Tribune: Les mots de passe, le maillon faible de la cyberdéfense des TPE – PME
Comment appliquer une meilleure politique de gestion des mots de passe des collaborateurs en entreprise ? Une tribune d’Ely de Travieso, référent Cyber Sécurité à la CPME et à CINOV IT.
Elément central des moyens de protection informatique, les mots de passe représentent la clé qui ouvre sur un espace qui peut rassembler des informations de sensibilité plus ou moins forte.
Accès messagerie, mise en veille de l’ordinateur, sites internet, banque, transports, ordinateur, tablette, smartphone, les mots de passe sont partout et les chefs d’entreprise doivent en contrôler leur usage.
=> Sensibiliser les collaborateurs : trop peu d’utilisateurs finaux ne comprennent toujours pas pourquoi il faut utiliser des mots de passe jugés comme contraignant. Si « 123456 » est un des mots de passe les plus utilisés, ce n’est pas pour rien et illustre parfaitement l’incompréhension des enjeux de sécurité.
Il faut donc dans un premier temps, « re-contextualiser » les utilisateurs finaux en leur faisant découvrir les techniques permettant de casser un mot de passe afin qu’ils comprennent mieux les impacts et les risques associés, tant d’un point de vue personnel que professionnel. De fait, ils sauront mieux apprécier la mise en place d’une politique de gestion des mots de passe par l’entreprise.
=> Définir une règle commune à tous les collaborateurs : les règles de définition des mots de passe utilisés par les collaborateurs ou un responsable informatique doivent être formalisées dans un document et être considéré comme un référentiel par tous les nouveaux utilisateurs.
Ce document doit définir les règles de complexité, préciser comment est exigé le renouvellement, comment retrouver un mot de passe perdu, autant de points qui définissent le processus de vie des mots de passe dans l’entreprise, de la création au renouvellement.
=> S’adapter aux supports : la définition d’un mot de passe doit aussi tenir compte de l’ensemble des supports qu’utilisent un collaborateur. On ne met pas un mot de passe de 12 caractères pour protéger l’accès à un smartphone mais, en revanche, on se doit de comprendre que les informations enregistrées sur ce support soient protégées en lecture, par un mot de passe adapté.
=> Faciliter la définition de mots de passe sécurisés : si on veut respecter des règles de sécurité, l’utilisateur doit utiliser un mot de passe de 8 à 12 caractères comprenant des majuscules, des chiffres et des caractères spéciaux, autant de règles qui rendent difficile la mémorisation sachant qu’un utilisateur a besoin de plusieurs mots de passe dans le cadre de ses activités.
Ainsi, il peut être judicieux de mettre à disposition des collaborateurs, des outils permettant de générer des mots de passe, tout en les stockant de manière sécurisée sur les postes de travail ou en un point unique.
=> Réagir en cas de licenciement ou de fin de stage : conserver des mots de passe qui ne sont plus utilisés représentent un risque pour la sécurité et peut favoriser la fuite d’information.
Par exemple, un commercial licencié ne doit plus avoir accès au CRM de l’entreprise, une fois qu’il a quitté l’entreprise. Il est donc à prévoir la destruction des mots de passe qui n’ont plus lieu d’exister.
Tribune d’Ely de Travieso, référent Cyber Sécurité à la CPME et à CINOV IT.
Pour aller plus loin, quelques liens utiles :
– Guide Cybersécurité TPE/PME de l’ANSSI;
– Logiciel de stockage de mots de passe;
– Conseils CNIL ;
– CPME ;
– CINOV IT