À retenir
- Croiser rôle, site, action et durée au lieu de donner un accès global.
- Prévoir les remplaçants et prestataires dès la conception.
- Tester les accès autorisés et les accès qui doivent être refusés.
Décrire les objets et les décisions concernés
Le responsable métier liste les informations à protéger : tâches de chambre, interventions techniques, standards, rapports consolidés ou validations. Pour chaque objet, distinguer consultation, création, modification et validation. Modifier une tâche affectée ne devrait pas être confondu avec changer le standard de tout le groupe.
La CNIL souligne la maîtrise des accès. La matrice suivante est une proposition de travail, à confronter aux responsabilités et aux outils réellement utilisés. Elle ne représente pas les droits par défaut d’un logiciel. Une fonction non disponible impose un arbitrage documenté, pas une promesse de restriction impossible.
Établir une matrice par rôle et périmètre
| Rôle exemple | Périmètre | Consulter et créer | Modifier et valider |
|---|---|---|---|
| Équipier d’étage | Tâches affectées, site A | Consulter ses tâches, signaler un écart | Mettre à jour son exécution ; ne pas valider un standard |
| Gouvernante du site | Housekeeping, site A | Consulter et créer les affectations locales | Réaffecter, valider selon responsabilité |
| Technicien mutualisé | Interventions attribuées, sites A et B | Consulter les éléments nécessaires, créer un constat | Mettre à jour ses interventions ; validation définie séparément |
| Prestataire ponctuel | Mission précise, période autorisée | Informations nécessaires à la mission | Compte rendu limité à la mission |
| Direction de groupe | Synthèses des sites concernés | Consulter les indicateurs autorisés | Valider les décisions relevant de son mandat |
Ajouter une colonne « donnée exclue » pour les informations auxquelles le rôle ne doit pas accéder. Cette formulation oblige à examiner les vues détaillées, exports et pièces jointes. Un rapport consolidé peut répondre au besoin de direction sans donner un accès systématique à toutes les notes de séjour.
Traiter les entrées, remplacements et sorties
Une demande d’accès précise la personne, le rôle, le site, le motif, le début et la fin éventuelle. Le responsable métier approuve le besoin ; l’administrateur configure ; une personne désignée vérifie le résultat. Conserver cette séparation même si, dans un petit groupe, une même personne cumule plusieurs fonctions.
Pour un remplacement, préférer une extension temporaire documentée à la copie complète du compte d’un directeur. La fin de mission déclenche le retrait ou la réduction des droits. Un changement de poste demande aussi de revoir les anciens accès : ajouter le nouveau rôle sans retirer l’ancien crée une accumulation difficile à comprendre.
Tester une situation autorisée et une situation interdite
Exemple fictif : une gouvernante du site A remplace celle du site B pendant une semaine. Le responsable autorise la gestion des tâches housekeeping de B, sans accès aux autres établissements. Le test vérifie une affectation sur B et une tentative de consultation du site C qui doit rester impossible. Il vérifie ensuite le retour au périmètre A à la fin prévue.
Utiliser un environnement ou des comptes de test autorisés, sans modifier de vrais dossiers clients pour démontrer la matrice. Contrôler aussi les liens directs et exports disponibles selon l’outil. Si une permission souhaitée ne peut pas être isolée, consigner l’écart et faire décider une solution acceptable avant d’ouvrir un accès plus large.
Faire vivre la matrice avec les changements du groupe
La revue rapproche les comptes actifs des responsabilités actuelles et des missions encore ouvertes. Examiner les comptes inutilisés, les prestataires dont la mission a pris fin et les personnes ayant changé de site. Définir la fréquence selon le contexte et ajouter une revue lors d’un événement significatif ; aucun délai légal universel n’est proposé.
Le livrable final contient la matrice approuvée, les écarts de configuration et les preuves de tests. Cette approche complète la gestion opérationnelle multi-sites en rendant la responsabilité d’accès vérifiable. Clore une demande lorsque la configuration a été contrôlée, puis la rouvrir si le besoin, la fonction ou le périmètre change.
Questions fréquentes
Peut-on donner le même profil à tous les directeurs ?
Seulement si leurs besoins, sites et responsabilités sont réellement identiques. Un intitulé commun ne suffit pas à justifier un périmètre global.
Que faire si l’outil ne permet pas une permission prévue ?
Documenter cette limite et faire arbitrer le besoin, la configuration possible et les mesures organisationnelles. Ne pas présenter une restriction non testée comme acquise.
