences Microsoft peut aider à relier les événements du cycle de vie des utilisateurs au contrôle des coûts, à la planification des renouvellements et à la gestion des abonnements.
Transformez le processus de départ en un flux de travail informatique géré et reproductible.
Nous contribuons à standardiser l'administration de Microsoft 365, le support aux utilisateurs finaux, les contrôles d'identité, les décisions de sauvegarde et les examens d'accès afin que chaque départ d'employé suive le même processus sécurisé.
Étape 10 : Valider à l’aide des journaux et des preuves
La vérification permet à une liste de contrôle de se transformer en mécanisme de contrôle. Avant de clôturer le ticket, rassemblez suffisamment de preuves pour démontrer que l'accès a été révoqué, que les données ont été transférées et que les exceptions ont été approuvées.
Pour les organisations canadiennes qui traitent des renseignements personnels, la documentation est essentielle. Le Commissariat à la protection de la vie privée du Canada indique que les mesures de protection peuvent comprendre des mesures physiques, des outils technologiques à jour et des contrôles organisationnels tels que les habilitations de sécurité, la limitation de l’accès, la formation du personnel et les ententes.12 Dans le contexte d’une atteinte à la vie privée, la LPRPDE exige également que les organisations conservent pendant deux ans un registre de chaque atteinte aux mesures de sécurité concernant les renseignements personnels sous leur contrôle.13
Cas particulier : L'employé qui quitte l'entreprise est un administrateur
Les procédures de départ des administrateurs doivent être encadrées par un protocole plus strict. Les comptes administrateur peuvent gérer l'identité, la messagerie, les terminaux, les sauvegardes, les outils de sécurité, le DNS, les pare-feu, les abonnements cloud et les outils d'assistance à distance. Si la personne qui quitte l'entreprise disposait d'un accès privilégié, ajoutez les actions suivantes :
- Supprimez tous les rôles d'administrateur privilégiés de Microsoft Entra et Microsoft 365.
- Examiner les affectations de gestion des identités privilégiées et les rôles éligibles.
- Faites tourner les identifiants d'administrateur partagés, les identifiants de secours lorsque la politique l'exige, les clés API, les secrets d'application, les clés SSH, les identifiants de la console de sauvegarde, les identifiants RMM et les secrets du pare-feu/VPN.
- Examiner les comptes de service créés ou gérés par l'administrateur.
- Examinez l'activité administrative récente dans Microsoft Purview Audit, les journaux Entra, les outils de point de terminaison, les outils de sauvegarde et les systèmes d'accès à distance.
- Veuillez confirmer qu'aucune adresse électronique personnelle, aucun numéro de téléphone ni aucune méthode d'authentification ne reste associée aux comptes d'administrateur, de service ou d'accès d'urgence.
- Vérifiez les comptes nouvellement créés, les attributions de rôles, les règles de boîte aux lettres, les modifications de partage externe, les enregistrements d'applications et les applications ayant reçu le consentement.
- Documentez toutes les exceptions et obtenez l'approbation de la direction avant de laisser un accès privilégié actif.
Si le départ de l'administrateur s'inscrit dans le cadre d'une acquisition, d'une fusion ou d'un changement de direction informatique, combinez cette liste de contrôle avec une processus de stabilisation informatique post-acquisition, car les accès administrateur hérités, les anciens comptes fournisseurs et les outils obsolètes constituent des zones de risque courantes.
Cas particulier : Le départ peut impliquer un incident de sécurité
En cas de signes d'activité suspecte, ne considérez pas le départ d'un employé comme une procédure de routine. Préservez d'abord les preuves, coordonnez-vous avec la direction et suivez la procédure de gestion des incidents.
