Choisir et déployer un gestionnaire de mots de passe professionnel
Des mots de passe partagés dans un tableur sont un risque. Ce qu’apporte un gestionnaire professionnel, comment le choisir et le déployer dans l’ordre.
Toute PME a des mots de passe partagés : le portail fournisseur, le second accès bancaire, l’hébergeur du site, le registraire du nom de domaine, les réseaux sociaux, le Wi-Fi. Dans beaucoup de bureaux, ils vivent dans un tableur, un carnet au fond d’un tiroir, un fil d’e-mails ou la tête d’une seule personne. Un gestionnaire de mots de passe professionnel remplace tout cela par une solution plus sûre et, bien déployée, plus pratique pour tous. Voici comment en choisir un et le mettre en place sans perturber l’équipe.
Pourquoi les méthodes habituelles échouent
- Les tableurs et documents sont copiés, envoyés par e-mail et synchronisés sur des appareils personnels. Quiconque y a eu accès peut encore en garder une copie, et un attaquant qui entre dans une boîte mail la trouve souvent en quelques minutes.
- Les mots de passe enregistrés dans le navigateur de chacun sont liés à cette personne et à cet ordinateur. Si elle part ou si le portable tombe en panne, l’entreprise peut perdre l’accès, et elle ne voit rien de ce qui y est stocké.
- La réutilisation des mots de passe est le plus grand risque : une fuite sur un site sans rapport peut ouvrir votre messagerie, votre banque ou votre comptabilité.
- Une seule personne qui sait tout est un point de défaillance unique, pour la sécurité comme pour la continuité.
Ce qu’apporte un gestionnaire professionnel
Les gestionnaires personnels sont bons, mais les versions professionnelles ajoutent ce dont une entreprise a besoin :
- Des coffres ou dossiers partagés : la comptabilité voit les accès bancaires et fournisseurs, la personne chargée du marketing voit les réseaux sociaux, et personne ne voit ce dont il n’a pas besoin.
- La propriété de l’entreprise. Les coffres appartiennent à la société, pas à la personne. Quand quelqu’un part, vous retirez son accès et les mots de passe restent chez vous.
- La récupération par un administrateur, pour qu’un mot de passe maître oublié ne bloque pas définitivement un salarié.
- Des rapports sur les mots de passe faibles, réutilisés ou exposés, pour corriger d’abord les pires.
- La connexion avec vos comptes existants dans certains produits, par exemple Microsoft 365, ce qui simplifie les arrivées et les départs.
Bien choisir
Plusieurs produits connus s’adressent aux petites équipes. Plutôt que de choisir sur la seule marque, vérifiez que celui retenu propose des offres entreprise ou équipe avec coffres partagés, l’authentification multifacteur sur le coffre lui-même, des applications pour tous les appareils de vos salariés (téléphones compris), une procédure de récupération de compte claire et un moyen simple d’exporter vos données si vous changez un jour. Demandez comment le fournisseur gère les incidents de sécurité et lisez ce qu’il publie sur le chiffrement des coffres.
Le déploiement, dans l’ordre
- Commencez par la direction et les comptes partagés. Créez le compte de l’entreprise, activez l’authentification multifacteur et préparez les coffres partagés. Transférez d’abord les accès les plus importants : administration de la messagerie, banque, domaine et site web, paie, comptabilité.
- Changez les mots de passe en les transférant. Si un mot de passe a vécu dans un tableur, considérez qu’il a été vu. Le transfert est le bon moment pour le remplacer par un mot de passe long et unique généré par l’outil.
- Intégrez les salariés par petits groupes. Montrez-leur comment installer l’extension du navigateur et l’application mobile, enregistrer un accès et le remplir. Dix minutes d’aide évitent des semaines de résistance.
- Passez ensuite aux accès professionnels de chacun. Encouragez les salariés à importer les mots de passe professionnels enregistrés dans leur navigateur, puis désactivez l’enregistrement des mots de passe du navigateur sur les profils professionnels si votre configuration le permet.
- Supprimez l’ancien tableur, y compris ses copies dans les e-mails et le cloud. Tant qu’il existe, il reste un risque.
Le mot de passe maître et l’authentification multifacteur
Le mot de passe maître est le seul qu’il faut encore retenir : il doit donc être long, et une courte phrase de plusieurs mots sans lien entre eux fonctionne bien. Activez l’authentification multifacteur pour chaque utilisateur, avec une application d’authentification ou une clé de sécurité plutôt que des SMS lorsque c’est possible. Notre page sur la sécurité des mots de passe et des comptes détaille ce point.
Quand quelqu’un part
Avec un gestionnaire, les départs deviennent bien plus simples : vous retirez la personne du compte de l’entreprise et son accès aux coffres partagés s’arrête immédiatement. Changez ensuite les mots de passe partagés qu’elle utilisait souvent, surtout pour la banque et les comptes d’administration, en suivant les étapes de notre guide sur le départ d’un salarié dans Microsoft 365.
De l’aide pour la mise en place
Un gestionnaire de mots de passe est l’une des améliorations de sécurité les plus efficaces pour une petite équipe, et il réduit aussi les blocages et les moments « qui connaît l’identifiant ? ». Si vous souhaitez de l’aide pour le choisir, organiser les coffres et faire adhérer toute l’équipe, cela fait partie des services informatiques gérés que nous proposons aux PME, avec la protection contre les e-mails d’hameçonnage qui cherchent justement à voler ces mots de passe. Appelez le (213) 986-4855.