Chaque année, le premier jeudi de mai marque la Journée mondiale du mot de passe. Le jeudi 4 mai 2023 est donc de nouveau l’occasion de rappeler aux organisations l’importance d’appliquer la stratégie du moindre privilège – soit le fait d’octroyer à chaque utilisateur les droits d’accès strictement nécessaires à la réalisation de ses tâches, pas plus pas moins – pour assurer les authentifications sans risquer une compromission. En effet, avec 921 attaques visant les mots de passe par seconde dans le monde selon Microsoft, il est essentiel que les organisations traitent les identifiants de chaque employé comme le véritable risque opérationnel qu’ils représentent. En outre, tous les mots de passe doivent bénéficier de la même approche de sécurité.
Tribune – Selon le rapport 2022 « Identity Security Threat Landscape » de CyberArk, la moitié des travailleurs français ont accès à des données sensibles de leur entreprise. En outre, près de 74 % des personnes interrogées dans l’Hexagone admettent que leur organisation est vulnérable à des attaques sophistiquées ; telles que les emails de phishing qui ciblent spécifiquement les employés disposant d’un niveau d’accès élevé. Par conséquent, avec cette quantité d’informations sensibles à portée de main, les cybercriminels s’intéressent de plus en plus aux mots de passe des employés, en particulier ceux qui sont mal gérés.
Plus particulièrement, les mots de passe souffrent couramment des lacunes suivantes :
- Faciles à deviner et non conformes aux exigences en matière de robustesse du mot de passe ;
- Réutilisés dans plusieurs applications de l’entreprise et personnelles, ainsi que les réseaux sociaux ;
- Stockés de manière non sécurisée dans des feuilles de calcul, des post-it et des navigateurs web ;
- Partagés avec d’autres utilisateurs via mails ou des applications de messagerie, par exemple.
Pour pallier ces écueils de cybersécurité, les cinq étapes suivantes sont à déployer afin d’améliorer les défenses d’une entreprise sur le long terme :
- Authentification intelligente – Il s’agit d’associer une authentification intelligente à une expérience utilisateur améliorée. Pour ce faire, une forme adaptative de MFA peut ajuster la difficulté des défis d’authentification en se basant sur des informations en temps réel relatives aux comportements de l’utilisateur.
- Stockage axé sur la sécurité – Cela est possible en recherchant les moyens d’introduire un stockage dans un coffre-fort numérique pour les identifiants, avec la flexibilité nécessaire pour concevoir la manière dont les comptes et les informations d’identification sont stockés, gérés et récupérés.
- Gestion et partage sécurisés des identifiants – Cette étape permet aux utilisateurs de partager en toute sécurité des informations d’identification sans révéler les mots de passe, mais aussi de protéger leur vie privée en contrôlant qui peut partager, consulter et modifier les identifiants, d’imposer des limites de temps à l’accès des utilisateurs à des applications spécifiques et de gérer le transfert de la propriété des informations d’identification à de nouveaux utilisateurs.
- Visibilité de bout en bout – Cela exige que les contrôles de sécurité se poursuivent au-delà du point d’authentification. Les entreprises doivent chercher des moyens d’exiger une couche supplémentaire de protection, qui leur permette de surveiller et d’enregistrer toutes les actions d’un utilisateur une fois qu’il est connecté, avec une piste d’audit complète.
- Une expérience utilisateur sécurisée et sans friction – enfin, les entreprises doivent gérer et sécuriser les mots de passe de leurs employés afin de déployer les capacités suivantes : intégration facilitée aux annuaires d’entreprise et des fournisseurs d’identité tiers ; proposer automatiquement aux utilisateurs de sauvegarder leurs identifiants dans un emplacement sécurisé lorsqu’ils les renseignent ; remplir automatiquement et en toute sécurité les champs d’informations d’identification pour une expérience de connexion fluide et rapide ; et générer des mots de passe uniques et forts lorsque nécessaire.
Ces cinq étapes essentielles, qui constituent une approche holistique de la sécurité de l’identité basée sur les risques, aident les entreprises à appliquer des contrôles basés sur les privilèges ; en soulignant que des contrôles plus stricts sont nécessaires pour le partage et le transfert des mots de passe. Mieux encore, il s’agit d’une stratégie globale et opportune, compte tenu de la quantité de données sensibles auxquelles les employés peuvent accéder chaque jour. En outre, cela empêche les salariés de prendre des raccourcis qui peuvent involontairement créer des vulnérabilités permettant à des cyebrcriminels d’infiltrer le réseau informatique.