Un mot de passe partagé, et tout le portefeuille derrière
Dans beaucoup de cabinets, l’accès à l’espace professionnel est un identifiant unique, connu de toute l’équipe, noté dans un tableur « accès » ou envoyé par e-mail au nouvel arrivant. Il ouvre les comptes fiscaux de tous les clients, leurs messageries, leurs dettes. Quand un collaborateur part, personne ne change le mot de passe.
Le risque n’est pas théorique. Un identifiant partagé ne dit pas qui a fait quoi ; un identifiant qui circule finit dans une boîte e-mail compromise ; un identifiant jamais renouvelé survit à ceux qui l’ont connu. Et le jour d’un contrôle, ou d’une violation de données, le cabinet doit pouvoir dire qui accède à quoi, pour quels clients.
Ce que disent les textes et les autorités
Le RGPD
Le cabinet est responsable de la sécurité des données personnelles qu’il traite : mesures adaptées au risque, accès limités aux personnes qui en ont besoin, capacité à détecter et notifier une violation. Un prestataire qui accède aux données pour le cabinet est un sous-traitant, lié par un contrat écrit.
Le secret professionnel
Le code de déontologie et le Code pénal protègent les informations confiées au cabinet. Un accès non maîtrisé aux comptes fiscaux des clients expose le cabinet au-delà de la seule sécurité informatique.
Les recommandations de la CNIL et de l’ANSSI
Mots de passe robustes et non partagés, authentification à plusieurs facteurs quand elle est disponible, gestion des habilitations à l’arrivée et au départ, journalisation des accès : ce sont les mesures de base que les deux autorités recommandent à toute organisation.
Les conditions des portails
Chaque portail prévoit des comptes personnels et des délégations ; leurs conditions d’utilisation s’appliquent au cabinet. Les mécanismes de protection du portail (CAPTCHA, confirmation par code) sont là pour être respectés, pas contournés.
Les accès du cabinet, jamais ceux des clients
Avant les pratiques, un principe.
Le cabinet est déjà habilité
Il est habilité sur le compte fiscal de ses clients et rattaché comme tiers déclarant à l’URSSAF. Ces accès-là couvrent ce qu’il a besoin de consulter ; collecter en plus les identifiants personnels des clients n’apporte rien.
Un périmètre lisible
Avec les seuls accès du cabinet, ce qu’un collaborateur voit est exactement ce que son habilitation autorise. C’est simple à expliquer au client, et au contrôleur.
Une responsabilité en moins
Garder les identifiants d’un client, c’est en assumer la garde, les fuites et les usages. Le cabinet n’a pas à porter ce risque pour consulter ce qu’il est déjà autorisé à consulter.
Six pratiques à tenir
Des accès nominatifs
Un compte par personne, partout où le portail le permet, avec les services qui correspondent à son rôle. Là où un compte du cabinet est inévitable, son usage est tracé et son mot de passe n’est connu de personne en clair.
Un coffre, pas un tableur
Les identifiants vivent dans un gestionnaire de mots de passe chiffré, avec un accès par personne et un historique. Jamais dans un tableur, un e-mail ou un document partagé.
La double authentification
Activée partout où elle existe, sur les portails comme sur les outils du cabinet. Un mot de passe seul ne protège plus un portefeuille.
Une règle de départ
Quand un collaborateur quitte le cabinet ou change de rôle, ses accès sont retirés le jour même, ses délégations sur les portails supprimées, et les comptes partagés qu’il connaissait renouvelés. La règle est écrite, et quelqu’un en est responsable.
Les protections du portail respectées
impots.gouv demande un CAPTCHA à chaque connexion, l’URSSAF confirme certaines opérations par code. Ces mécanismes se respectent, par le collaborateur comme par tout outil ou prestataire qui accède au portail pour le cabinet.
Un journal de qui a consulté quoi
Chaque connexion, chaque consultation, chaque export : qui, quand, pour quel dossier. C’est ce qui permet de répondre à une question du client, du contrôleur ou de l’associé sans reconstituer de mémoire, et de notifier une violation dans le délai prévu par le RGPD.
Mettre de l’ordre en six étapes
Inventorier
La liste des portails, des comptes, et des personnes qui les connaissent. Elle est souvent plus longue qu’on ne croit : impots.gouv, URSSAF, net-entreprises, caisses de retraite, banques, guichet unique.
Rendre nominatif
Créer un compte ou une délégation par personne là où c’est possible, retirer les comptes génériques qui ne servent plus.
Mettre au coffre
Transférer les identifiants restants dans un gestionnaire de mots de passe chiffré, supprimer les tableurs et les e-mails qui les contenaient.
Activer la double authentification
Sur chaque portail et chaque outil qui le propose, pour chaque compte.
Écrire la règle de départ
Qui retire quoi, dans quel délai, et qui vérifie. La tester à la prochaine sortie, et à chaque changement de rôle.
Relire le journal
Une fois par trimestre : les accès encore utilisés, ceux qui ne le sont plus, les consultations inattendues.
Quand un tiers accède pour le cabinet
Prestataire informatique, collaborateur externe, logiciel tiers : dès qu’un tiers accède aux portails ou aux données pour le compte du cabinet, les mêmes règles s’appliquent, et le RGPD y ajoute un contrat écrit de sous-traitance qui fixe le périmètre, les mesures de sécurité et la restitution ou la suppression des données à la fin.
Les questions à poser sont les mêmes qu’à un collaborateur : avec quels accès, pour quel périmètre, avec quelle trace, et comment ces accès sont retirés. Un tiers qui demanderait les identifiants personnels des clients, ou qui contournerait les protections d’un portail, sort du cadre que le cabinet doit tenir.
Les erreurs fréquentes
Le tableur « accès » partagé
Lisible par tous, copié dans les boîtes e-mail, jamais à jour. Le coffre le remplace en une journée.
Le compte générique « cabinet »
Personne ne sait qui l’a utilisé. Là où il est inévitable, il est au coffre, tracé, et renouvelé à chaque départ.
Les délégations des partants
Un collaborateur parti dont les délégations impots.gouv restent actives garde un accès au portefeuille. La règle de départ s’applique aussi aux portails.
Les identifiants des clients « pour aller plus vite »
Ils contournent les habilitations, brouillent la traçabilité et font porter au cabinet un risque qu’il n’a pas à porter.
La double authentification « plus tard »
Elle se met en place en quelques minutes par compte. Les attaques par mot de passe volé n’attendent pas.
À retenir
Les accès du cabinet, jamais ceux des clients ; un compte par personne ; un coffre, pas un tableur ; la double authentification partout ; une règle de départ écrite ; un journal de qui a consulté quoi. Et les mêmes exigences pour tout tiers qui accède pour le cabinet.
Sources et références
CNIL
Guide de la sécurité des données personnelles (authentification, habilitations, journalisation, départ des utilisateurs) et recommandation relative aux mots de passe et autres secrets partagés.
ANSSI
Guide d’hygiène informatique et recommandations relatives à l’authentification multifacteur et aux mots de passe ; cybermalveillance.gouv.fr pour les réflexes en cas d’incident.
RGPD (règlement (UE) 2016/679)
Sécurité du traitement, obligations du sous-traitant et contrat de sous-traitance, notification des violations de données.
impots.gouv.fr et urssaf.fr
Espace professionnel : gestion des délégataires et des services ; espace tiers déclarant : gestion des utilisateurs ; conditions générales d’utilisation des services en ligne.
Ordre des experts-comptables
Code de déontologie (secret professionnel, devoirs envers les clients) et guides de la profession sur la protection des données.