Centraliser les outils internes des équipes

Deux mécanismes distincts : la connexion et les habilitations

Confondre les deux fait croire le travail terminé alors qu’il commence. L’authentification unique répond à une seule question : cette personne est-elle bien celle qu’elle prétend être. Elle la pose une fois, puis les applications raccordées font confiance à la réponse.

Les habilitations répondent à une question différente : cette personne, une fois entrée, que peut-elle voir et modifier. Chaque application tient sa propre réponse, dans son propre format, avec ses propres intitulés. C’est là que se logent les écarts réels : un accès en écriture accordé pour un dépannage et jamais retiré, un profil administrateur donné à trois personnes parce que le profil intermédiaire manquait.

Un portail qui regroupe vos outils tient les deux bouts. Il porte la connexion et, pour chaque application raccordée, la règle qui dit quel profil obtient quel niveau. Le moindre privilège résume la règle : un droit s’accorde pour une tâche identifiée, et se retire quand la tâche cesse.

Le recensement des applications, et ce qu’il fait remonter

Le recensement vise trois catégories que les inventaires officiels laissent de côté : les applications dont le propriétaire interne a quitté la société, les abonnements souscrits pour un projet depuis clos, et les outils que deux services utilisent chacun de leur côté pour le même travail.

Quatre informations suffisent par application : qui la paie, qui en répond au quotidien, quelles données elle contient, et comment elle authentifie ses utilisateurs. La quatrième décide du raccordement technique. Les trois premières décident du sort de l’outil, puisqu’une application sans propriétaire ni données propres se retire plus vite qu’elle ne se raccorde.

Ce travail se fait une fois sérieusement, puis se tient. Chaque nouvelle application entre par le portail, avec son propriétaire déclaré et sa population d’accès. La liste reste ainsi exacte sans effort de rattrapage.

Ce qui doit se passer quand quelqu’un arrive, bouge ou part

Trois moments décident de la qualité de vos accès, et tous les trois se traitent mal quand ils reposent sur la mémoire d’un gestionnaire.

À l’arrivée, le profil ouvre d’un coup les accès du poste. La personne travaille dès le premier jour, et vous évitez la semaine de réclamations service par service. Au changement d’affectation, le nouveau profil remplace l’ancien : c’est le mouvement le plus facile à manquer, parce que l’ajout se voit tout de suite alors que l’oubli du retrait passe inaperçu. Un salarié qui a changé plusieurs fois de poste finit avec les droits de tous.

Au départ, la fermeture porte sur toutes les applications de la liste, le même jour, y compris celles qu’un service avait souscrites de son côté. Un compte oublié sur un outil de partage de fichiers reste ouvert, et il s’ouvre depuis n’importe où.

Ces trois moments se déclenchent depuis le mouvement lui-même, plutôt que depuis une demande écrite. Déclaré une fois, il produit l’ouverture ou la fermeture partout, le même jour et sans rappel à faire.

Ce que le regroupement fait apparaître sur vos abonnements

Comparez la liste des comptes actifs à celle des personnes que vous payez. L’écart éventuel se lit en licences facturées pour des salariés partis, en postes réservés pour un projet terminé, en deux abonnements distincts souscrits par deux services pour le même usage.

Cet écart se chiffre chez vous, avec vos factures et la liste de comptes que le recensement produit. Nous fournissons la méthode et le relevé, vous décidez ensuite de ce qui se résilie.

Une fois le portail en service, la mesure devient continue. Un compte fermé au départ d’un salarié cesse d’occuper une licence, selon les conditions de facturation de son éditeur. Un outil que plus personne n’ouvre se repère dans le portail, ce qui donne une base concrète au moment de renégocier.

Un point d’entrée seul, ou le portail complet

Ces deux périmètres se recoupent, et les séparer aide à décider. Le premier se limite aux accès : une page d’entrée, la connexion unique, les profils, la revue des droits. Il concerne toute l’entreprise, se conçoit avec votre informatique, et son résultat se juge à la vitesse avec laquelle un nouvel arrivant devient opérationnel.

Le second ajoute le dossier individuel : documents personnels, demandes, circuits de validation. Il mobilise davantage les ressources humaines et demande de brancher la paie et la gestion des temps. Ce périmètre plus large fait l’objet de notre page sur un portail ouvert à tout l’effectif, et le choix des modules qui le composent se travaille dans notre page sur créer un portail collaborateurs.

Ouvrir les accès en premier répond à une contrainte mécanique : le second périmètre s’appuie sur les profils et sur l’identité que le premier met en place.

Le modèle de droits que vous construisez vous appartient

Un portail d’accès concentre trois pouvoirs : la reconnaissance des personnes, l’ouverture des droits et leur fermeture. Cette concentration se justifie à une condition, que la maîtrise en reste chez vous.

Vous détenez le code et les données, sans réserve. Ce point compte particulièrement ici, parce que le modèle de droits écrit avec vous décrit le fonctionnement réel de votre organisation : qui répond de quoi, quelle exception vaut pour quel site, quel niveau ouvre quelle donnée. Cette description vaut au-delà du portail qui la porte.

Une autre équipe, ou votre informatique interne, reprend ensuite un modèle déjà écrit et documenté, sans avoir à le reconstituer application par application.