Signes d'escalade
- Téléchargements inhabituels ou accès massifs à des fichiers avant le départ
- Transfert de boîte mail vers des adresses externes
- Consentement inattendu de l'application OAuth
- Inscriptions suspectes ou voyages impossibles
- Fichiers supprimés, journaux modifiés ou permissions modifiées
- Nouveaux comptes d'administrateur ou modifications de rôle
Réponse immédiate
- Révoquer l'accès et les sessions
- Conservez les journaux et les preuves relatives aux appareils
- Activité d'audit de révision
- Confirmer le périmètre d'exposition des données
- Mobiliser les responsables juridiques, de la protection de la vie privée et de la sécurité
- Suivi des décisions d'évaluation des infractions
En cas d'activité suspecte, il peut également être approprié de mener une enquête. flux de travail de triage des incidents, documentez les leçons tirées d'une analyse des causes profondes et confirmez si Sauvegarde Microsoft 365 La couverture est adéquate pour les scénarios de restauration.
Cas particulier : entrepreneurs, fournisseurs et personnel temporaire
Il est souvent plus difficile de se séparer des prestataires externes que des employés, car ils peuvent être hors des systèmes RH, utiliser des comptes invités, travailler sur plusieurs plateformes ou dépendre d'appareils personnels. Considérez la séparation des prestataires externes comme un processus à part entière.
- Utilisez des comptes nominatifs, et non des comptes partagés.
- Définissez une date d'expiration pour le compte au début du contrat.
- Exiger un propriétaire d'entreprise pour chaque compte d'entrepreneur.
- Limiter l'accès à des groupes, sites, chaînes et applications spécifiques.
- Examiner mensuellement les comptes invités et le partage externe.
- Désactivez l'accès à la date de fin du contrat, et non lorsque quelqu'un s'en souvient.
Les flux de travail du cycle de vie de Microsoft Entra peuvent aider à automatiser les processus de départ planifiés, notamment la suppression des licences, la suppression d'un utilisateur de Teams et la suppression du compte utilisateur dans un scénario de départ planifié.7 Microsoft documente également les flux de travail de cycle de vie à la demande pour les suppressions en temps réel qui retirent l'utilisateur des groupes, suppriment les adhésions à Teams et suppriment le compte utilisateur.8
Que ne pas faire quand quelqu'un part
Ces erreurs sont fréquentes, notamment dans les organisations où les ressources informatiques sont limitées ou la documentation obsolète.
Ne supprimez pas le compte en premier.
La suppression d'un compte peut déclencher des délais de conservation et compliquer la récupération de la boîte aux lettres ou de OneDrive. Il est donc conseillé de préserver et de transférer les données nécessaires à l'entreprise avant de supprimer le compte.3, 5
Ne laissez pas les mots de passe partagés inchangés
Si l'employé connaissait des identifiants partagés, il convient de les renouveler régulièrement. Mieux encore, remplacez les comptes partagés par des comptes nominatifs et une gestion des accès privilégiés.
Ne transférez pas les e-mails indéfiniment.
Le transfert de fichiers est utile lors d'une transition, mais il nécessite un responsable, une date d'expiration et une vérification. Un transfert de fichiers prolongé peut engendrer des problèmes de confidentialité et de sécurité.
Ne négligez pas l'accès SaaS et OAuth
L'accès à Microsoft 365 ne représente qu'une partie du problème. Les applications OAuth, les outils cloud, les extensions de navigateur et les comptes SaaS peuvent conserver l'accès aux données de l'entreprise si personne ne les contrôle.10
Ne négligez pas les sorties privilégiées
Les administrateurs doivent procéder à la rotation des identifiants, à la vérification des journaux, à la validation des rôles et au transfert de propriété du système. L'avis de la CISA concernant les comptes d'anciens employés explique pourquoi un accès privilégié obsolète peut constituer un risque important.14
Modèle pratique de billet de départ
Utilisez ceci comme point de départ pour votre outil ITSM interne.
