La moitié des tickets, ou presque
Dans la plupart des structures, les demandes liées aux identifiants et aux accès représentent le premier poste de tickets, loin devant les pannes matérielles. Elles sont simples individuellement, et c'est précisément ce qui les rend dangereuses : la routine fait baisser la garde.
Deux risques cohabitent. Le risque de sécurité, parce que réinitialiser un mot de passe pour la mauvaise personne ouvre la porte à tout le reste. Et le risque de perte de temps, parce qu'un compte mal diagnostiqué revient trois fois.
Distinguer les quatre situations
Elles se ressemblent au téléphone et ne se traitent pas pareil.
Mot de passe oublié. L'utilisateur connaît son identifiant, le compte est actif. Réinitialisation après vérification d'identité.
Compte verrouillé. Trop de tentatives. Le mot de passe est peut-être correct : déverrouiller suffit souvent, et réinitialiser en plus ajoute une confusion inutile.
Compte désactivé. Un départ, une suspension, une erreur de gestion. Ce n'est pas une panne technique, c'est une décision. Ne le réactivez jamais de votre propre initiative : demandez à qui de droit.
Droits insuffisants. L'utilisateur se connecte mais n'accède pas à une ressource. Ce n'est pas un problème de mot de passe, et c'est le cas le plus souvent mal diagnostiqué.
Le symptôme rapporté est presque toujours le même : « ça ne marche plus ». La question qui trie : « êtes-vous arrivé jusqu'à l'écran d'accueil ? »
Vérifier l'identité sans humilier
C'est un point de sécurité et un point de relation, et les deux comptent.
Utilisez ce que l'entreprise a défini : rappel sur le numéro interne connu, question sur une information présente dans le système et non devinable, validation par le responsable. Jamais une question personnelle improvisée.
Formulez-le comme une procédure, pas comme un soupçon : « je vous rappelle sur votre ligne, c'est la procédure pour tout le monde ». Personne ne se vexe d'une règle appliquée à tous.
Et n'acceptez jamais la demande d'un tiers, même bienveillante, du type « je vous appelle pour ma collègue qui est en réunion ». C'est le scénario exact de l'appel frauduleux.
Le mot de passe temporaire
Trois exigences, dans cet ordre.
Changement obligatoire à la première connexion. Sinon il reste en place des mois.
Transmission par un canal différent de celui de la demande. Si la demande arrive par courriel, le mot de passe ne repart pas par courriel dans le même fil.
Validité courte. Un mot de passe temporaire valable un mois n'est plus temporaire.
Faire baisser le volume
Un ticket traité est un ticket qui reviendra. Trois leviers, du plus efficace au moins efficace :
- la réinitialisation autonome, qui supprime le motif au lieu de le traiter
- l'explication du verrouillage à l'utilisateur, souvent causé par un téléphone qui rejoue un ancien mot de passe sur la messagerie
- la revue des droits par groupe plutôt que par personne, qui tarit les demandes d'accès individuelles
Le deuxième point est celui que le support voit et que personne d'autre ne peut voir : un utilisateur verrouillé chaque matin a presque toujours un appareil oublié quelque part.
À retenir
Quatre situations distinctes derrière la même phrase. Triez avec une seule question, vérifiez l'identité par la procédure et jamais à l'improvisation, et cherchez l'appareil fautif quand le verrouillage se répète.