Les mauvaises pratiques les plus courantes dans une équipe
Quand une équipe travaille à distance, les accès circulent par écrit. On retrouve presque toujours les mêmes situations :
- un mot de passe envoyé en message privé ou dans un canal de la messagerie d’équipe, où il reste lisible des mois plus tard, y compris dans les exports et les sauvegardes ;
- un tableur ou un document partagé qui liste tous les identifiants, accessible à toute l’équipe, parfois par simple lien ;
- un même mot de passe réutilisé pour plusieurs services, si bien qu’une fuite chez l’un ouvre l’accès aux autres ;
- un compte générique (l’adresse de contact, le compte de l’outil d’e-mailing, l’accès à un portail fournisseur) utilisé par cinq personnes, dont le mot de passe n’a pas changé depuis le départ de deux d’entre elles ;
- des outils adoptés par l’équipe sans passer par la personne chargée de l’informatique, dont personne ne connaît la liste complète : c’est le shadow IT.
Ces pratiques ont une cause commune : il faut partager vite et rien n’est prévu pour le faire proprement. Les interdire sans proposer d’alternative ne change rien.
Ce que recommandent la CNIL et l’ANSSI
La CNIL a actualisé sa recommandation sur les mots de passe par la délibération n° 2022-100 du 21 juillet 2022. Elle raisonne en robustesse (l’entropie) plutôt qu’en longueur fixe et donne des exemples équivalents : au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux ; au moins 14 caractères sans caractère spécial obligatoire ; ou une phrase de passe d’au moins 7 mots. Elle ne recommande plus d’imposer un renouvellement périodique pour les comptes ordinaires, car les utilisateurs se contentent alors de modifications prévisibles. Ce renouvellement reste recommandé pour les comptes à privilèges, comme les comptes administrateurs.
Son guide de la sécurité des données personnelles, dans sa version de mars 2024, traite de l’organisation des accès. Il demande de définir un identifiant unique par utilisateur et d’interdire les comptes partagés, d’inciter à utiliser un gestionnaire de mots de passe et de privilégier l’authentification multifacteur lorsque c’est possible. Pour les habilitations, il recommande de retirer les accès dès qu’une personne n’en a plus besoin et de les passer en revue au moins une fois par an.
L’ANSSI va dans le même sens dans ses recommandations relatives à l’authentification multifacteur et aux mots de passe, publiées en octobre 2021 : utiliser un coffre-fort de mots de passe, privilégier l’authentification multifacteur et, parmi les facteurs, ceux qui reposent sur un objet que l’on possède. Le dispositif public Cybermalveillance.gouv.fr résume ces règles pour tous : un mot de passe différent pour chaque service, un mot de passe qui reste secret, la double authentification activée partout où elle est proposée.
Le gestionnaire de mots de passe d’équipe : coffres, droits, historique
Un gestionnaire de mots de passe stocke les identifiants sous forme chiffrée et les saisit à la place de l’utilisateur. Chacun n’a plus qu’un mot de passe maître à retenir, ce qui rend possibles des mots de passe longs et uniques pour chaque service. Les offres destinées aux équipes ajoutent ce qui manque au tableur :
- des coffres partagés par équipe ou par projet : l’équipe marketing voit les comptes des réseaux sociaux, pas ceux de la banque ;
- des droits différenciés : consultation pour les uns, modification pour le responsable de chaque compte ;
- un historique des consultations et des modifications, utile en cas d’incident ;
- une console d’administration pour ajouter ou retirer une personne en une seule opération.
Pour le choisir, posez les mêmes questions que pour les autres outils collaboratifs : où sont hébergées les données, le chiffrement a-t-il lieu sur le poste de l’utilisateur avant tout envoi, que se passe-t-il si quelqu’un oublie son mot de passe maître, l’outil se raccorde-t-il à l’annuaire de l’entreprise ? Faites valider le choix par la personne chargée de l’informatique : un gestionnaire choisi par une seule équipe reste du shadow IT.
La règle d’usage tient en une phrase, à inscrire dans la charte de communication de l’équipe : un mot de passe ne passe jamais par la messagerie, l’e-mail ou un document ; on partage l’entrée du coffre.
L’authentification multifacteur, en priorité sur les comptes sensibles
L’authentification multifacteur ajoute au mot de passe, que l’on connaît, une preuve d’une autre nature : une validation sur une application du téléphone, une clé physique, une donnée biométrique. Un mot de passe volé ne suffit plus pour se connecter.
Activez-la d’abord là où une intrusion coûterait le plus :
- la messagerie électronique, qui sert à réinitialiser tous les autres mots de passe ;
- le gestionnaire de mots de passe lui-même ;
- les comptes administrateurs des outils de l’équipe ;
- la banque, la paie et la facturation ;
- les comptes publics de l’entreprise : réseaux sociaux, site web, nom de domaine.
Quand le service le permet, préférez une application d’authentification ou une clé physique aux codes reçus par SMS : l’ANSSI recommande de ne pas utiliser le SMS pour recevoir un facteur d’authentification, car il peut être intercepté ou détourné par un transfert frauduleux de la ligne. Et prévoyez la perte du téléphone : codes de secours rangés dans le coffre, second administrateur capable de réinitialiser l’accès.
Comptes partagés : les limiter et confier chacun à un responsable
La meilleure façon de sécuriser un compte partagé est souvent de le supprimer. Beaucoup d’outils permettent d’inviter plusieurs utilisateurs nominatifs sur un même espace, avec des rôles distincts. Chaque action est alors rattachée à une personne, et un départ se traite en retirant un seul accès. La CNIL n’admet les identifiants partagés que lorsqu’ils sont inévitables, avec l’accord de la hiérarchie, une traçabilité des actions et un changement de mot de passe dès qu’une personne n’a plus besoin de l’accès.
Quand un compte commun reste nécessaire (licence unique, compte d’un réseau social, portail d’un fournisseur), appliquez trois règles :
- un responsable nommé par compte, qui décide qui y accède et change le mot de passe quand il le faut ;
- une fiche dans le coffre : à quoi sert le compte, qui y a accès, date du dernier changement ;
- un second facteur qui ne dépend pas d’une seule personne : codes de secours rangés dans le coffre, et facteur rattaché si possible à un appareil de l’entreprise plutôt qu’au téléphone personnel d’un collaborateur.
La revue annuelle des accès recommandée par la CNIL suffit à repérer les comptes oubliés et les droits trop larges. Elle fait partie de l’entretien courant de l’environnement de travail numérique, au même titre que le ménage dans les canaux et les espaces documentaires.
Arrivées et départs : ouvrir et retirer les accès au bon moment
Les accès se gèrent sur tout le parcours du collaborateur.
À l’arrivée, préparez la liste des coffres et des outils nécessaires au poste, et ouvrez-les le premier jour. Prévoyez dans le programme d’onboarding à distance une demi-heure pour installer le gestionnaire et activer l’authentification multifacteur avec un collègue : c’est le moment où l’on prend les bonnes habitudes.
En cas de changement de poste, retirez les accès liés à l’ancienne mission. La CNIL vise expressément ce cas.
Au départ, l’offboarding comprend une liste de contrôle :
- désactivation du compte dans le gestionnaire et des comptes nominatifs le dernier jour ;
- changement du mot de passe de chaque compte partagé auquel la personne avait accès ;
- retrait du second facteur s’il était lié à son téléphone ;
- transfert de la responsabilité des comptes et des documents qu’elle gérait.
Si votre gestionnaire conserve l’historique des consultations, il indique précisément quels identifiants changer. Sans lui, cette liste repose sur la mémoire de chacun.