Votre informatique dépend d'une seule personne : le vrai risque pour votre PME

Un dirigeant nous appelle un vendredi soir : son responsable informatique — en réalité un commercial qui « s’y connaissait un peu » et avait fini par tout gérer seul depuis six ans — vient de démissionner avec effet immédiat. Personne d’autre dans l’entreprise ne connaît le mot de passe administrateur du routeur, l’accès au compte cloud, ni la configuration du serveur de fichiers. Ce scénario n’a rien d’exceptionnel : dans une PME sans service informatique dédié, il y a presque toujours « la personne qui s’y connaît », qui a fini par concentrer seule les mots de passe, les accès et le savoir technique. Le jour où elle est absente, malade ou quitte l’entreprise, ce savoir disparaît avec elle. C’est ce qu’on appelle un point unique de défaillance — et ça se corrige avant l’incident, pas après.

Le scénario qui revient à chaque période de congés

Ce n’est pas toujours une démission brutale. C’est souvent bien plus banal : la personne qui gère l’informatique part trois semaines en congés, ou s’arrête pour un arrêt maladie imprévu, et un problème survient pendant son absence — une imprimante réseau qui ne répond plus, un accès qui bloque un client, une sauvegarde qui semble ne pas s’être lancée. Personne d’autre ne sait où chercher, ni à qui demander. Le dirigeant se retrouve à appeler cette personne sur son téléphone personnel pendant ses vacances, ou à attendre son retour pour débloquer une situation qui aurait pu se régler en dix minutes avec la bonne information au bon endroit.

Ce que les spécialistes appellent un « point unique de défaillance »

Le concept vient à l’origine du monde du développement logiciel, sous le nom de « bus factor » : le nombre de personnes qui, si elles disparaissaient du jour au lendemain, mettraient sérieusement en difficulté un projet ou une organisation. Un bus factor de 1 signifie qu’une seule personne concentre une connaissance ou un accès critique — c’est ce qu’on appelle un point unique de défaillance, ou SPOF (Single Point Of Failure) (Astar). Transposé à l’informatique d’une PME, un exemple typique revient souvent : une petite structure où un seul responsable gère les postes de tout le monde, octroie les comptes, dispose d’un accès administrateur qui permet, en théorie, de voir les messageries de n’importe qui. Ce compte devient alors, à lui seul, la clé de voûte de toute la sécurité de l’entreprise.

Ce qui est concrètement en jeu

Dans une PME, ce risque ne se limite pas à un mot de passe oublié. Ce qui repose souvent sur une seule tête :

• Les accès administrateur : messagerie professionnelle, hébergement du site, comptes cloud (Microsoft 365, Google Workspace), routeur et pare-feu.
• Les identifiants des comptes partagés : logiciel de facturation, banque en ligne, prestataires (comptable, imprimeur, assurance).
• La configuration réseau : quel appareil fait quoi, quel câble va où, pourquoi telle règle a été mise en place sur le pare-feu il y a deux ans.
• Les contacts et contrats : quel prestataire gère l’hébergement, la licence logicielle, le contrat de maintenance de la photocopieuse connectée.

Rien de tout cela n’est exotique — mais tant que ça reste dans la tête d’une seule personne plutôt que noté quelque part d’accessible, l’entreprise dépend entièrement de sa disponibilité.

Le vrai danger n’est pas seulement l’absence — c’est aussi le départ

Une absence temporaire est gênante. Un départ définitif, sans passation, est un vrai risque de sécurité. Le guide de la gestion des identités et des accès de francenum.gouv.fr, porté par le dispositif national de sensibilisation, est clair sur ce point : à l’arrivée d’un salarié, un compte doit être créé avec les bons droits ; à son départ, ses accès doivent être immédiatement révoqués. Le guide souligne qu’une mauvaise gestion des accès — mot de passe trop simple, ancien employé qui a encore un accès actif, comptes partagés entre plusieurs personnes — est souvent le point d’entrée d’un incident de sécurité, y compris dans les structures qui pensent, à tort, que la cybersécurité ne concerne que les grandes entreprises. Un salarié ou un prestataire qui garde un accès administrateur après son départ n’est pas qu’un oubli administratif : c’est une porte laissée ouverte, sans que personne dans l’entreprise le sache.

Comment réduire ce risque sans monter un service informatique

Réduire un point unique de défaillance n’exige pas de doubler l’équipe. Quelques mesures concrètes, accessibles à une PME sans compétence technique interne :

1. Centraliser les mots de passe critiques dans un coffre-fort partagé, pas dans un carnet ou un fichier Excel oublié sur un poste. Cybermalveillance.gouv.fr recommande explicitement un mot de passe différent par service et un stockage sécurisé, accessible à plus d’une personne désignée dans l’entreprise (cybermalveillance.gouv.fr).
2. Documenter la configuration de base : quels appareils, quels accès, quels contrats — un document simple, même sommaire, vaut mieux qu’une connaissance uniquement orale.
3. Prévoir une procédure d’arrivée et de départ pour tout accès numérique, avec révocation immédiate au départ, comme le recommande le guide IAM de francenum.gouv.fr.
4. Désigner un second contact, même partiel, qui sait où trouver l’information en cas d’urgence — pas nécessairement compétent techniquement, mais capable d’orienter vers la bonne ressource ou le bon prestataire.

Ce que change une infogérance managée

C’est précisément ce que corrige une infogérance externalisée : la connaissance du parc, des accès et de la configuration n’est plus portée par une seule personne dans l’entreprise, mais documentée et partagée au sein d’une équipe qui reste joignable, y compris quand un salarié est en congés ou a quitté la structure. Ce n’est pas remplacer « la personne qui s’y connaît » — c’est éviter que toute la continuité de l’entreprise repose sur sa seule disponibilité. Les raisons plus larges de ce choix sont détaillées sur notre page pourquoi choisir Cryptonyte.

À retenir

Une PME qui dépend d’une seule personne pour son informatique — mots de passe, accès, configuration — a un point unique de défaillance, que cette personne soit en congés, malade ou sur le point de partir. Ce n’est pas une fatalité liée à la taille de l’entreprise : un coffre-fort de mots de passe partagé, une documentation minimale et une procédure de départ appliquée systématiquement suffisent à sortir de cette dépendance, sans construire un service informatique complet.

Sources : Astar, définition du Point Unique de Défaillance (SPOF) ; francenum.gouv.fr, la gestion des identités et des accès (IAM) ; cybermalveillance.gouv.fr, bonnes pratiques de gestion des mots de passe.