OVH Cloud OVH Cloud

a qui donner les "cles" d'un client ?

46 réponses
Avatar
Eric Belhomme
bonjour,

J'ai un soucis d'ordre ethique, voire déontologique a régler :
Je m'occupe de l'administration systemes et reseaux de l'un des clients de
ma société (serveurs Linux sur Internet, et réseau Windows 2000 AD).
J'ai donc, a ce titre, la connaissance des mots de passe des comptes root
et Administrateurs de quasiment la totalité des stations et serveurs de ce
client.

Mon probleme : ma hiérarchie me demande de lui fournir tous ces mots de
passe, prétextant (à raison) qu'en cas de probleme alors que je suis
absent, ma société doit pouvoir intervenir (ce qui parait normal). Jusqu'à
présent j'ai refusé, en disant que le client possédaient ces mots de passe
dans son coffre, et que je ne les remmettais qu'avec l'autorisation écrite
du client... Inutile de vous dire que l'argumentation fut houleuse :-/

Pour bien comprendre mon probleme, il faut savoir que ma société n'est pas
du tout experte dans l'administration des SI (ce n'est pas notre métier,
nous sommes une SSII/éditeur de logiciels) et que je suis le seul membre de
ma boite qui ait des compétences d'administrateur (en particulier sous
unix/linux !). De plus notre culture d'entrepise ressemble aux pires
cauchemars d'un DSI, si vous voyez ce que je veux dire... (et ce malgré mes
efforts) Vous comprenez maintenant pourquoi je suis aussi réticant à l'idée
de fournir ces mots de passe à n'importe qui...

Je suis donc à la recherche de tout texte de loi détaillant les devoirs et
obligations d'un admin, afin de savoir quelles sont exactement mes
responsabilités dans cette affaire. Merci de votre aide

--
Rico (RicoSpirit) - http://www.ricospirit.net
Pour en savoir autant que moi sur INN (c.a.d. pas grand chose !) :
http://www.ricospirit.net/inn/

10 réponses

1 2 3 4 5
Avatar
Hubert Quarantel-Colombani
Eric Belhomme wrote:
bonjour,

J'ai un soucis d'ordre ethique, voire déontologique a régler :
Je m'occupe de l'administration systemes et reseaux de l'un des clients de
ma société (serveurs Linux sur Internet, et réseau Windows 2000 AD).
J'ai donc, a ce titre, la connaissance des mots de passe des comptes root
et Administrateurs de quasiment la totalité des stations et serveurs de ce
client.

Mon probleme : ma hiérarchie me demande de lui fournir tous ces mots de
passe, prétextant (à raison) qu'en cas de probleme alors que je suis
absent, ma société doit pouvoir intervenir (ce qui parait normal). Jusqu'à
présent j'ai refusé, en disant que le client possédaient ces mots de passe
dans son coffre, et que je ne les remmettais qu'avec l'autorisation écrite
du client... Inutile de vous dire que l'argumentation fut houleuse :-/

Pour bien comprendre mon probleme, il faut savoir que ma société n'est pas
du tout experte dans l'administration des SI (ce n'est pas notre métier,
nous sommes une SSII/éditeur de logiciels) et que je suis le seul membre de
ma boite qui ait des compétences d'administrateur (en particulier sous
unix/linux !). De plus notre culture d'entrepise ressemble aux pires
cauchemars d'un DSI, si vous voyez ce que je veux dire... (et ce malgré mes
efforts) Vous comprenez maintenant pourquoi je suis aussi réticant à l'idée
de fournir ces mots de passe à n'importe qui...

