Changer d'installateur vidéo : comment reprendre les comptes et retirer les anciens accès ?

Posséder les caméras ne signifie pas détenir toutes les licences, tous les abonnements et tous les droits d'administration. Relisez les contrats : matériel acheté ou loué, logiciel sous licence, hébergement, maintenance, modalités de réversibilité et responsabilités. Identifiez les éléments réellement transférables et les démarches du fabricant.

Le nom commercial d'une application ne suffit pas. Recensez son titulaire, son adresse de récupération, ses utilisateurs invités et les appareils associés. La reprise doit rester autorisée et suivre la procédure du service concerné. Une remise à zéro improvisée peut supprimer une configuration ou rendre des fonctions indisponibles.

Demandez l'inventaire des caméras, de l'enregistreur, du logiciel, des équipements réseau et des versions. Ajoutez le schéma de connexion, les sauvegardes de configuration disponibles, les licences, les garanties et les coordonnées des services impliqués.

Remettez les identifiants par un canal adapté, hors des documents largement diffusés. Désignez qui valide les changements et conserve les moyens de récupération. Si le système est exploité par plusieurs établissements, précisez les droits de chacun ; notre guide de supervision multi-sites développe cette organisation.

La CNIL recommande de supprimer les droits dès qu'une personne n'est plus habilitée, notamment à la fin d'un contrat, et de revoir les habilitations au moins annuellement. Cette règle aide à cadrer la transition ; un changement de prestataire appelle une vérification immédiate des accès concernés. Source : CNIL, gérer les habilitations.

Examinez les comptes du logiciel, de l'enregistreur, des caméras, de la passerelle réseau et du service distant. Vérifiez les sessions actives, appareils, invitations et moyens de récupération selon les fonctions disponibles. Un mot de passe renouvelé peut laisser un utilisateur invité toujours autorisé. À l'inverse, supprimer un compte technique sans connaître sa fonction peut interrompre l'enregistrement.

Planifiez donc la révocation avec l'installateur et le responsable informatique. Créez les nouveaux droits nécessaires, vérifiez leur fonctionnement, retirez les accès sortants puis contrôlez le résultat. Le compte quotidien de consultation doit rester distinct d'une administration technique quand le système le permet.

La reprise doit expliquer comment une personne atteint le site depuis l'extérieur. L'ANSSI déconseille fortement la télémaintenance donnant directement accès aux équipements locaux depuis Internet. Une administration distante demande une architecture sécurisée et maîtrisée ; le retrait de l'ancien prestataire concerne aussi cette interconnexion. Source : ANSSI et CNPP, recommandations de sécurisation, section 12.6.

Demandez quelles autorisations sont ouvertes, à qui et pour quelle durée. Activez les protections d'authentification proposées et retenues pour l'architecture. Évaluez les fonctions de journalisation disponibles, au lieu de supposer que toutes les applications permettent de tracer chaque consultation.

Dans un exemple fictif, un commerce remplace son mainteneur et modifie le mot de passe principal. Le nouveau responsable découvre ensuite que la récupération du compte passe toujours par une adresse extérieure. Le transfert est alors préparé avec le prestataire sortant et le service concerné, avant le retrait définitif des accès.

Testez téléphone, poste autorisé et recherche d'enregistrement. Vérifiez qu'un utilisateur sortant désigné pour l'essai ne peut plus accéder au site. Conservez les résultats sans secrets de connexion.

Précisez qui ouvre l'accès du technicien, quelle intervention est autorisée et comment elle est documentée. La CNIL propose d'encadrer les opérations de maintenance, les intervenants et la fermeture des accès à distance selon la prestation. Ces engagements doivent figurer dans le cadre contractuel applicable. Source : CNIL, maintenance et fin de vie.

La réception vérifie enfin l'image, l'enregistrement, l'heure, l'export et les alertes retenues. Si des secrets administrateurs étaient partagés, leur renouvellement doit être organisé avec les dépendances concernées. La CNIL recommande notamment le changement des mots de passe d'administration lors du départ d'un administrateur ou d'une suspicion de compromission. Source : CNIL, sécuriser les serveurs.