Un salarié quitte l’entreprise, mais son compte reste actif pendant des semaines. Un prestataire externe conserve un accès administrateur bien après la fin de sa mission. Ces situations sont banales, et pourtant, elles représentent des failles exploitables en quelques minutes par un attaquant. Sécuriser les accès professionnels ne se résume pas à choisir un bon mot de passe : c’est un ensemble de décisions techniques et organisationnelles qu’un guide du numérique aide à structurer.
Authentification multifacteur : toutes les méthodes ne se valent pas
Vous avez déjà reçu un code par SMS pour valider une connexion. Ce mécanisme s’appelle l’authentification multifacteur (MFA). Le principe est simple : prouver son identité avec au moins deux éléments distincts, par exemple un mot de passe et un code temporaire reçu sur un autre appareil.
Le piège, c’est de croire que tous les dispositifs MFA offrent la même protection. La CNIL a publié en mars 2025 une recommandation qui distingue les clés d’accès (passkeys) de l’authentification multifacteur classique. Une clé d’accès n’est pas automatiquement considérée comme multifacteur. Cette nuance change la manière dont une entreprise évalue les options proposées par ses fournisseurs de logiciels.
Dans son retour d’expérience sur la DGFiP, l’ANSSI va plus loin. Elle souligne qu’un code envoyé par courriel protège peu si la messagerie est accessible avec les mêmes identifiants compromis. Autrement dit, l’indépendance entre les facteurs d’authentification conditionne la robustesse réelle du MFA. Un jeton physique ou une application d’authentification sur un appareil distinct offre une résistance bien supérieure à un simple code par e-mail.
Un guide de sécurité numérique bien conçu aide justement à faire ce tri. Plutôt que de cocher une case « MFA activé », il pousse à vérifier si les deux facteurs sont réellement séparés. Pour approfondir ce type de vérification, le guide du numérique de P U B détaille les étapes concrètes de mise en place adaptées aux PME.
Droits d’accès aux données : le problème ne s’arrête pas à la porte d’entrée
Imaginons un commercial qui accède au CRM de l’entreprise. Il a besoin de consulter ses clients, pas la base entière. Avoir le droit d’entrer dans une application ne signifie pas devoir pouvoir consulter toutes ses données.
Ce principe porte un nom technique : le principe du moindre privilège. Chaque utilisateur ne reçoit que les droits strictement nécessaires à sa fonction. Si un compte est compromis, l’attaquant ne peut accéder qu’à un périmètre limité, pas à l’ensemble du système d’information.
L’ANSSI recommande d’aller au-delà du simple contrôle d’accès en mettant en place des quotas sur les requêtes et les volumes de données échangées. Ces quotas protègent contre un scénario précis : l’extraction massive de données depuis un compte pourtant autorisé. Un salarié (ou un attaquant utilisant son compte) qui tenterait de télécharger la totalité d’une base serait bloqué par ces limites.
Mettre en place une revue régulière des droits
Attribuer des droits ne suffit pas. Il faut les réviser. Un guide de sécurité numérique recommande typiquement de planifier une revue des accès à intervalles fixes. Les points à vérifier lors de cette revue :
- Les comptes des anciens salariés ou prestataires sont-ils désactivés dans les 24 heures suivant la fin de leur contrat ?
- Les droits d’administration sont-ils limités à un nombre restreint de personnes identifiées, avec une traçabilité de chaque action ?
- Les accès temporaires accordés pour un projet ou un dépannage ont-ils été révoqués une fois la mission terminée ?
Un compte oublié est une porte ouverte permanente. La plupart des incidents liés aux accès ne viennent pas d’un piratage sophistiqué, mais d’un oubli de gestion.
Directive NIS 2 et obligations de sécurisation des accès en France
La gestion des accès n’est plus seulement une bonne pratique : elle devient une obligation réglementaire. La directive européenne NIS 2, en cours de transposition en France, élargit le périmètre des entreprises soumises à des exigences de cybersécurité. De nombreuses PME qui n’étaient pas concernées par la première version le seront désormais.
Parmi les mesures attendues, la gestion des identités et des accès figure explicitement dans les exigences de NIS 2. Les entreprises concernées devront démontrer qu’elles ont mis en place des procédures documentées pour contrôler qui accède à quoi, et comment ces accès sont supervisés.
Pour une PME qui découvre ces obligations, un guide de sécurité numérique joue un rôle de traduction. Il transforme des exigences réglementaires abstraites en actions concrètes :
- Cartographier les systèmes d’information et identifier les accès critiques
- Documenter une politique de gestion des mots de passe conforme aux recommandations de l’ANSSI (longueur minimale, renouvellement, interdiction de réutilisation)
- Mettre en place un registre des accès avec horodatage, permettant de reconstituer un incident a posteriori
- Désigner un responsable de la sécurité des systèmes d’information, même à temps partiel
Mots de passe en entreprise : ce que les guides recommandent vraiment
Forcer le changement de mot de passe tous les 90 jours était longtemps considéré comme une bonne pratique. Les recommandations actuelles de l’ANSSI nuancent cette approche. Un changement trop fréquent pousse les utilisateurs à choisir des mots de passe faibles ou à les noter sur un post-it.
Un guide de sécurité numérique actuel recommande plutôt de combiner un mot de passe long (12 caractères minimum) avec un gestionnaire de mots de passe professionnel. Le gestionnaire génère et stocke des mots de passe complexes sans que le salarié ait besoin de les mémoriser.
Former les équipes plutôt que multiplier les contraintes
La technique seule ne protège pas si les utilisateurs ne comprennent pas pourquoi on leur demande ces efforts. Les guides de sécurité numérique les plus efficaces incluent des modules de sensibilisation courts, centrés sur des exemples concrets : un e-mail de phishing reconstitué, une démonstration de la rapidité avec laquelle un mot de passe court se casse.
La sécurisation des accès professionnels repose autant sur les habitudes humaines que sur les outils. Un guide structuré permet de ne pas disperser les efforts : il hiérarchise les risques, indique par où commencer, et donne des critères pour mesurer les progrès. La prochaine étape pour toute entreprise qui n’a pas encore formalisé sa gestion des accès : cartographier ses comptes actifs et vérifier, un par un, s’ils ont encore une raison d’exister.
