Le Conseiller CTO de Seraf : outils, intégrations et sécurité des accès

Beaucoup d’entreprises, à commencer par les entreprises, n’ont pas de directeur technologique. Elles ont souvent un propriétaire qui a ouvert les comptes, un employé « bon avec les ordinateurs » et un fournisseur qui a monté le site il y a quelques années. Le Conseiller CTO apporte une vue d’ensemble sur ce patrimoine. Sa mission couvre la santé technique, les dépendances, la dette technique et la préparation des mises en ligne.

La dette technique prend souvent des formes très concrètes : un tableur qui fait tourner toute la facturation, une extension de site jamais mise à jour, une adresse Gmail personnelle utilisée pour des clients, un nom de domaine enregistré au nom d’un ancien employé. Aucun de ces éléments n’est urgent un mardi ordinaire. Tous deviennent urgents le jour où ils lâchent.

Le siège vise trois résultats : des mises en ligne prêtes avant d’être lancées, des risques techniques visibles et des dépendances claires entre vos outils. Il guette quatre signaux : un incident, comme un site inaccessible ou une connexion rompue; une tendance de défauts, quand la même erreur revient dans un formulaire; un blocage de mise en ligne, par exemple une mise à jour qui attend un accès; et la dette technique qui s’accumule.

Le Conseiller CTO appartient au premier cercle du Conseil. Comme les autres sièges de ce cercle, il examine la situation chaque matin et reste silencieux quand rien d’important ne ressort. Il s’appuie sur le Conseiller COO, parce qu’un problème d’outil devient vite un retard de livraison; le guide sur le Conseiller COO et le suivi des projets décrit ce versant. Il travaille aussi avec les fonctions Produit, site et application, puis Qualité, langue et contrôle documentaire. Pour la posture de sécurité, l’identité, les sauvegardes et la reprise après incident, le Conseil compte un siège distinct, le Conseiller CISO, qui ne modifie lui non plus aucun accès.

Ses droits de décision tiennent en trois gestes : recommander une séquence technique, signaler un risque de mise en ligne et demander au responsable la preuve qu’une étape est faite. Ses actions réservées sont aussi courtes : aucun déploiement, aucun changement en production, aucun octroi d’accès. Seraf vous présente sa recommandation avec une raison et un prochain pas. Dans le brief du matin, ses recommandations vous reviennent avec les choix Accepter, Modifier, Reporter ou Refuser.

Serafex se branche sur l’un ou l’autre environnement. La connexion se fait dans Paramètres, sous Intégrations, dans le bloc « Courriel, agenda et stockage ». Une seule autorisation par compte connecte votre courriel, votre agenda et votre stockage. Le tableau suivant résume ce qui est prévu.

SharePoint, le clavardage et les canaux Teams ne font pas partie de la connexion, et Serafex ne se branche pas sur Slack. Quelques règles valent pour les deux environnements. Seul le propriétaire principal du compte client peut gérer cette connexion. Un seul fournisseur de courriel est actif à la fois : Gmail ou Outlook. La boîte connectée devient l’expéditeur de vos infolettres dans Fidélisation, et l’espace Courriel s’ouvre lorsque Gmail ou Outlook est connecté, selon votre compte. Seraf peut aussi prendre des notes pendant une rencontre Google Meet ou Teams. Les Intégrations regroupent enfin les connexions de votre site web, comme WordPress, selon votre projet.

Pour le Conseiller CTO, ces connexions sont des dépendances. Si l’autorisation d’un compte est révoquée ou doit être renouvelée, le courriel, l’agenda et le stockage liés à ce compte sont touchés ensemble. C’est le type de signal qu’il fait remonter avant qu’une rencontre ou un envoi ne tombe à l’eau.

La première protection est la confirmation. Seraf agit dans vos outils et ouvre la bonne page pour vous montrer ce qu’il fait, mais tout geste sensible demande votre accord explicite : une suppression, un changement d’accès, une approbation ou une décision, un envoi, une intégration externe ou une action sur le compte. L’App vous le demande en clair, par exemple « Seraf peut-il faire cette action ? », avec « Confirmer cette action » ou « Pas maintenant ».

La deuxième protection est le rôle. Chaque personne de l’entreprise a un rôle dans l’espace (Propriétaire, Administrateur de l’entreprise, Gestionnaire ou Employé) et des droits précis, accordés un à un. Lorsque votre entreprise utilise Google Workspace ou Microsoft 365, la section Utilisateurs et accès prévoit aussi une lecture de l’annuaire, selon votre compte; toute modification y demande une confirmation.

La troisième protection tient au Conseil lui-même. Le Conseiller CTO peut recommander de revoir un rôle d’administrateur trop large; il ne peut pas l’accorder ni le retirer. L’accueil et le départ des employés relèvent aussi du Conseiller Ressources humaines, qui ne touche pas davantage aux accès. Les deux sièges signalent; la personne autorisée agit.

Le Centre canadien pour la cybersécurité publie des contrôles de cybersécurité de base pour les petites et moyennes organisations (nouvel onglet). On y trouve notamment l’authentification à deux facteurs pour les comptes importants, la restriction des privilèges d’administrateur, des comptes individuels et la suppression des comptes dont une personne n’a plus besoin. Sa page sur la mise en œuvre des contrôles d’accès et des autorisations (nouvel onglet) ajoute le principe des autorisations minimales et la gestion du cycle de vie des comptes.

Google et Microsoft vont dans le même sens. Google recommande, dans ses bonnes pratiques pour les comptes administrateur (nouvel onglet), d’avoir plusieurs super-administrateurs gérés chacun par une personne distincte et de ne pas utiliser ce compte pour les activités quotidiennes. Microsoft conseille, dans sa page sur les rôles d’administrateur de Microsoft 365 (nouvel onglet), d’avoir le moins d’administrateurs généraux possible, d’attribuer le rôle le moins permissif et d’exiger l’authentification multifacteur, surtout pour les administrateurs.

Pour un départ, Google détaille la marche à suivre dans sa page pour maintenir la sécurité des données après le départ d’un collaborateur (nouvel onglet) : changer le mot de passe, retirer les options de récupération, révoquer les applications autorisées et les mots de passe d’application, puis transférer les données à conserver avant de supprimer le compte.

Cette situation est inventée pour illustrer le rôle; elle ne décrit aucun client de Serafex. Dans un atelier d’impression de six personnes, l’employé qui s’occupait du site part vendredi. Il est le seul administrateur du site, son adresse personnelle sert d’adresse de récupération, et une mise à jour importante du site attend depuis deux semaines.

Le lundi, le brief du propriétaire contient un élément présenté sous le libellé du Conseiller CTO. Seraf résume un risque de mise en ligne lié à une dépendance d’une seule personne. Sa recommandation : sécuriser les accès avant toute mise à jour, en nommant d’abord un second administrateur, puis en retirant l’accès de l’employé à son départ. La raison : modifier le site pendant que ses accès sont incertains expose l’atelier à perdre la main sur son propre site. Le prochain pas : préparer une liste de vérification des accès et un rappel à l’agenda pour vendredi.

Le propriétaire accepte. Il ajoute lui-même un second administrateur, remplace l’adresse de récupération et, vendredi, retire les accès de l’employé dans chaque outil, en confirmant chaque geste. La mise à jour du site est planifiée la semaine suivante avec le fournisseur. Le Conseiller CTO n’a rien déployé et n’a accordé aucun accès : il a mis l’ordre des opérations en évidence au bon moment.

Parlons de vos outils et de la connexion de votre espace Serafex.