Je suis donc à la recherche de tout texte de loi détaillant les devoirs et
obligations d'un admin, afin de savoir quelles sont exactement mes
responsabilités dans cette affaire. Merci de votre aide



Bonjour,

Je pense qu'il faut regarder les choses d'un point de vue contractuel:
- tu as passe un contrat avec ton employeur: le contrat de travail,
- ton employeur a passe un contrat avec le client: le contrat de
prestation

Aux termes du contrat de prestation ton entreprise s'engage, moyenant
retribution, a realiser certains travaux. Pour les besoins de cette
realisation, le client a confie a ton employeur un certain nombre de
mots de passe, et eventuellement le droit de les modifier tout en les
gardant a la connaissance du client. Ces droits d'acces ont ete concedes
a ton employeur, pas a toi nominativement, auquel cas on frole les
delits de marchandage ou de pret de main d'oeuvre... Il ne peut y avoir
de lien de subordination entre toi et le client.
Finalement, par le jeu de ton crontrat de travail, tu n'es que
l'instrument materiel de realisation du contrat de prestation. Et c'est
seulement a ce titre que tu te retrouves en connaissance (pas en
possession) de ces mots de passe. La nue propriete de ces mots de
passe/droits d'acces reste entierement au lient. Ce n'est que
l'utilisation (l'usufruit) qui en est partagee entre les deux personnes
morales que sont ton employeur et le client, dans le cadre du contrat de
prestation.

D'un point de vue contractuel et legal, que ton employeur n'ait que toi
pour materialiser les competences d'administrateur systeme ne te
concerne en rien, c'est le probleme entier de ton employeur. Il a
appartient seulement a ton employeur de s'assurer qu'en ton absence il
puisse continuer a fournir les competences qu'il s'est engager
contractuellement a fournir tout au long de la prestation.

En conclusion, je te recommande de porter ces mots de passe a la
connaissance de ton superieur hierarchique immediat par le biais d'un
courrier confidentiel interne a ton employeur avec toutes les
precautions de tracabilite (references, copie conservee par tes soins
our par le secretariat ad hoc). Dans le meme temps, tu envoies un
courrier interne au client eventuellement confidentiel a destination du
client avec ton superieur hierarchique en copie pour indiquer que tu as
communique ces mots de passe a ton superieur hierarchique, toujours avec
les precautions de tracabilite d'usage.


Hubert.

Avatar
Eric Belhomme
Olivier Saulnier wrote in
news::

Le client -societe-, ou le client
-personne/ami_avec_qui_je_m'entends_bien- ??? car je pense que vous
melangez un peu beaucoup de choses sur ce point. Le perennite est la
meilleure des garanties pour un client, et je ne pense pas qu'un
salarie quittant sa societe soit un gage dans ce domaine...

C'est un fait que j'ai tissé certaines relations amicales avec mon client,

mais je ne pense pas mélanger quoi que ce soit : le client dispose de ses
mots de passe à l'abri dans son propre coffre. Si demain je suis dans
l'incapacité d'intervenir, ou si mon patron décide que ce sera quelqu'un
d'autre, alors mon client est _capable_ de fournir lesdits mots de passe !
c'est amha le principal...

NON!! ton client a passe un contrat avec ta societe car il n'avait pas
les competences, ou les moyens techniques/financiers pour la
realisation en interne.
Cela signifie qu'il n'est pas forcement a meme de juger qui doit etre
en possession de ce genre d'informations!

Je persiste à penser qu'il est anormal qu'un tiers non clairement identifié

par le client dispose des droits d'accès légitimes sur ses propres
machines. En fait, en poussant un peu le bouchon, il est anormal que moi-
meme je dispose de ces droits... a chacune de mes interventions, le client
devrait changer les mots de passe afin que je les lui demande à
l'intervention suivante...
Comme c'est lourd, et que le client a confiance en MOI (moi, personne
physique, et non morale) je me retrouve, de fait avec toutes les clés de
"la maison" et donc un pouvoir colossal. Je ne peux tout simplement pas me
résoudre à déleguer ce pouvoir à des collègues dont je sait qu'ils n'en
mesurent pas le poids.

Pour info, j'ai expliqué à mon client qu'on me demandait de remettre ses
mots de passes, et qu'il serait contacté par notre commercial afin qu'il
fournisse une autorisation écrite me permettant de divulger ses mots de
passes à ma hiérarchie. Il n'etait a priori pas chaud pour cela...

