Les partages : qui peut ouvrir quoi, et depuis quand

L’article qui accompagne celui-ci dit, dans sa section 5, que l’annuaire est ce qu’on achète vraiment avec un serveur. C’est exact, et il passe ensuite à autre chose.

Or ce à quoi sert un annuaire au quotidien, dans une entreprise de cette taille, tient en une phrase : décider qui peut ouvrir quel dossier. C’est le seul usage réel que nous voyons, et c’est celui qui n’est presque jamais tenu.

Le symptôme n’est pas une fuite. Il est double et plus banal : personne ne trouve rien, et tout le monde peut tout ouvrir. Les deux ont la même cause, qui est une arborescence conçue une fois et jamais décidée depuis.

Cette page traite les droits plutôt que les serveurs. Elle vaut donc aussi pour un boîtier de stockage partagé ou pour un dossier en ligne, et la seule chose qui change d’un outil à l’autre est le nom des boutons.

C’est la règle centrale de cette page et c’est celle qui décide si l’ensemble tiendra deux ans ou deux mois.

Un droit attaché à une personne doit être re-décidé à chaque arrivée, à chaque départ et à chaque changement de poste. Un droit attaché à un rôle — comptabilité, commercial, atelier — est décidé une fois, et l’arrivée d’une personne consiste à la mettre dans le bon groupe.

La différence n’est pas d’élégance, elle est de charge de travail, et c’est ce qui la rend décisive : la version « par personne » demande une décision compétente à chaque mouvement, et une entreprise de dix personnes a une dizaine de mouvements par an.

Quatre ou cinq groupes suffisent presque toujours, et il faut résister à la tentation d’en faire douze. Un groupe par service, un groupe pour la direction, et un groupe « tous » qui existe de toute façon. Au-delà, on retrouve le problème des droits par personne sous un autre nom.

Le cas particulier qui revient toujours : la personne qui appartient à deux services. Elle se met dans deux groupes, et c’est tout — c’est précisément ce que les groupes savent faire et ce qu’une arborescence calquée sur l’organigramme ne sait pas faire.

Le partage produit un problème que le droit d’accès ne résout pas et qu’il faut traiter séparément, parce que c’est celui dont les gens se plaignent le plus.

Deux personnes ouvrent le même document, la seconde enregistre après la première, et le travail de la première disparaît sans message. Sur un partage de fichiers classique, cela se produit silencieusement et il n’y a rien à configurer pour l’empêcher.

La réaction naturelle est celle qui crée le second problème : chacun enregistre sa copie sous un nouveau nom. Six mois plus tard le dossier contient « Devis client final », « Devis client final 2 », « Devis client final OK » et « Devis client final vrai », et personne ne sait lequel a été envoyé.

Deux réponses existent et il faut choisir en connaissance de cause. La première est une convention : un fichier appartient à une personne pendant qu’elle travaille dessus, et cela se dit à l’oral dans une équipe de cinq. La seconde est un outil qui gère la modification simultanée, ce qui veut dire un dossier en ligne plutôt qu’un partage classique.

Nous ne tranchons pas ici, parce que le choix dépend de la connexion et du travail hors ligne, et que l’article sur l’hébergement traite ce que coûte le second. Ce que nous disons est que le problème n’est pas un problème de droits, et qu’ajouter des restrictions ne le règle pas — il l’aggrave, parce que les gens contournent en travaillant sur leur bureau.

Un départ se traite en deux minutes ou en trois semaines, selon ce qui a été fait dans les sections 3 et 7.

Si les droits sont attachés à des groupes, le départ consiste à retirer la personne de ses groupes et à désactiver son compte. Deux minutes, et l’accès s’arrête partout en même temps.

Si les droits ont été attachés à des personnes, il faut passer en revue l’arborescence à la recherche de son nom, et personne ne le fait jamais complètement. C’est ainsi qu’on trouve, deux ans plus tard, un compte désactivé qui figure encore dans les droits de quatorze dossiers — inoffensif jusqu’au jour où il est réactivé pour une raison quelconque.

Le compte se désactive plutôt qu’il ne se supprime, pour la même raison que dans l’article sur les badges : la suppression fait perdre le rattachement entre les fichiers créés et la personne qui les a créés, et cette information sert plus souvent qu’on ne le croit.

Et ce qui doit se faire le même jour, avant tout le reste : le contenu du dossier personnel de la section 7 est déplacé vers le dossier du service. C’est une opération de dix minutes qui ne se fait plus jamais une fois que la personne est partie et que le compte est fermé.

Ce que nous refusons d’abord : restreindre des droits le jour d’une installation, avant que quiconque sache qui travaille sur quoi. Cela produit une entreprise bloquée et vingt appels le lendemain, et cela nous vaudrait une deuxième journée facturée pour tout rouvrir.

Nous refusons également de réorganiser une arborescence entière en un week-end. C’est le chantier le plus vendeur de cette page et c’est celui qui échoue le plus souvent : les gens continuent d’aller là où ils allaient, et vous obtenez deux arborescences au lieu d’une. La règle de la section 8 — l’ancienne en lecture, la nouvelle à partir d’une date — est plus lente et elle tient.

Et nous refusons de mettre en place des droits par personne, même quand le client le demande parce que c’est plus rapide à expliquer. Cela fonctionne le premier mois et cela devient ingérable au troisième mouvement de personnel, c’est-à-dire dans l’année.

Ce que nous faisons tient en une demi-journée : les trois ou quatre dossiers sensibles restreints, quatre ou cinq groupes créés et remplis, les droits décidés haut dans l’arborescence, et les deux listes de la section 10 imprimées et datées.

Et une chose à faire aujourd’hui sans nous, en cinq minutes : demandez à quelqu’un du terrain d’ouvrir le dossier des salaires depuis son poste. S’il y arrive, vous connaissez le premier travail de cette page, et il se corrige en dix minutes.