Sécurité des mots de passe en entreprise : guide en 2 étapes
Une routine pour petite équipe : mots de passe solides, gestionnaire, comptes partagés, vérification en deux étapes, départs et hameçonnage.
Équipe rabbitclipPublié: 8 min de lecture
En bref
La sécurité des mots de passe en entreprise consiste à protéger chaque compte par son propre mot de passe long, à conserver ces mots de passe dans un gestionnaire, à activer la vérification en deux étapes sur les comptes qui comptent et à fermer rapidement l'accès d'une personne lorsqu'elle quitte l'équipe. Pour une petite équipe, ces quatre habitudes évitent la plupart des prises de contrôle de comptes. Le plus difficile n'est pas la technologie, mais d'amener tout le monde à suivre la routine : les comptes partagés, les mots de passe réutilisés et les anciennes autorisations oubliées représentent l'essentiel du risque réel.
Quand un compte est piraté, vous perdez plus qu'un seul accès. La messagerie, le domaine, l'hébergement, les comptes publicitaires et les réseaux sociaux sont liés, et celui qui entre dans l'un peut réinitialiser les mots de passe des autres. C'est pourquoi l'ordre dans lequel vous protégez les comptes compte lui aussi.
Le générateur de mots de passe de notre site peut produire un mot de passe solide, mais le vrai travail consiste à décider où vivent les mots de passe et qui les détient. Voici une routine qu'une petite équipe peut réellement tenir.
Par où commence la sécurité des mots de passe en entreprise ?
Commencez par dresser la liste des comptes qui sont les véritables clés de l'entreprise. La messagerie de l'entreprise vient en premier, car la plupart des services y envoient leur lien de réinitialisation du mot de passe. Viennent ensuite l'enregistrement du domaine, l'hébergement et le panneau d'administration du site, les comptes publicitaires, les réseaux sociaux, la comptabilité et la banque.
Une fois la liste établie, vérifiez trois choses pour chaque compte : qui le détient, ce qui le protège et s'il existe une seconde étape de vérification. La plupart des entreprises découvrent leur première faille en répondant à ces trois questions.
- Un mot de passe distinct pour chaque compte
- Un mot de passe long plutôt qu'un mot de passe court et compliqué
- Un gestionnaire de mots de passe pour les conserver
- La vérification en deux étapes sur les comptes qui comptent
- Une liste de contrôle qui ferme les accès lorsque quelqu'un part
Comment créer un mot de passe solide ?
Un mot de passe solide a deux qualités : il est long et il n'est utilisé nulle part ailleurs. La longueur vaut mieux qu'une poignée de caractères compliqués. Une longue phrase composée de quelques mots sans lien entre eux est à la fois facile à retenir et difficile à deviner. Les dates de naissance, les noms d'entreprise, les numéros de téléphone et les suites de touches du clavier sont les premières choses que n'importe qui essaierait.
Pour les comptes dont vous n'avez pas besoin de vous souvenir, un long mot de passe aléatoire produit par un gestionnaire ou par le générateur est idéal. N'utilisez jamais le même mot de passe sur deux comptes. Les mots de passe divulgués par un service sont essayés sur d'autres, et un mot de passe réutilisé fonctionne partout où il a été réutilisé.
Pourquoi faut-il un gestionnaire de mots de passe, et comment traiter les comptes partagés ?
Un gestionnaire de mots de passe conserve les mots de passe dans un coffre chiffré, en génère de nouveaux au hasard et les saisit quand vous arrivez sur le bon site. Chacun retient un seul mot de passe maître et le coffre porte le reste. Les gestionnaires conçus pour les équipes proposent aussi des coffres partagés : le mot de passe d'un compte partagé s'y trouve, et non dans une application de messagerie ou un tableur.
Les comptes partagés, c'est-à-dire un identifiant utilisé par plusieurs personnes, doivent être réduits au minimum. Si le service permet de créer des utilisateurs nommés, donnez-en un à chacun : vous voyez qui a fait quoi et quand, et lorsque quelqu'un part, seul son accès se ferme. Sinon, gardez le mot de passe dans le coffre partagé et changez-le chaque fois qu'une personne quitte l'équipe.
L'enregistrement des mots de passe intégré au navigateur vaut mieux que rien, mais un gestionnaire dédié est plus propre pour l'administration d'équipe et le partage. Si le mot de passe maître est oublié, le coffre ne peut pas être ouvert ; décidez donc dès le départ de la méthode de récupération et conservez-la en lieu sûr.
Qu'est-ce que la vérification en deux étapes et quelle méthode choisir ?
La vérification en deux étapes demande une seconde preuve en plus du mot de passe : un code issu d'une application sur le téléphone, une clé de sécurité ou une demande d'approbation. Même si le mot de passe est volé, le second élément reste nécessaire pour accéder au compte.
Les méthodes ne sont pas équivalentes. Un SMS vaut mieux que rien, mais une application d'authentification ou une clé de sécurité physique est généralement considérée comme plus solide. Le choix dépend de ce que le service propose et de ce que l'équipe utilisera réellement.
