Les administrations françaises gèrent des flux d’agents, de prestataires et d’usagers dont les droits d’accès varient selon le poste, le site et la mission. Depuis l’entrée en application progressive de la directive NIS2 et le durcissement des recommandations de la CNIL sur le contrôle d’accès aux locaux, les DSI du secteur public font face à une double pression : sécuriser les accès logiques et physiques tout en documentant chaque décision de manière auditable.
Govioz se positionne sur ce créneau en proposant une plateforme qui ambitionne d’unifier ces deux dimensions.
A lire aussi : Réinventez la gestion de votre entreprise avec des solutions digitales innovantes
Accès physique et accès logique : pourquoi les administrations peinent aux unifier
La plupart des collectivités et établissements publics fonctionnent encore avec des systèmes cloisonnés. Le badge d’entrée dans les locaux relève d’un prestataire de sécurité physique, tandis que les habilitations informatiques dépendent du référentiel RH et de l’annuaire Active Directory ou LDAP.
Ce cloisonnement crée des angles morts. Un agent muté conserve parfois son badge d’accès à l’ancien site pendant plusieurs semaines, et ses comptes applicatifs restent actifs faute de synchronisation entre le service RH et la DSI. En reliant ces deux couches, une plateforme comme Govioz cherche à déclencher automatiquement le retrait des accès physiques et logiques au départ d’un agent.
A lire en complément : Comment la famille et la vie privée d'Olivier Dauvers influencent sa vision du travail
La difficulté tient moins à la technologie qu’à l’organisation. Fusionner les référentiels suppose que le service des ressources humaines, la DSI et le responsable sûreté partagent un vocabulaire commun sur les profils de droits.
Les retours terrain divergent sur ce point : certaines collectivités rapportent un alignement rapide, d’autres décrivent des mois de négociation interne avant de stabiliser une matrice de rôles exploitable. Pour approfondir les bonnes pratiques d’accès avec Govioz, il faut d’abord accepter que le socle organisationnel conditionne la réussite technique.
Directive NIS2 et revue des accès : contraintes réglementaires pour le secteur public
La directive NIS2 étend ses obligations aux organismes publics exploitant des services jugés critiques, y compris certaines collectivités territoriales et établissements de santé. Parmi les exigences, la formalisation d’un processus de revue des accès documenté et auditable occupe une place centrale.
La fréquence attendue n’est pas uniforme. Les accès standards (messagerie, intranet, applications métier courantes) appellent une revue trimestrielle. Les accès privilégiés (comptes administrateurs, accès aux bases de données sensibles) exigent une revue mensuelle, voire continue, avec une traçabilité complète des décisions de maintien ou de retrait.
Ce que la traçabilité implique concrètement
Chaque cycle de revue doit produire un historique lisible : qui a validé le maintien d’un accès, à quelle date, sur quel périmètre. En cas de contrôle, l’administration doit pouvoir fournir ces preuves sans délai. Govioz propose une journalisation intégrée, mais la qualité de l’audit dépend de la rigueur avec laquelle les valideurs traitent chaque demande.
Un outil qui automatise les rappels de revue ne garantit pas que le responsable métier examine réellement la liste des habilitations. La tentation du « tout valider en bloc » existe, et aucune plateforme ne peut l’éliminer sans un cadre managérial clair.
Authentification sans mot de passe et biométrie : ce que la CNIL autorise dans les administrations
L’authentification sans mot de passe, notamment via les standards FIDO2 et WebAuthn, commence à apparaître dans les projets d’accès du secteur public européen. Pour les agents en télétravail ou les parcours exposés aux usagers, ces protocoles réduisent significativement le risque de compromission par hameçonnage.
La situation se complique dès qu’on envisage la biométrie. Les recommandations mises à jour de la CNIL sont claires sur ce sujet :
- Les dispositifs non biométriques (badge, code, clé de sécurité physique) doivent être privilégiés dans tous les cas de figure.
- Tout recours à la biométrie dans une administration impose la réalisation d’une analyse d’impact relative à la protection des données (AIPD) obligatoire.
- La justification du recours à la biométrie doit être circonstanciée : il ne suffit pas d’invoquer la commodité ou la modernité du dispositif.
Pour une plateforme qui ambitionne d’unifier accès physiques et logiques, cette contrainte réglementaire pèse lourd. Intégrer un lecteur d’empreintes à un système de badge connecté à Govioz est techniquement faisable, mais juridiquement conditionné à une démonstration de nécessité que peu d’administrations sont en mesure de produire.
Matrice de rôles et principe du moindre privilège appliqué aux collectivités
Le principe du moindre privilège consiste à n’accorder à chaque agent que les droits strictement nécessaires à l’exercice de ses fonctions. Dans une entreprise privée, la mise en place est déjà complexe. Dans une administration, elle se heurte à des particularités propres au secteur public.
Les agents territoriaux changent fréquemment de mission sans changer de poste. Un responsable urbanisme peut se voir confier temporairement le suivi des marchés publics, puis revenir à ses attributions initiales. Chaque changement de mission devrait déclencher une mise à jour des habilitations, ce qui suppose un lien vivant entre la fiche de poste et le référentiel d’accès.
Construire une matrice exploitable
Une matrice de rôles efficace pour une collectivité repose sur quelques principes :
- Partir des processus métier réels, pas de l’organigramme formel, qui reflète rarement les flux de travail quotidiens.
- Définir des profils d’accès par mission (instruction de permis, gestion budgétaire, état civil) plutôt que par grade ou direction.
- Prévoir des profils temporaires avec une date d’expiration automatique pour les missions ponctuelles ou les remplacements.
- Documenter les exceptions, car elles existeront toujours, et les soumettre à une validation hiérarchique traçée.
Govioz peut servir de support technique à cette matrice, à condition que le travail de cartographie ait été mené en amont. Déployer la plateforme avant d’avoir stabilisé les profils revient à automatiser le désordre existant.
La gestion d’accès dans les administrations reste un chantier où la technologie ne résout qu’une partie de l’équation. Les outils comme Govioz apportent de la structure et de la traçabilité, mais la solidité du dispositif repose sur la gouvernance interne et la discipline de revue. Les collectivités qui progressent le plus sont celles qui traitent la question des habilitations comme un sujet de direction générale, pas comme un projet informatique isolé.