Authentification: Comment les PME protègent leur réseau et leurs données avec 2FA et MFA

L’accès à distance depuis l’extérieur constitue une faille dans le dispositif de sécurité de nombreuses PME en Suisse. De plus en plus de collaborateurs en télétravail, de freelances, de prestataires de services informatiques ou de sous-traitants accèdent au réseau de l’entreprise, aux applications web, aux programmes critiques pour l’entreprise et aux données sensibles. Un mot de passe seul ne suffit plus pour protéger et réglementer l’accès en toute sécurité. Même s’il est très complexe. Avec une authentification à deux facteurs (2FA) ou une authentification multi-facteurs (MFA), les petites et moyennes entreprises peuvent fortement améliorer la sécurité de leurs données et de leurs systèmes avec relativement peu d’efforts.

Chaque processus de connexion peut être divisé en trois étapes: 

1. Connexion: l’utilisateur s’identifie avec son nom d’utilisateur et son mot de passe et se connecte – c’est l’identification.
2. Vérification: le système vérifie toutes les données de l’utilisateur et les compare avec les entrées de la base de données – c’est l’authentification.
3. Autorisation: le système autorise l’accès si les données sont correctes et accorde à l’utilisateur ses droits basés sur les rôles – c’est l’autorisation.

 

Avec l’authentification à deux facteurs, l’utilisateur doit s’authentifier avec deux facteurs. En général, avec son mot de passe et un autre facteur. Il peut s’agir par exemple d’un code que le système envoie par SMS au smartphone enregistré après la saisie correcte du mot de passe. Il existe d’autres facteurs, par exemple une application d’authentification, son empreinte digitale, une clé token USB, une Smartcard ou un certificat client sur son ordinateur portable.

Avec l’authentification multi-facteurs, l’utilisateur doit s’authentifier selon ce principe avec au moins deux facteurs:

• Quelque chose que seul l’utilisateur connaît, par exemple son mot de passe personnel.
• Quelque chose que seul l’utilisateur possède, par exemple son smartphone ou sa clé token USB.
• Quelque chose que seul l’utilisateur a ou est, par exemple son empreinte digitale (Touch ID) ou son visage (Face ID).

Quelle que soit la protection de l’accès, par 2FA ou MFA: le système ne permet l’accès que lorsque tous les facteurs ont été correctement authentifiés.

• Sécurité: 2FA et MFA réduisent considérablement le risque d’accès non autorisé et de violation de la protection des données, car les cybercriminels doivent forcer au moins deux verrous. Même s’ils trouvent le mot de passe par hameçonnage, ils ne peuvent accéder ni au système ni aux données, car il leur manque par exemple le smartphone ou l’empreinte digitale.
• Compliance: de plus en plus de secteurs doivent respecter des normes de sécurité strictes, telles que des mesures d’authentification fortes. Les entreprises qui répondent à ces exigences évitent les conséquences juridiques et renforcent en même temps la confiance des clients et des partenaires.
• Coûts: en introduisant 2FA ou MFA pour tous les comptes d’utilisateurs, les PME évitent des pertes, des interruptions d’activité coûteuses, des opérations de récupération de systèmes et de données onéreuses ainsi que des dommages sur leur réputation non chiffrables qui peuvent même mettre leur existence en danger.

Le déploiement de MFA ou 2FA doit être soigneusement planifié et exécuté afin d’intégrer l’authentification de manière transparente et de protéger efficacement le réseau de l’entreprise. Les PME qui ne disposent pas ou pas suffisamment de ressources informatiques ont intérêt à faire appel à des spécialistes. Par exemple, leur prestataire de services informatiques pour les accès à distance au réseau de l’entreprise ou leur hébergeur web ou un programmeur pour les accès à la boutique en ligne. Il est judicieux de protéger les points d’accès suivants par MFA ou 2FA:

• Accès à distance aux données sensibles et critiques de l’entreprise, par exemple aux e-mails
• Accès à l’Intranet via le réseau privé virtuel (VPN)
• Accès à des solutions ou applications web ou cloud
• Accès aux composants Infrastructure as a Service (Iaas) et Software as a Service (SaaS) 
• Composants de réseau et systèmes de contrôle connectés à Internet

L’authentification MFA ou 2FA devrait être mise en œuvre pour l’ensemble de l’entreprise, et pas seulement pour les collaborateurs. C’est-à-dire de manière continue pour tous les utilisateurs: des collaborateurs aux prestataires externes et aux prestataires de services, en passant par la direction, le personnel informatique et les administrateurs. Ce n’est qu’à cette condition que l’infrastructure informatique et les données critiques de l’entreprise sont réellement sûres et protégées. En principe, il ne devrait pas y avoir d’exceptions et l’authentification multi-facteurs devrait être imposée à tous les utilisateurs et aux accès à distance. Les exceptions justifiées à cette règle doivent être documentées et limitées dans le temps. Tous les collaborateurs devraient être formés en conséquence pendant l’introduction de 2FA/MFA et savoir comment fonctionne la saisie du deuxième et peut-être du troisième facteur et dans quelles situations ces facteurs sont demandés.

Pour les PME, nous proposons entre autres des contrôles de sécurité et des évaluations de sécurité qui mettent en évidence les failles telles que l’absence de 2FA ou de MFA. De telles failles de sécurité doivent être comblées immédiatement. Par le responsable de la sécurité de la PME, par le service informatique ou par un prestataire de services informatiques externe si le support est externalisé. Zurich Resilience Solutions effectue 60’000 évaluations des risques payantes par an. Entre autres, pour les PME qui veulent savoir à quel point leur infrastructure informatique, leurs applications critiques et leurs données sensibles sont en sécurité.

• Cyberassurance pour les PME en Suisse
  
• Un piratage informatique menace l’existence même de l’entreprise
• Plan B: plan de continuité des activités pour les PME
• Office fédéral de la cybersécurité OFCS: page d’accueil
• Office fédéral de la cybersécurité OFCS: S-U-P-E-R.ch – Double protection pour vos accès
• Microsoft: configuration de l’authentification multifactorielle pour Microsoft 365