Donc affaire à suivre...

--
Rico (RicoSpirit) - http://www.ricospirit.net
Pour en savoir autant que moi sur INN (c.a.d. pas grand chose !) :
http://www.ricospirit.net/inn/

Avatar
Doff
Dans <bds23f$ruf$, nous
racontait...
chartre qui n a aucune legitimite, et irrecevable legalement


Euh, c'est quoi l'utilité de faire signer cette charte alors ?

Sur les années où j'ai fait de l'admin sys&rés, je faisais signer ça,
j'avais pas l'impression que c'était du vent....

Tu veux dire que c'était du temps et de l'énergie perdue ?

Avatar
Fabien LE LEZ
On 30 Jun 2003 17:57:08 GMT, Eric Belhomme
wrote:

Je suis donc à la recherche de tout texte de loi


As-tu essayé la hiérarchie fr.misc.droit.* ?


--
Tout sur fr.* (FAQ, etc.) : http://www.usenet-fr.net/fur/
et http://www.aminautes.org/forums/serveurs/tablefr.html
Archives : http://groups.google.com/advanced_group_search
http://www.usenet-fr.net/fur/usenet/repondre-sur-usenet.html

Avatar
ho alexandre
Doff wrote:
chartre qui n a aucune legitimite, et irrecevable legalement


Euh, c'est quoi l'utilité de faire signer cette charte alors ?

Sur les années où j'ai fait de l'admin sys&rés, je faisais signer ça,
j'avais pas l'impression que c'était du vent....

Tu veux dire que c'était du temps et de l'énergie perdue ?


Je pense qu'une charte est un contrat entre une entité et un individu,
mais qu'elle n'a pas valeur juridique. En ce sens, aucunesanction pénale
ne peut être entreprise l'encontre du fautif.


--
Xandrex


Avatar
Beretta Vexee
Doff ecrivait dans
news::

Euh, c'est quoi l'utilité de faire signer cette charte alors ?

Sur les années où j'ai fait de l'admin sys&rés, je faisais signer ça,
j'avais pas l'impression que c'était du vent....

Tu veux dire que c'était du temps et de l'énergie perdue ?


Juste a justifié, le licenciment ou le blame des employés indelicas, pour
faute et non respet du reglement interne de la boite.
Apres devant un tribunal, ca n'a en effet que peut de valeur.

--
Les fautes d'orthographes sus-citées sont déposées auprès de leurs
propriétaires respectifs. Aucune responsabilité n'est engagé sur
la lisibilité du message ou les éventuelles dommages qu'il peut
engendrer. Beretta Vexée

Avatar
Simon Marechal
In article <bdsbtv$2pus$, ho alexandre wrote:
Je pense qu'une charte est un contrat entre une entité et un individu,
mais qu'elle n'a pas valeur juridique. En ce sens, aucunesanction pénale
ne peut être entreprise l'encontre du fautif.


Si c'est un contrat ça a alors une valeur juridique. Si la charte fait
partie des conventions collectives / du contrat de travail / de je ne
sais quoi je ne suis pas juriste, ça ala meme valeur que le contrat de
travail.
L'entreprise ne peut de tute façon pas prendre de sanctuions pénables
dans tous les cas, puis que ça se reglerais dans le civil (enfin
j'espere).

Avatar
Simon Marechal
In article , Eric Belhomme wrote:
Je persiste à penser qu'il est anormal qu'un tiers non clairement identifié
par le client dispose des droits d'accès légitimes sur ses propres


Le client ayant passé un contrat ave ta société, et non avec toi, il
sait très bien, du moins il est censé le savoir en cas de litige, que tu
n'es qu'un representant de la société! Du coup les tiers sont clairmeent
identifiés : ce sont les employés de ta société!

