Lorsqu'un employé quitte l'entreprise, il ne suffit pas de simplement bloquer son compte Microsoft 365. L'accès doit être sécurisé, les informations de l'entreprise doivent être conservées et le traitement des données personnelles et des e-mails doit être effectué correctement conformément aux règles de confidentialité. FLEXAMIT accompagne donc ce processus à la fois techniquement et avec soin du point de vue du RGPD.
L’offboarding est à la fois un processus de sécurité et de confidentialité
Lorsqu’un employé part, une organisation a deux responsabilités importantes.
D’une part, il faut empêcher que l’ancien employé ait encore accès à :
- Microsoft 365 ;
- les données de l’entreprise ;
- Teams et SharePoint ;
- les applications SaaS ;
- les appareils de l’entreprise ;
- les comptes partagés et autres environnements d’entreprise.
D’autre part, il faut également éviter que des collègues ou d’autres personnes aient un accès illimité à la boîte aux lettres complète ou à d’autres données personnelles de cet employé sans raison valable après son départ.
l’organisation contre un accès non autorisé par un ancien employé et l’employé partant contre un traitement non autorisé de ses données personnelles.
Une boîte aux lettres au nom d’un employé est-elle personnelle ?
Une boîte aux lettres professionnelle est un outil de l’entreprise et la communication professionnelle peut être nécessaire au fonctionnement et à la continuité de l’entreprise.
Cependant, cela ne signifie pas que tout le contenu d’une boîte aux lettres devient automatiquement accessible librement pour l’employeur ou les collègues après le départ d’un employé.
Une boîte aux lettres telle que :
est directement liée à une personne physique identifiable. La boîte aux lettres et la communication qu’elle contient peuvent donc inclure des données personnelles soumises au RGPD et à d’autres règles relatives à la confidentialité et au secret.
L’accès éventuel doit avoir un but légitime, être nécessaire à ce but et être limité à ce qui est nécessaire.
Pourquoi FLEXAMIT demande-t-il toujours des instructions d’un mandataire ?
FLEXAMIT ne décide pas de manière autonome qui, au sein d’une organisation cliente, peut accéder à la boîte aux lettres ou aux données d’un employé partant.
Cette décision appartient à l’organisation cliente, qui est responsable de ses données de personnel et de ses processus d’entreprise.
C’est pourquoi nous demandons une mission d’un représentant autorisé ou mandaté de l’organisation.
Selon l’organisation, cela peut être par exemple :
- le dirigeant ;
- un responsable exécutif compétent ;
- les ressources humaines ;
- un autre responsable formellement mandaté.
Nous ne confions pas la décision à un employé IT individuel et ne donnons pas simplement des droits sur une boîte aux lettres parce qu’un collègue en fait la demande par téléphone ou par e-mail.
L’organisation cliente détermine le but et la nécessité du traitement. FLEXAMIT exécute ensuite l’action technique appropriée dans le cadre de cette mission.
Quelles conditions sont importantes à cet égard ?
Pour accéder ou traiter des données issues d’un compte professionnel personnel, l’organisation doit notamment tenir compte des principes fondamentaux du RGPD.
Limitation de la finalité
Il doit exister un but clair et légitime.
Par exemple, le suivi nécessaire de la correspondance professionnelle ou l’assurance de la continuité de l’entreprise.
Proportionnalité
Le traitement doit être limité à ce qui est nécessaire à ce but.
Le fait qu’un successeur doive pouvoir retrouver un dossier client en cours ne signifie pas automatiquement que cette personne doit pouvoir consulter librement l’intégralité de la boîte aux lettres historique.
Transparence
Les employés doivent être informés via le règlement du travail, la politique IT, la politique de confidentialité ou d’autres accords internes appropriés sur la manière dont les comptes professionnels et la communication professionnelle sont traités, y compris en cas de départ.
Minimisation des données
Seules les données réellement nécessaires au but visé doivent être traitées plus avant.
Limitation de la conservation
Les données ne doivent pas être conservées indéfiniment simplement parce que c’est techniquement possible.
FLEXAMIT fait consciemment cette distinction.
Comment se déroule un offboarding correct ?
