Procédure de maintenance
Activer la double authentification sur les comptes de l'entreprise
La double authentification ajoute au mot de passe un second élément, validation sur le téléphone ou clé physique : on l'active d'abord sur la messagerie et les comptes administrateur, puis partout où elle existe.
Activer la double authentification, c'est exiger, en plus du mot de passe, un second élément que l'attaquant n'a pas : une validation dans une application sur le téléphone, un code ou une clé physique. Un mot de passe volé ne suffit alors plus à ouvrir le compte. Dans une PME, on commence par la messagerie et les comptes administrateur, puis on l'étend à chaque service qui la propose.
Ce que recommandent l'ANSSI et Cybermalveillance.gouv.fr
L'ANSSI est sans ambiguïté dans son guide de cybersécurité pour les TPE et PME : « Il faut activer une authentification multifacteurs quand elle est proposée par le fournisseur de service (mail, banque, etc.). » Elle détaille les facteurs possibles dans ses recommandations relatives à l'authentification multifacteur et aux mots de passe. Cybermalveillance.gouv.fr range la double authentification parmi ses bonnes pratiques sur les mots de passe, et sa fiche réflexe sur le piratage de compte la recommande pour qu'un compte ne puisse pas être repris avec un simple mot de passe.
Microsoft 365 : les paramètres de sécurité par défaut
Dans une PME sous Microsoft 365, le moyen le plus direct est d'activer les paramètres de sécurité par défaut de Microsoft Entra : ils exigent que tous les utilisateurs s'inscrivent à l'authentification multifacteur et l'imposent aux administrateurs. Microsoft avance que plus de 99,9 % des attaques liées à l'identité sont stoppées par l'authentification multifacteur et le blocage de l'authentification héritée ; c'est le chiffre de l'éditeur. La procédure activer les paramètres de sécurité par défaut de Microsoft 365 détaille ce réglage.
Double authentification : ce que fait le prestataire, ce que garde l'entreprise
Le prestataire d'infogérance active l'option, accompagne l'inscription de chaque salarié et traite les téléphones perdus. L'entreprise rend la mesure obligatoire pour tous, direction comprise, et garde un accès de secours à ses comptes administrateur, comme le prévoit la procédure séparer les comptes administrateur des comptes du quotidien. Le mot de passe reste nécessaire : un gestionnaire de mots de passe permet d'en avoir un différent pour chaque service.
La procédure
Activer la double authentification, étape par étape
Prévoyez la liste des comptes de l'entreprise, un accès administrateur à chaque service, et un moment où chaque salarié a son téléphone ou sa clé à portée de main.
Recenser et choisir
La double authentification protège d'abord les comptes qui ouvrent tous les autres.
-
#
On ne protège que les comptes dont on connaît l'existence, y compris ceux qu'un salarié a ouverts pour le travail.
Le détail de l'étape
C'est fait quand : Une liste nomme chaque service, son administrateur et l'état de la double authentification.
Comment vérifier : La liste couvre la messagerie, la banque en ligne, les logiciels en ligne, les accès à distance et les comptes administrateur.
Le piège : Oublier les comptes ouverts hors du prestataire, comme la banque en ligne ou les réseaux sociaux de l'entreprise.
-
#
La messagerie permet de réinitialiser les mots de passe des autres services, et un compte administrateur ouvre tout le reste.
Le détail de l'étape
C'est fait quand : La double authentification est exigée sur toutes les boîtes de messagerie et sur chaque compte administrateur.
Comment vérifier : Dans le centre d'administration, aucun compte administrateur n'apparaît sans méthode d'authentification supplémentaire enregistrée.
Le piège : Exempter la direction ou un compte partagé, qui devient alors la porte d'entrée la plus simple.
-
#
Tous les seconds facteurs ne se valent pas, et la méthode retenue doit fonctionner pour chaque salarié, au bureau comme en déplacement.
Le détail de l'étape
C'est fait quand : Une méthode par défaut est retenue, et une méthode de remplacement est prévue pour qui n'a pas de téléphone professionnel.
Comment vérifier : La méthode retenue figure parmi celles que décrivent les recommandations de l'ANSSI sur l'authentification multifacteur.