Avatar
Pascal Cazabat
"Eric Belhomme" a écrit dans le
message de news:
bonjour,

J'ai un soucis d'ordre ethique, voire déontologique a régler :
Je suis donc à la recherche de tout texte de loi détaillant les devoirs et
obligations d'un admin, afin de savoir quelles sont exactement mes
responsabilités dans cette affaire. Merci de votre aide

--
Rico (RicoSpirit) - http://www.ricospirit.net
Pour en savoir autant que moi sur INN (c.a.d. pas grand chose !) :
http://www.ricospirit.net/inn/


En fait, il me semble qu'on mélange pas mal de choses.
Revenons au seul droit qui soit utilisable ici (en dehors de clauses pénales
que je ne connaitrais pas): le droit commercial.

Il existe dans ton cas deux contrats:

1 ton contrat de travail, qui t'impose d'obéir à tes supérieurs, tant que
leur demande est conforme a ce contrat et ne rentre pas en conflit avec un
texte de loi, ce qui te dispense par là même d'une quelconque responsabilité
sur tes actes dans ce cadre.

2 Le contrat entre ta société et ton client, qui devrait, si il est bien
fait, préciser les droits et les devoirs de chacun.

Tu n'as aucune légitimité à t'immiscer dans ce second contrat qui ne te
concerne pas.
(Du point de vue légal, et sans remettre en cause tes sincères motivations,
c'est comme si un conducteur de train décidait de son propre chef qu'il
était mieux pour ces clients/voyageurs de prendre le temps de digérer et
qu'il bloque son train à ce motif).

La seule possibilité que tu ai est d'agir au niveau de ton employeur en
demandant éventuellement une lettre de décharge concernant cette remise de
clés (pour etre sûr du coup).

Tout autre action sera forcément considérée comme une entrave au bon
fonctionnement de la société. (y compris avertir le client sans l'aval de
tes patrons, si tu le fais, fais le uniquement de manière orale)

Avatar
Mais moi j'ai toujours refuser (meme si ca m'as valu des ennuis et
aider à ce que je sois maintenant au chomage)
Ca ne m'etonne pas trop...



Sur mais quand le client (personne) m'as donné toutes les clefs c'etait
à ma demande (je lui ai demandé cela afin de ne pas perdre de temps sur
place et que je puisse intervenir a distance meme si lui n'etait pas
là), il a accepté a la condition que je ne donne ces informations a
personnes (y compris mes collegues/responsables/et autres).

et ce client m'as fait comprendre qu'il me suivrais ou j'irais.
Le client -societe-, ou le client

-personne/ami_avec_qui_je_m'entends_bien- ??? car je pense que vous
melangez un peu beaucoup de choses sur ce point. Le perennite est la
meilleure des garanties pour un client,


le client (personne) qui au fil du temps est devenu une relation
amicale.

et je ne pense pas qu'un
salarie quittant sa societe soit un gage dans ce domaine...


Sur, mais si cette personne me fait confiance alors qu'elle ne le fait
qu'a moitier au responsable/commercial qui s'occupe de lui.

je pense que déontologiquement tu ne doit pas le faire quel qu'en
soit la loi, c'est au client de donner l'accessibilité aux personnes
qu'ils jugent necessaires
NON!! ton client a passe un contrat avec ta societe car il n'avait pas

les competences, ou les moyens techniques/financiers pour la
realisation en interne.
Cela signifie qu'il n'est pas forcement a meme de juger qui doit etre
en possession de ce genre d'informations!


(Comme je le disais je ne parlait en terme de loi et de contrat mais en
terme de "Je pense")
Dans ce cas il reviendras aux anciennes méthodes (et à la méthode qu'il
emploi avec l'autre société exterieure qui travaille (historiquement)
aussi chez lui.) : Donner les mots de passes suivant les besoins et les
changer apres l'intervention.

Bon courage en tout cas et ne te laisse pas faire.
ce n'est pas la lutte des classes tout de meme! :-)

Non bien sur.


--
Yannic


1 2 3 4 5