Les étapes exactes varient selon l’organisation et la fonction, mais un processus d’offboarding professionnel traite au minimum les éléments suivants.
- confirmer qui est autorisé à demander l’offboarding ;
- déterminer le moment exact où l’accès doit être arrêté ;
- bloquer les nouvelles connexions ;
- révoquer les sessions existantes ;
- supprimer les droits de gestion et d’accès ;
- déterminer la continuité de la boîte aux lettres ;
- sécuriser OneDrive et autres données d’entreprise ;
- contrôler Teams, SharePoint et les droits de groupe ;
- révoquer l’accès aux autres applications SaaS ;
- récupérer, effacer ou reconfigurer les appareils de l’entreprise ;
- contrôler les identifiants partagés et les coffres-forts de mots de passe ;
- puis seulement supprimer les licences non nécessaires.
1. L’accès de l’employé est coupé
Au moment convenu, FLEXAMIT peut bloquer l’accès à Microsoft 365.
Nous ne regardons pas seulement le mot de passe.
Selon l’environnement, peuvent notamment être traités :
- les nouvelles connexions Microsoft 365 ;
- les sessions existantes ;
- MFA et méthodes d’authentification ;
- les droits Microsoft Entra ;
- Teams et SharePoint ;
- les boîtes aux lettres partagées ;
- les applications SaaS ;
- les appareils de l’entreprise ;
- les droits administrateur.
2. La boîte aux lettres n’est pas simplement supprimée
Une boîte aux lettres peut contenir une communication professionnelle importante.
Pensez notamment à :
- des dossiers clients en cours ;
- des rendez-vous ;
- des offres ;
- de la communication contractuelle ;
- des contacts fournisseurs ;
- des informations nécessaires à la continuité de l’entreprise.
C’est pourquoi nous discutons d’abord avec le mandataire de ce qu’il faut faire de la boîte aux lettres.
Selon les circonstances, on peut par exemple choisir :
- une réponse automatique indiquant que l’employé n’est plus actif ;
- une adresse de contact alternative pour la nouvelle correspondance ;
- un transfert contrôlé des informations professionnelles nécessaires ;
- une conservation temporaire selon la politique en vigueur ;
- une conversion vers une autre forme de boîte aux lettres lorsque cela est techniquement et organisationnellement indiqué.
ouvrir la boîte aux lettres complète d’un ex-employé à un collègue ou transférer tous les futurs e-mails sans limite sans mission claire et autorisée.
3. Pourquoi le transfert automatique n’est pas notre solution standard
Il semble simple de transférer automatiquement tous les nouveaux e-mails d’un employé parti à son successeur.
Du point de vue de la confidentialité, ce n’est pas toujours la meilleure solution.
Les messages futurs peuvent en effet contenir des informations qui :
- ne sont pas destinées au successeur ;
- contiennent des données personnelles ;
- sont confidentielles ;
- concernent les RH, des sujets médicaux ou d’autres sujets sensibles ;
- sont toujours adressées personnellement à l’ancien employé par l’expéditeur.
La solution concrète est toujours choisie en fonction du besoin professionnel et de la politique de confidentialité de l’organisation.
4. Que faire si un collègue a besoin d’accéder à d’anciens e-mails ?
Il arrive qu’il existe un besoin professionnel réel de retrouver la correspondance professionnelle d’un employé parti.
Même dans ce cas, il ne faut pas automatiquement :
L’organisation doit déterminer pourquoi l’accès est nécessaire, qui en a besoin et à quel niveau.
Nous évitons ainsi qu’un accès sensible à la vie privée soit accordé sur la base d’une demande informelle d’une personne non autorisée.
5. Qu’en est-il de la communication privée ou personnelle ?
Le fait qu’un employé utilise une boîte aux lettres professionnelle ne signifie pas que chaque message dans cette boîte peut être lu librement par d’autres.
Lorsque dans un traitement nécessaire, des communications clairement personnelles ou privées sont rencontrées, elles doivent être traitées avec un soin particulier.
6. OneDrive mérite autant d’attention
OneDrive est également lié à un utilisateur individuel.
