Authentification multifactorielle avec deux appareils.

Protect accounts with multifactor authentication

Cybersecurity Starter Kit: Section 3

Dans cette section, vous apprendrez à :

Découvrez comment l'authentification multifactorielle (MFA) protège vos comptes.
Découvrez les différentes méthodes de MFA et choisissez celles qui conviennent le mieux à votre organisation.
Configurez un système sécurisé de récupération de compte et identifiez les demandes de connexion suspectes.

Les comptes de votre association permettent aux utilisateurs d'accéder à leurs e-mails, à leurs fichiers, à leurs données financières et à des services essentiels.

La protection de ces comptes permet de protéger tout ce qui est accessible par leur intermédiaire.
Un mot de passe fort et unique constitue une mesure de sécurité importante. L'authentification multifactorielle, ou MFA, ajoute un niveau de vérification supplémentaire pour s'assurer que la personne qui se connecte est bien autorisée. Elle peut rendre un mot de passe volé bien moins utile pour quelqu'un qui tenterait d'accéder à votre compte.

Qu'est-ce que le MFA ?

L'authentification multifactorielle (MFA) nécessite au moins deux types de justificatifs différents lors de la connexion :

Quelque chose que tu sais

Un mot de passe ou un code PIN

Ce que tu es

Une empreinte digitale ou la reconnaissance faciale utilisée pour déverrouiller un générateur d'authentification

Quelque chose que tu as

Un téléphone enregistré, une application d'authentification ou une clé de sécurité

Par exemple, vous pouvez saisir votre mot de passe, puis entrer un code généré par une application d'authentification sur votre téléphone. Vous pouvez également rencontrer le terme « authentification à deux facteurs », ou 2FA. Il s'agit d'une authentification multifactorielle (MFA) utilisant deux types de justificatifs. Un mot de passe suivi d'une question de sécurité n'offre pas le même niveau de protection : ces deux éléments reposent en effet sur quelque chose que vous connaissez.

Comment cela se passe-t-il concrètement ?

Un membre du personnel se connecte au compte de messagerie de l'organisation. Après avoir saisi son mot de passe, il lui est demandé de confirmer la connexion via une application d'authentification.
Une personne qui mettrait la main sur ce mot de passe aurait généralement besoin d'une étape d'authentification supplémentaire pour y accéder.
L'authentification multifactorielle (MFA) renforce la protection des comptes, mais certaines méthodes peuvent encore être contournées par le hameçonnage ou en incitant quelqu'un à valider une demande. Continuez à vérifier les demandes inhabituelles, même lorsque l'authentification multifactorielle est activée.

Découvrez les différentes options qui s'offrent à vous

Les options disponibles dépendent du service et des paramètres de votre compte.

téléphone et ordinateur portable avec accès à la banque

SMS ou appel téléphonique

Un code est envoyé sur un numéro de téléphone enregistré.

Offre une protection supplémentaire par rapport à un mot de passe seul, mais reste vulnérable à l'interception et au détournement du numéro de téléphone.

Codes de l'application d'authentification

Une application génère des codes à usage unique que vous devez saisir lors de votre connexion.

Cela ne dépend pas de la réception d'un SMS. Les codes peuvent tout de même être interceptés via une fausse page de connexion.

Messages d'approbation de l'authentificateur

Une application vous demande de valider une connexion, parfois en saisissant un numéro correspondant.

La vérification des numéros est préférable à une simple invite d'acceptation ou de refus. N'approuvez que les connexions que vous avez vous-même lancées.

Clés de sécurité FIDO ou clés d'accès

Une clé de sécurité enregistrée ou une clé d'accès sur un appareil permet de valider la connexion au service.

Conçu pour lutter contre le phishing lors de la connexion. La sécurité du compte dépend toujours de la protection de l'appareil, des modalités de récupération et de toute autre méthode de connexion qui reste activée.

Que signifie “ résistant au phishing ” ?

Les clés d'accès sont associées au service pour lequel elles ont été créées, ce qui permet d'empêcher un site web frauduleux de récupérer des identifiants susceptibles d'être réutilisés sur le site authentique. Il s'agit d'une protection spécifique au processus de connexion.
Cela n'empêche pas une personne d'être amenée à envoyer de l'argent, à divulguer des informations ou à accorder un accès après s'être connectée. Un appareil piraté, une session de connexion volée ou une méthode de récupération de compte peu sécurisée peuvent également compromettre la sécurité du compte.
Lorsque cela est possible et réalisable, les méthodes résistantes au phishing peuvent renforcer la sécurité de la connexion. Si celles-ci ne sont pas encore réalisables, utilisez une méthode d'authentification multifactorielle (MFA) disponible tout en planifiant des améliorations.
Remarque concernant les clés d'accès: Une clé d'accès peut remplacer un mot de passe. Son utilisation peut être autorisée par le code PIN d'un appareil, une empreinte digitale ou la reconnaissance faciale ; ces vérifications ne constituent pas en elles-mêmes la clé d'accès. Avant d'adopter les clés d'accès, vérifiez où elles sont stockées, si elles se synchronisent d'un appareil à l'autre et comment votre organisation procéderait pour rétablir l'accès en cas de perte d'un appareil ou de départ d'un collaborateur.