| Champ | Que capturer |
|---|---|
| Détails de l'employé | Nom, rôle, département, responsable, lieu, type d'employé, date et heure de fin de travail. |
| Classification des risques | Planifié, immédiat, à haut risque, confidentiel, entrepreneur, incident de sécurité suspecté, conservation légale requise. |
| Coupure d'accès | L'accès précis à l'heure devrait être bloqué, ainsi que la possibilité de savoir qui l'a approuvé et qui l'exécutera. |
| Actions d'identité | Bloquer la connexion, révoquer les sessions, supprimer les rôles, supprimer les groupes, supprimer les méthodes d'authentification multifacteur lorsque la politique l'exige, désactiver l'accès VPN et SaaS. |
| Actions de la boîte aux lettres | Convertir en boîte aux lettres partagée, attribuer les accès, configurer la réponse automatique, approuver le transfert, vérifier les règles et les délégués de la boîte de réception. |
| Actions sur les fichiers | Accès OneDrive, dossiers requis, propriété SharePoint, propriété Teams, décision de conservation, date de suppression de l'accès temporaire. |
| Actions de l'appareil | Ressources attribuées, statut de retour, mise hors service ou suppression d'Intune, préservation des données locales, chiffrement, statut de reconstruction. |
| Actions de l'application | Désactivation des solutions SaaS, examen OAuth, propriété du CRM, paie/RH, outils de projet, plateformes cloud, outils d'IA. |
| Actions de licence | Licences conservées, supprimées, réattribuées ou requises à des fins de mise en attente/archivage/boîte aux lettres partagée. |
| Preuve | Approbations, horodatages, notes de validation, exportations des journaux d'audit, captures d'écran le cas échéant, exceptions et propriétaire. |
Comment MSP Corp contribue à sécuriser le départ des employés
La procédure de départ n'est pas difficile en raison de l'impossibilité de réaliser chaque étape individuellement. Elle l'est parce qu'elle est imbriquée dans plusieurs systèmes : RH, management, Microsoft 365, Entra ID, Exchange, SharePoint, Teams, Intune, outils de sécurité, systèmes SaaS, appareils, sauvegardes et documentation. Lorsque ces responsabilités ne sont pas clairement définies, les anciens employés peuvent conserver un accès trop longtemps, des fichiers d'entreprise peuvent disparaître et les responsables peuvent perdre la visibilité sur des activités critiques.
MSP Corp aide les organisations à maîtriser cette situation grâce à services informatiques gérés, Gestion de Microsoft 365, Services Microsoft Entra, Gestion des terminaux Intune, gouvernance et conformité des données et assistance informatique cogérée pour les équipes internes qui ont besoin de capacités supplémentaires.
Si votre fournisseur actuel ne peut pas vous proposer un processus fiable de gestion du cycle de vie des utilisateurs, cela peut être un signe qu'il est temps d'évaluer votre situation. si votre fournisseur de services gérés (MSP) convient toujours à votre entrepriseLes départs ne devraient pas dépendre d'actes héroïques, de la mémoire ou de « la personne qui sait d'habitude ». Ils devraient être régis par une procédure documentée qui protège l'organisation en toutes circonstances.
Foire aux questions
Faut-il supprimer immédiatement le compte Microsoft 365 d'un employé qui quitte l'entreprise ?
En général, non. Commencez par bloquer la connexion, révoquer les sessions, préserver les e-mails et fichiers nécessaires, transférer la propriété, vérifier la conformité légale, puis supprimer les licences ou le compte le cas échéant. La procédure Microsoft pour les anciens employés distingue le blocage de l'accès, la préservation de la boîte aux lettres, la gestion des appareils, le transfert des e-mails ou la conversion des boîtes aux lettres partagées, l'accès à OneDrive, la suppression des licences et la suppression du compte.1
Quel est le moyen le plus sûr de conserver l'adresse électronique d'un ancien employé ?
Pour de nombreuses organisations, convertir une boîte aux lettres utilisateur en boîte aux lettres partagée est plus sûr que de maintenir un compte utilisateur actif. Microsoft précise que cette conversion préserve les informations de messagerie et de calendrier existantes et permet à plusieurs personnes d'accéder à la boîte aux lettres au lieu d'une seule.3 Assurez-vous que l'ancien employé ne puisse pas se connecter et n'accordez l'accès qu'aux utilisateurs approuvés.