Le piège : Laisser chaque salarié choisir seul, puis découvrir le jour d'une perte de téléphone que personne ne sait rétablir son accès.
Activer et inscrire
L'activation se fait service par service ; l'inscription, salarié par salarié.
-
#
Tant que le service ne l'exige pas, chacun peut s'en passer.
Le détail de l'étape
C'est fait quand : Le service exige un second facteur pour tous les utilisateurs concernés.
Comment vérifier : Une connexion d'essai depuis une fenêtre de navigation privée demande bien le second élément après le mot de passe.
Le piège : Activer l'option sans prévenir l'équipe, et bloquer le jour même un salarié en déplacement.
-
#
Un seul compte sans second facteur suffit à un attaquant qui a volé son mot de passe.
Le détail de l'étape
C'est fait quand : Chaque salarié a enregistré au moins une méthode et a réussi une connexion avec elle.
Comment vérifier : Le rapport d'inscription du service ne montre plus aucun utilisateur sans méthode enregistrée.
Le piège : Accorder des exceptions présentées comme provisoires, qui ne sont jamais levées.
-
#
L'ANSSI demande de l'activer chaque fois que le fournisseur de service la propose, banque comprise.
Le détail de l'étape
C'est fait quand : Chaque service de la liste qui propose la double authentification l'a activée.
Comment vérifier : La colonne double authentification de la liste des comptes est remplie pour chaque service.
Le piège : S'arrêter à Microsoft 365 et laisser la banque en ligne ou le logiciel de comptabilité derrière un simple mot de passe.
Prévoir les secours
Un second facteur perdu ne doit bloquer ni l'entreprise ni le salarié.
-
#
Si le seul téléphone qui valide l'administrateur est perdu, plus personne ne peut administrer les services.
Le détail de l'étape
C'est fait quand : Un second moyen d'accès administrateur existe, rangé hors du poste quotidien et connu de la direction.
Comment vérifier : L'accès de secours a été essayé une fois, en présence du prestataire.
Le piège : Confier l'unique accès administrateur au prestataire, sans moyen pour l'entreprise de reprendre la main.
-
#
Sans consigne, on désactive la protection pour dépanner un salarié et on oublie de la remettre.
Le détail de l'étape
C'est fait quand : Une consigne dit qui prévenir, comment le prestataire réinitialise la méthode et comment le salarié se réinscrit.
Comment vérifier : La consigne est remise à chaque nouvel arrivant avec ses accès.
Le piège : Désactiver la double authentification d'un compte le temps de régler le problème, sans date de retour.
Questions fréquentes
La double authentification est-elle indispensable dans une PME ?
L'ANSSI la recommande explicitement : il faut l'activer chaque fois que le fournisseur de service la propose, messagerie et banque comprises. Selon le secteur, un contrat d'assurance, un donneur d'ordre ou une réglementation peuvent aussi l'exiger : vérifiez ce qui s'applique à votre entreprise. Dans Microsoft 365, les paramètres de sécurité par défaut la rendent obligatoire pour tous les utilisateurs.
Que faire si un salarié refuse d'utiliser son téléphone personnel ?
La double authentification ne passe pas forcément par un téléphone personnel : une clé physique ou un téléphone professionnel peuvent servir de second facteur, selon ce que propose le service. La documentation de Microsoft sur l'authentification multifacteur liste les méthodes disponibles, dont les clés d'accès FIDO2. Le choix se fait avec le prestataire et s'écrit dans la consigne remise à chaque salarié.
La double authentification protège-t-elle d'un hameçonnage ?
Elle en limite les conséquences : un mot de passe saisi sur une fausse page ne suffit plus, à lui seul, à ouvrir le compte. Elle ne dispense ni des réflexes que décrit Cybermalveillance.gouv.fr face à un message suspect, ni de changer le mot de passe si quelqu'un l'a saisi : les fiches réflexes du poste incidents donnent l'ordre des gestes.
Qui doit garder l'accès de secours aux comptes administrateur ?
L'entreprise elle-même, en plus du prestataire. L'ANSSI demande d'identifier nommément chaque personne qui accède au système et de distinguer les rôles d'utilisateur et d'administrateur. Un accès de secours rangé hors du poste quotidien et connu de la direction, permet de reprendre la main si le prestataire change ou devient injoignable.