Il peut contenir à la fois des fichiers de travail temporaires et des documents importants de l’entreprise.
Avant la suppression du compte, il faut donc déterminer :
- quelles données d’entreprise doivent être conservées ;
- qui a besoin de ces données ;
- où ces données doivent être stockées à l’avenir ;
- quelles données personnelles ne doivent pas être traitées inutilement.
Les données d’équipe doivent généralement être dans un environnement SharePoint ou Teams dédié.
7. Contrôlez Teams, SharePoint et la propriété
Un employé peut être propriétaire de :
- Teams ;
- groupes Microsoft 365 ;
- sites SharePoint ;
- ressources partagées ;
- Power Platform ou autres processus d’entreprise.
Avant la suppression du compte, il faut vérifier si un autre employé autorisé reprend la propriété nécessaire.
8. N’oubliez pas les autres applications
Microsoft 365 ne représente généralement qu’une partie de l’identité numérique d’un employé.
Selon l’organisation, d’autres accès doivent également être révoqués :
- CRM ;
- comptabilité ;
- ERP ;
- plateformes RH ;
- VPN ou accès privé ;
- gestionnaires de mots de passe ;
- réseaux sociaux ;
- portails fournisseurs ;
- autres applications SaaS.
9. Les comptes administrateurs nécessitent une attention particulière
L’employé disposait-il de droits administratifs ou autres droits élevés ?
Il faut alors vérifier en plus :
- rôles Microsoft Entra ;
- gestion Exchange ;
- Intune ;
- administration SharePoint ;
- comptes administrateurs locaux ;
- pare-feux et équipements réseau ;
- plateformes de sauvegarde ;
- portails fournisseurs externes ;
- identifiants de gestion partagés.
10. Que devient l’ordinateur portable de l’entreprise ?
L’appareil de l’entreprise doit également être traité de manière contrôlée.
Lorsque FLEXAMIT gère l’appareil, nous pouvons selon la configuration notamment :
- supprimer l’identité de l’entreprise ;
- effacer les données de l’entreprise ;
- effacer complètement l’appareil ;
- réinstaller l’appareil ;
- le préparer à nouveau pour un autre employé.
Des données personnelles, des jetons, des fichiers et d’autres données de l’utilisateur précédent peuvent encore être présents sur l’appareil.
11. Ne supprimez pas la licence Microsoft 365 trop tôt
Supprimer une licence pour économiser immédiatement des coûts semble logique, mais ce n’est pas nécessairement la première étape.
Il faut d’abord déterminer ce qu’il faut faire avec :
- la boîte aux lettres ;
- OneDrive ;
- la rétention ;
- l’archivage ;
- Teams et groupes ;
- autres services Microsoft 365.
12. Conserver ne signifie pas conserver indéfiniment
Microsoft 365 offre de nombreuses possibilités techniques pour conserver des informations.
Mais le RGPD applique également le principe de limitation de la conservation : les données personnelles ne doivent pas être conservées indéfiniment simplement parce que le stockage est peu coûteux ou facile.
L’organisation doit donc déterminer :
- quelles données sont encore nécessaires ;
- pour quel but elles sont conservées ;
- qui a encore besoin d’y accéder ;
- quelles durées de conservation légales ou contractuelles s’appliquent ;
- quand les données ne sont plus nécessaires.
Pourquoi une politique préétablie est si importante
La pire situation est celle où l’on décide seulement le dernier jour de travail ce qu’il faut faire des comptes, boîtes aux lettres et données.
Une organisation professionnelle définit à l’avance :
- comment l’e-mail professionnel peut être utilisé ;
- comment la communication professionnelle et éventuellement personnelle est traitée ;
- ce qu’il advient de la boîte aux lettres en cas de départ ;
- qui peut demander un accès ;
- qui peut approuver cette demande ;
- combien de temps les données sont conservées ;
- où les données structurelles de l’entreprise doivent être stockées ;
- quelles étapes techniques d’offboarding sont effectuées.
Des accords transparents dès l’onboarding évitent les discussions et risques lors de l’offboarding.
Pourquoi FLEXAMIT est volontairement strict avec les droits sur les boîtes aux lettres
Il serait techniquement simple d’attribuer immédiatement des droits sur une boîte aux lettres à chaque demande.