Combien de temps avons-nous pour accéder au OneDrive d'un ancien employé ?
Microsoft indique que si vous supprimez le compte utilisateur, vous disposez par défaut de 30 jours pour accéder aux données OneDrive de l'ancien utilisateur, sauf si la période de conservation est modifiée, et que le processus de suppression de OneDrive commence lorsque le compte utilisateur est supprimé de Microsoft Entra ID.4, 5 Préservez les fichiers critiques pour l'entreprise avant de vous fier aux fenêtres de conservation par défaut.
Faut-il effacer le contenu du téléphone personnel d'un employé qui quitte l'entreprise ?
Ce n'est pas le comportement par défaut. Pour les appareils personnels, utilisez votre stratégie BYOD et l'action de gestion appropriée. L'action « Retirer » de Microsoft Intune supprime les données d'entreprise, les applications gérées, les paramètres et les profils de gestion, tout en préservant les données personnelles.9 L’effacement complet est généralement réservé aux appareils appartenant à l’entreprise ou aux scénarios où la politique, le consentement et les risques le justifient.
Que se passerait-il si l'employé partant avait des droits d'administrateur ?
Considérez cela comme une procédure de départ prioritaire. Supprimez les rôles d'administrateur, révoquez les sessions, faites une rotation des clés secrètes partagées, vérifiez les enregistrements d'applications, consultez les journaux d'audit, assurez-vous qu'aucun accès de secours ne subsiste et documentez les résultats. La CISA a documenté un incident réel impliquant le compte administrateur d'un ancien employé compromis, ce qui illustre le danger que représente un accès administrateur obsolète.14
Microsoft Entra peut-il automatiser le processus de départ des employés ?
Oui, selon les licences et les exigences. Les flux de travail du cycle de vie de Microsoft Entra ID Governance prennent en charge les scénarios de départ planifiés, notamment la suppression des licences, la suppression d'un utilisateur de Teams et la suppression de son compte. Microsoft propose également une documentation sur les flux de travail de fin de contrat à la demande pour les scénarios en temps réel.7, 8
Optez pour une solution plus propre et plus sûre pour la gestion des sorties de personnel.
Si la procédure de départ dépend encore de la mémoire manuelle, de feuilles de calcul éparpillées ou d'une équipe interne surchargée de travail, MSP Corp peut vous aider à mettre en place un processus de cycle de vie sécurisé pour Microsoft 365 qui protège l'accès, les données, les appareils et la continuité.
Références
- Microsoft Learn : Supprimer un ancien employé de Microsoft 365
- Microsoft Learn : Révoquer l’accès utilisateur dans Microsoft Entra ID
- Microsoft Learn : Convertir une boîte aux lettres utilisateur en boîte aux lettres partagée
- Microsoft Learn : Accorder à un autre employé l’accès aux données OneDrive et Outlook
- Microsoft Learn : Conservation et suppression des données dans OneDrive
- Microsoft Learn : Supprimer une licence Microsoft 365 pour entreprises d’un ancien employé
- Microsoft Learn : Automatisez les tâches de départ des employés après leur dernier jour de travail avec Microsoft Entra
- Microsoft Learn : Exécuter les tâches de cessation d’emploi à l’aide des flux de travail de cycle de vie
- Microsoft Learn : Action sur les appareils Intune, Mise hors service
- Microsoft Learn : Gérer les applications OAuth dans Microsoft Defender pour les applications cloud
- Microsoft Learn : Rechercher dans le journal d’audit de Microsoft Purview
- Commissariat à la protection de la vie privée du Canada : Principe 7 de la LPRPDE sur l’accès à l’information, Garanties
- Commissariat à la protection de la vie privée du Canada : Signalement obligatoire des atteintes aux mesures de sécurité
- CISA : Un acteur malveillant exploite le compte compromis d’un ancien employé
- CISA : Supprimer les comptes superflus et obsolètes
- NIST SP 800-53 Rév. 5 : Contrôles de sécurité et de confidentialité pour les systèmes d’information et les organisations