C'est l'une des mesures de sécurité les plus élémentaires et pourtant les plus négligées, avec des conséquences potentiellement graves — et le cloud rend le sujet encore plus sensible. Un compte reste, tant qu'il est actif, une porte d'entrée vers toutes les ressources de l'organisation : messagerie, fichiers, applications, données. Quand une personne quitte l'entreprise, son compte non désactivé constitue un risque immédiat pour plusieurs raisons. D'abord, l'ancien employé lui-même : selon les circonstances du départ (surtout s'il est conflictuel), il pourrait accéder à des données, les copier, les supprimer, ou nuire — un risque bien réel, car il connaît l'environnement et ses identifiants fonctionnent encore. Ensuite, et c'est souvent sous-estimé, le compte devient une cible privilégiée pour les attaquants : un compte « dormant » (plus utilisé mais toujours actif) est idéal pour une intrusion, car son activité anormale ne sera pas remarquée par un utilisateur légitime — personne ne se dira « tiens, je n'ai pas fait cette connexion ». Les attaquants recherchent activement ces comptes orphelins. De plus, avec le cloud (M365), le compte est accessible depuis n'importe où sur Internet, pas seulement depuis les locaux : un compte d'ancien employé non désactivé est exposé mondialement, ce qui aggrave le risque par rapport à un environnement purement local. À cela s'ajoutent des raisons pratiques et budgétaires : un compte actif consomme une licence payante (gaspillage), et sa présence complique l'inventaire et l'audit. La désactivation rapide fait donc partie du processus de départ (« offboarding ») que toute organisation devrait formaliser, au même titre que l'arrivée (« onboarding »). Quelques bonnes pratiques associées : désactiver (plutôt que supprimer immédiatement) le compte, ce qui coupe l'accès tout en préservant les données le temps de les récupérer ou de les transférer ; réinitialiser ou révoquer les sessions actives (un compte désactivé mais avec une session déjà ouverte peut rester actif un temps) ; transférer les données importantes (fichiers, e-mails) au responsable ou successeur ; retirer la licence une fois les données récupérées (économie) ; et gérer les accès partagés et délégations éventuels. Le point le plus important est la rapidité et la systématicité : la désactivation doit intervenir au moment du départ, idéalement selon une procédure automatique déclenchée par les RH, et non « quand on y pensera ». Les incidents liés à des comptes d'anciens employés laissés actifs pendant des semaines ou des mois sont fréquents et parfaitement évitables. Un service IT mature traite le départ d'un utilisateur avec la même rigueur que son arrivée — c'est une question de sécurité fondamentale, pas une formalité administrative.

La maîtrise des licences est un enjeu à la fois budgétaire et de bonne gestion, et le gaspillage y est courant faute de suivi — les licences se payant par utilisateur et par mois, chaque licence mal attribuée représente une dépense récurrente qui s'accumule silencieusement. Plusieurs sources de gaspillage typiques, et comment les traiter. D'abord, les licences de comptes désactivés ou partis : le lien avec la question précédente est direct — un compte d'ancien employé non nettoyé continue souvent de consommer sa licence. La règle est de retirer la licence dès que les données ont été récupérées, dans le cadre du processus de départ. Ensuite, les licences surdimensionnées : M365 se décline en plusieurs plans, du plus léger au plus complet, et il est fréquent d'attribuer à tout le monde un plan riche alors que beaucoup d'utilisateurs n'en exploitent qu'une fraction. Un utilisateur qui n'a besoin que de la messagerie et de la bureautique n'a pas nécessairement besoin du plan le plus complet incluant des services avancés qu'il n'utilisera jamais. Adapter le plan au besoin réel de chaque profil (par exemple, des plans différents pour les postes administratifs, techniques, ou de première ligne) peut représenter des économies substantielles à l'échelle de l'organisation. Troisième source : les licences attribuées mais inutilisées — des comptes créés « au cas où », des personnes qui n'utilisent finalement pas certains services. Un suivi de l'usage réel (les centres d'administration fournissent des rapports d'activité) permet de repérer les licences dormantes. Quatrième : les doublons et incohérences quand la gestion n'est pas centralisée. La démarche pour éviter le gaspillage combine donc : un inventaire régulier des licences (qui a quoi ?), croisé avec l'usage réel (qui utilise quoi ?) et le besoin (qui a besoin de quoi ?) ; un processus rigoureux de cycle de vie (attribuer à l'arrivée le plan adapté, ajuster lors des changements de rôle, retirer au départ) ; la gestion par groupes quand c'est possible, qui rend l'attribution plus cohérente et automatisable (attribuer les licences en fonction de l'appartenance à un groupe, plutôt qu'individuellement) ; et une revue périodique des licences pour ajuster le nombre acheté au nombre réellement nécessaire, sans payer pour une marge inutile ni se retrouver à court. Cette gestion n'est pas qu'une affaire de coût : elle contribue aussi à la sécurité (moins de comptes actifs inutiles = moins de surface d'attaque) et à la clarté (savoir précisément qui a accès à quoi). En résumé, éviter de payer pour rien repose sur du suivi et de la discipline : sans inventaire ni revue régulière, les licences dérivent inévitablement vers le gaspillage ; avec un minimum de gestion, on paie ce qu'on utilise réellement, ni plus, ni moins.