Lors de la configuration, récupérez toujours les codes de récupération et conservez-les dans une note sécurisée du gestionnaire de mots de passe. Si un téléphone est perdu, ils peuvent être le seul moyen de revenir. Donnez la priorité à la messagerie, au domaine, à l'hébergement, à la publicité et aux comptes financiers.
Comment fermer l'accès d'une personne qui part ?
Fermez l'accès le jour du départ et travaillez à partir d'une liste de contrôle plutôt que de mémoire. Un piège courant : des comptes professionnels ouverts avec l'adresse e-mail privée d'une personne. L'entreprise doit être propriétaire du compte.
Même quand le départ se passe bien, ces étapes ne traduisent pas une défiance envers la personne. Elles existent pour qu'une autorisation oubliée ne devienne pas une porte ouverte plus tard.
- Fermer le compte de messagerie de l'entreprise ou confier sa redirection à quelqu'un d'autre
- Changer les mots de passe des comptes partagés
- Retirer ou transférer les droits d'administration sur l'hébergement, la publicité, les réseaux sociaux et le panneau du site
- Transférer sur un nouvel appareil la vérification en deux étapes liée au téléphone de la personne
- Vérifier que les comptes du domaine, de l'hébergement et des abonnements sont enregistrés au nom de l'entreprise
Comment reconnaître un e-mail d'hameçonnage ?
L'hameçonnage est un message qui vous convainc de saisir votre mot de passe ou un code de vérification sur une fausse page. Il vous presse, affirme que votre compte va être fermé ou qu'un paiement est suspendu, et arrive sous les traits d'une marque connue ou d'un responsable. Un gestionnaire de mots de passe aide aussi ici : il ne remplit un mot de passe que sur l'adresse authentique enregistrée ; s'il ne remplit rien, arrêtez-vous et regardez l'adresse.
Dans le doute, ne cliquez pas sur le lien du message. Rendez-vous sur le service par vos propres favoris ou en tapant l'adresse. Ne communiquez jamais un code de vérification à personne ; les vrais services ne le demandent généralement pas par téléphone ou par message. Si quelqu'un de l'équipe a cliqué sur quelque chose de suspect, facilitez-lui un signalement immédiat plutôt que de le blâmer. La rapidité limite les dégâts.
Quelles erreurs sont courantes, et quels choix sont mauvais ?
Les erreurs courantes sont les suivantes : des mots de passe conservés dans un tableur ou un groupe de discussion, un même mot de passe sur plusieurs comptes, une vérification en deux étapes liée au téléphone d'une seule personne, de sorte que le compte est verrouillé lorsqu'elle part, et des options de récupération qui pointent encore vers une ancienne adresse e-mail ou un ancien numéro.
Certains choix sont aussi mauvais. Les changements de mot de passe réguliers imposés ne sont plus recommandés par de nombreuses directives actuelles, car ils poussent les gens vers de petites modifications prévisibles. Liez plutôt le changement à un événement : quelqu'un part, ou vous soupçonnez une compromission. Une entreprise d'une seule personne n'a peut-être pas besoin d'une formule d'équipe ; un gestionnaire personnel et la vérification en deux étapes peuvent suffire. Une politique stricte que personne ne suit protège moins qu'une routine simple que les gens suivent vraiment.
Pour une petite équipe, la sécurité des mots de passe se résume à quatre étapes : une liste de comptes, un gestionnaire de mots de passe, la vérification en deux étapes et une liste de contrôle pour les départs. Commencez par la messagerie et le domaine, puis passez à la publicité et aux réseaux sociaux. Lors d'un entretien de découverte, rabbitclip peut passer en revue avec vous l'état actuel de vos comptes.
Questions fréquentes
Qu'est-ce que la vérification en deux étapes ?
C'est une méthode de connexion qui demande une seconde preuve en plus du mot de passe, comme un code d'une application d'authentification, une clé de sécurité ou une demande d'approbation. Elle rend l'accès à un compte plus difficile même si le mot de passe est volé.
Un gestionnaire de mots de passe est-il sûr ?
Avec un gestionnaire réputé et un mot de passe maître solide, il est généralement plus sûr que de garder les mots de passe dans un tableur ou un carnet. L'essentiel du risque tient à la qualité de la protection du mot de passe maître.
Quand faut-il changer le mot de passe d'un compte partagé ?
Selon les événements, pas selon le calendrier : quand quelqu'un quitte l'équipe, quand vous soupçonnez que le mot de passe a été exposé ou quand un service que vous utilisez annonce une fuite.
Quelle longueur doit avoir un mot de passe solide ?
Il n'y a pas de chiffre fixe. Il doit être aussi long que le service le permet et n'être utilisé nulle part ailleurs. Une phrase de quelques mots sans lien entre eux, ou un long mot de passe généré au hasard, est un bon début.
