Comptes et accès

Le poste « comptes et accès » répond à une question : qui peut entrer dans l'informatique de l'entreprise, avec quels droits, et comment le vérifier. Un mot de passe volé ouvre une messagerie, un logiciel comptable ou un partage de fichiers ; c'est souvent la première marche d'une attaque. Trois gestes en réduisent fortement le risque : la double authentification, un mot de passe différent pour chaque service, et des droits limités à ce dont chacun a besoin.

La double authentification, premier geste sur les comptes

L'ANSSI est explicite dans son guide pour les TPE et PME : « Il faut activer une authentification multifacteurs quand elle est proposée par le fournisseur de service (mail, banque, etc.). » Microsoft, dans sa documentation des paramètres de sécurité par défaut, avance que « plus de 99,9 % de ces attaques liées à l’identité sont stoppées en utilisant l’authentification multifacteur et en bloquant l’authentification héritée » ; c'est un chiffre de l'éditeur, cité comme tel.

Le mot de passe reste nécessaire. Cybermalveillance.gouv.fr recommande un mot de passe différent pour chaque service, un gestionnaire de mots de passe pour les retenir, un mot de passe particulièrement robuste pour la messagerie, et le changement des mots de passe par défaut. L'ANSSI détaille ces règles dans ses recommandations relatives à l'authentification multifacteur et aux mots de passe.

Des droits au plus juste, et des comptes qui suivent les personnes

Le guide d'hygiène informatique de l'ANSSI consacre plusieurs de ses 42 mesures aux comptes : disposer d'un inventaire des comptes privilégiés et le tenir à jour (mesure 5), organiser les arrivées, les départs et les changements de fonction (mesure 6), identifier chaque personne et distinguer les rôles utilisateur et administrateur (mesure 8), limiter au strict besoin les droits d'administration sur les postes (mesure 29). Le guide pour les TPE et PME en donne le but : vérifier « qu'aucun accès indu n'est maintenu (ancien employé, ancien prestataire) ».

Ce dernier point concerne aussi l'infogérance elle-même : le compte d'administration qu'utilise le prestataire est un accès privilégié comme un autre. L'entreprise doit savoir qu'il existe, à quoi il donne accès, et garder un accès de secours à ses propres services, comme Microsoft 365, la box ou le NAS.

Comptes et accès : ce que fait le prestataire, ce que garde l'entreprise

Les gestes du poste comptes et accès

Les procédures du poste : activer la double authentification sur les comptes de l'entreprise, déployer un gestionnaire de mots de passe dans l'équipe, faire la revue des comptes et des droits d'accès, fermer les accès au départ d'un salarié et séparer les comptes administrateur des comptes du quotidien. Si un compte est déjà piraté, la fiche réflexe reprendre la main sur un compte de messagerie piraté donne l'ordre des gestes.