Le verdict en trois phrases
Les comptes orphelins d'anciens salariés sont l'une des failles les plus fréquentes et les moins chères à corriger : le SSO plus le provisioning SCIM coûte de 3 000 à 10 000 € HT par application métier. Une fois branché sur Entra ID ou Okta, le départ d'un salarié désactive tous ses accès en moins d'une heure, sans ticket ni oubli. Pour une ETI soumise à NIS2, c'est aussi la preuve la plus simple d'une gestion des accès maîtrisée.
Le coût caché des comptes orphelins
Le RSSI d'une ETI de 600 salariés lance une revue des accès et découvre 140 comptes actifs appartenant à des personnes parties depuis des mois. Ils se répartissent sur l'ERP maison, l'intranet RH, l'application de devis et deux outils métier développés sur mesure, aucun n'étant relié à l'annuaire.
| Application | Comptes actifs | Dont anciens salariés | Désactivation actuelle | Risque principal |
|---|---|---|---|---|
| Application de devis sur mesure | 180 | 38 | manuelle, par ticket | export de la base clients |
| Intranet RH | 590 | 41 | manuelle, mensuelle | données personnelles des salariés |
| Outil de planification atelier | 120 | 22 | jamais | modification des ordres de fabrication |
| Portail fournisseurs | 75 | 17 | manuelle | accès aux prix d'achat |
| ERP maison | 210 | 22 | manuelle, par ticket | données financières |
| Total | 1 175 | 140 |
Au-delà du risque de fuite, ces comptes ont un coût direct : licences par utilisateur sur certains outils tiers, temps de l'équipe IT (en moyenne 25 à 40 minutes par départ pour 5 applications) et non-conformité lors des audits clients ou d'assurance cyber.
SSO, SCIM et rôles par groupes : ce qu'il faut développer
Le SSO (OpenID Connect ou SAML) gère l'authentification : l'utilisateur se connecte avec son compte d'entreprise. Le SCIM 2.0 gère le cycle de vie : l'annuaire crée, modifie et désactive automatiquement les comptes dans l'application. Les deux sont nécessaires, car le SSO seul laisse les comptes locaux et les jetons d'API actifs.
| Brique | Rôle | Budget HT par application | Délai |
|---|---|---|---|
| SSO OpenID Connect ou SAML | connexion avec le compte Entra ID ou Okta | 1 500 à 3 500 € | 1 à 2 semaines |
| Point d'accès SCIM 2.0 (Users) | création, mise à jour, désactivation | 1 500 à 4 000 € | 1 à 2 semaines |
| SCIM Groups et rôles par groupe | droits pilotés depuis l'annuaire | 800 à 2 000 € | 1 semaine |
| Révocation des sessions et jetons | coupure immédiate à la désactivation | 400 à 1 000 € | 2 à 3 jours |
| Journal d'audit des accès | traçabilité pour NIS2 et les auditeurs | 500 à 1 500 € | 3 à 5 jours |
| Total par application | 3 000 à 10 000 € | 3 à 6 semaines |
Le bas de la fourchette correspond à une application récente (Node.js, Laravel, Django) avec une gestion des utilisateurs propre. Le haut concerne les applications anciennes où les rôles sont codés en dur et doivent être refondus.
Côté licences, le provisioning SCIM vers des applications personnalisées nécessite en général Entra ID P1 (environ 6 € par utilisateur et par mois) ou un plan Okta Lifecycle Management (de 4 à 8 € par utilisateur et par mois selon le volume).
NIS2 et assurance cyber : ce que la gestion des accès doit prouver
La directive NIS2, transposée en France, impose aux entités essentielles et importantes des mesures de contrôle d'accès et de gestion des identités. Les assureurs cyber posent désormais les mêmes questions dans leurs questionnaires de souscription.
| Exigence | Sans SCIM | Avec SSO + SCIM |
|---|---|---|
| Délai de révocation après départ | 2 à 30 jours | moins d'une heure |
| Authentification multifacteur centralisée | application par application | héritée de l'annuaire |
| Revue des accès trimestrielle | export manuel de 5 bases | rapport depuis l'annuaire |
| Principe du moindre privilège | rôles saisis à la main | rôles dérivés des groupes |
| Traçabilité des modifications | partielle | journal horodaté par application |
| Temps IT par départ | 25 à 40 minutes | 2 à 5 minutes |
Pour une ETI, les sanctions NIS2 peuvent atteindre 7 millions d'euros ou 1,4 % du chiffre d'affaires mondial pour une entité importante. Le budget SCIM est sans commune mesure avec ce risque.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Sophie, RSSI d'une ETI industrielle de 600 salariés près de Lyon, doit raccorder 5 applications internes à Entra ID. Trois sont récentes (4 000 € HT chacune), deux sont anciennes (9 000 € HT chacune) : total 30 000 € HT sur 10 semaines. L'entreprise gère 90 départs et 110 arrivées par an ; le temps IT passe de 35 à 4 minutes par mouvement, soit environ 100 heures économisées par an, près de 5 500 € à 55 € de coût horaire chargé. Surtout, l'assureur cyber accepte de retirer une surprime de 8 000 € par an liée à l'absence de révocation automatisée. Le retour sur investissement tombe vers 2 ans et 3 mois, avec une conformité NIS2 documentée dès le premier trimestre.
FAQ
Le SSO seul ne suffit-il pas ?
Non. Le SSO bloque la connexion par l'annuaire, mais les comptes locaux, les jetons d'API et les sessions ouvertes restent actifs. Le SCIM désactive le compte lui-même en quelques minutes, pour 1 500 à 4 000 € HT de plus.
Entra ID ou Okta : lequel choisir ?
Si l'entreprise utilise déjà Microsoft 365, Entra ID P1 à environ 6 € par utilisateur et par mois est le choix naturel. Okta se justifie dans les environnements multi-cloud ou très hétérogènes.
Combien de temps pour raccorder une application ?
Comptez 3 à 6 semaines par application, dont une semaine de tests sur un groupe pilote de 10 à 20 utilisateurs avant la bascule générale.
Que faire des 140 comptes orphelins existants ?
Un nettoyage initial s'impose avant le branchement SCIM : rapprochement avec l'export RH, désactivation, puis archivage des données selon la politique de conservation. Comptez 2 à 4 jours de travail pour 5 applications.
Le SCIM fonctionne-t-il avec les prestataires externes ?
Oui, à condition de les créer dans l'annuaire comme invités ou comptes externes avec une date d'expiration. Leurs accès sont alors coupés automatiquement à la fin de la mission.
Parlons de votre projet. Envoyez-nous la liste de vos applications internes et votre annuaire (Entra ID, Okta, Google) : nous chiffrons le SSO et le provisioning SCIM entre 3 000 et 10 000 € HT par application, avec un planning de 3 à 6 semaines chacune. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