Ce n’est pas ainsi que FLEXAMIT fonctionne.
Nous voulons que toute action technique soit également responsable d’un point de vue organisationnel.
C’est pourquoi :
- nous vérifions qui donne la mission ;
- nous demandons pour les actions sensibles à la vie privée une mission d’une personne autorisée ou mandatée ;
- nous demandons que le client confirme que les conditions internes et juridiques applicables sont remplies ;
- nous n’exécutons que l’action techniquement nécessaire ;
- nous évitons un accès inutilement large lorsque des solutions plus restreintes sont possibles ;
- nous gardons la sécurité et la confidentialité en vue.
L’employeur bénéficie d’un transfert professionnellement géré de l’accès et des informations nécessaires.
L’employé partant a la certitude que son compte ne sera pas ouvert sans contrôle à d’autres indéfiniment.
Et FLEXAMIT veille à ce que l’exécution technique corresponde aux instructions, exigences de sécurité et obligations de confidentialité de l’organisation.
FLEXAMIT accompagne l’ensemble du processus
Un bon offboarding se situe à l’intersection de :
- Microsoft 365 ;
- gestion des identités et des accès ;
- cybersécurité ;
- gestion des points de terminaison ;
- continuité d’entreprise ;
- confidentialité et RGPD ;
- procédures internes.
FLEXAMIT combine une connaissance approfondie de Microsoft 365 et de la cybersécurité avec un processus contrôlé autour de l’identité, des données d’entreprise, des appareils et des accès sensibles à la vie privée.
Nous protégeons ainsi à la fois les intérêts de l’organisation et les droits et données de l’employé partant.
Notre expertise en cybersécurité a été reconnue trois années consécutives par notre distributeur Microsoft avec le prix Cybersecurity Partner of the Year.
Vous souhaitez organiser l’onboarding et l’offboarding au sein de votre organisation de manière professionnelle, cohérente et contrôlable ?
Contactez-nous à :
sales@flexamit.com
Un employé part-il bientôt ?
Ne supprimez pas simplement le compte et ne demandez pas informellement à ce que la boîte aux lettres soit attribuée à quelqu’un d’autre.
Êtes-vous client chez FLEXAMIT ? Fournissez-nous à temps :
- le nom de l’employé partant ;
- le moment exact où l’accès doit être arrêté ;
- ce qu’il faut faire de la boîte aux lettres et des données d’entreprise ;
- qui, au sein de l’organisation, est mandaté pour approuver ces actions.
FLEXAMIT demandera, pour les actions sensibles à la vie privée, une confirmation que l’organisation a évalué les conditions internes et juridiques nécessaires et que le traitement demandé peut être effectué.
Contactez-nous via :
support@flexamit.com
Résumé
- L’offboarding est à la fois un processus de cybersécurité et de confidentialité.
- Une boîte aux lettres professionnelle est un outil d’entreprise, mais peut contenir des données personnelles et une communication confidentielle.
- L’employeur n’a donc pas automatiquement un accès illimité à la boîte aux lettres complète d’un ex-employé.
- L’accès doit avoir un but légitime et être limité à ce qui est nécessaire.
- FLEXAMIT n’accorde pas de droits sensibles à la vie privée sur une boîte aux lettres sur simple demande informelle.
- Nous demandons des instructions d’un représentant autorisé ou mandaté de l’organisation.
- Le client confirme que les conditions internes et juridiques pour le traitement demandé sont remplies.
- FLEXAMIT exécute ensuite les actions techniques appropriées de manière contrôlée.
- Les nouvelles connexions et les sessions existantes doivent être correctement fermées.
- La boîte aux lettres, OneDrive, Teams, SharePoint, l’accès SaaS et les appareils de l’entreprise doivent être gérés consciemment.
- Les données ne doivent pas être conservées indéfiniment simplement parce que c’est techniquement possible.
- Une procédure fixe d’onboarding et d’offboarding protège à la fois l’organisation et ses employés.
Commentaires
0 commentaire
Vous devez vous connecter pour laisser un commentaire.