Commencez par vos comptes les plus importants

Utilisez la liste dressée dans la section 1 pour déterminer par où commencer. Établissez un ordre de priorité :

Courriel, car il reçoit souvent des messages de réinitialisation de mot de passe destinés à d'autres comptes.
Comptes d'administrateur, qui permet de modifier les paramètres et d'accorder des droits d'accès.
Secteur bancaire, les services de gestion de la paie et des paiements.
Stockage en nuage et systèmes contenant des informations sensibles.
Site web, médias sociaux et comptes de collecte de fonds qui pourraient être utilisées pour usurper l'identité de votre organisation.
Vérifiez le compte de chaque utilisateur. Le fait que l'authentification à plusieurs facteurs (MFA) soit activée pour un administrateur ne signifie pas qu'elle l'est pour tout le monde.
Lorsqu'un service le permet, imposez l'authentification multifactorielle (MFA) via des paramètres applicables à l'ensemble de l'organisation, plutôt que de compter uniquement sur les utilisateurs individuels pour l'activer.

Configurez-le en pensant à la récupération

Avant d'activer l'authentification à plusieurs facteurs (MFA), désignez la personne qui sera chargée de coordonner cette mise en place et d'aider les utilisateurs qui rencontreraient des difficultés.

Ouvrez directement le service.

Rendez-vous sur son site officiel ou utilisez son application, puis accédez aux paramètres de sécurité de votre compte.

Choisissez une méthode adaptée.

Tenez compte de l'importance du compte, des options disponibles et des besoins de la personne en matière d'accès.

Enregistrez la méthode et testez-la.

Vérifiez que la personne parvient à se connecter correctement.

Définir un itinéraire de retour.

Selon le service, cela peut impliquer des codes de récupération, un deuxième moyen d'authentification enregistré ou un administrateur autorisé capable de réinitialiser l'authentification multifactorielle (MFA). Protégez ces moyens de récupération, car ils peuvent également permettre d'accéder au compte.

Enregistrez l'arrangement.

Notez quelles méthodes sont activées, qui gère la restauration et où les informations de restauration sont stockées en toute sécurité. Ne mentionnez pas les codes proprement dits dans les feuilles de calcul générales.

Faites en sorte que cela soit pratique pour le personnel et les bénévoles

Discutez des besoins concrets avant de choisir une méthode.

Y a-t-il des personnes qui ne possèdent pas de smartphone ? Les téléphones personnels sont-ils utilisés à des fins professionnelles ? Les employés auront-ils besoin d'y accéder lorsqu'ils sont en déplacement ou hors de la couverture réseau ? Existe-t-il des obstacles à l'accessibilité ?

Envisagez les alternatives prises en charge, telles qu’une clé de sécurité, et vérifiez les coûts éventuels avant de les adopter. De nombreux services intègrent l’authentification multifactorielle (MFA), mais certaines méthodes ou fonctionnalités de gestion à l’échelle de l’entreprise peuvent dépendre du forfait choisi.

Pour l'accès à l'équipe, utilisez dans la mesure du possible des comptes individuels dotés des autorisations appropriées. Évitez les situations dans lesquelles plusieurs personnes dépendent d'une seule et même personne pour leur transmettre des codes ou valider leurs connexions.

En cas d'utilisation de clés d'accès, convenez si celles-ci peuvent être stockées dans des comptes personnels ou si elles doivent être gérées via un service agréé par l'organisation. Assurez-vous que le dispositif mis en place permette de supprimer les droits d'accès et d'assurer la continuité en cas de départ d'un collaborateur.

mains jointes, mise à l'échelle verticale

Savoir comment réagir face à une demande inattendue

N'approuvez que les demandes d'authentification correspondant à une connexion que vous avez vous-même lancée. Si vous n'en êtes pas à l'origine, ne les approuvez pas, même si les demandes continuent d'affluer ou si une personne se présentant comme un membre du service d'assistance vous demande de les accepter.

Si vous recevez une invite ou un code inattendu :

Refusez la demande dans la mesure du possible.

Signalez-le sans tarder à votre interlocuteur attitré.

Accédez directement au service pour consulter l'historique de votre compte et obtenir de l'aide si nécessaire.

Suivez la procédure d'intervention mise en place par votre organisation pour sécuriser le compte.

Une demande inattendue ne signifie pas nécessairement que quelqu'un a accédé au compte, mais elle mérite qu'on s'y intéresse.
Ne communiquez jamais de code de connexion ou de code de récupération à une personne qui vous contacte par téléphone, par e-mail ou par message. Ne saisissez un code que dans le cadre de la procédure de connexion légitime que vous avez vous-même lancée.

Plan concernant les nouveaux téléphones et le départ de certains collaborateurs

Lorsqu'un utilisateur change de téléphone, assurez-vous que la nouvelle méthode d'authentification fonctionne avant de supprimer l'ancienne.
Lorsqu'une personne quitte l'entreprise, transférez-lui les informations organisationnelles et les responsabilités nécessaires, supprimez ses droits d'accès et mettez à jour les dispositifs d'authentification ou de récupération dont elle avait la gestion. Pour les comptes organisationnels partagés, assurez-vous que la personne qui quitte l'entreprise ne puisse plus s'authentifier ni récupérer l'accès. Cela implique notamment de supprimer ses passkeys ou clés de sécurité enregistrées, le cas échéant.
Prévoyez un itinéraire de secours pour l'accès administrateur critique afin que l'organisation puisse se rétablir sans dépendre d'une seule personne.

Une proposition de règle de politique générale

L'authentification à deux facteurs (MFA) doit être activée pour les comptes organisationnels partout où cela est possible, en accordant la priorité aux e-mails, aux accès administrateur, aux services financiers et aux informations sensibles. Les méthodes d'authentification approuvées et les procédures de récupération doivent être documentées et protégées. Les utilisateurs ne doivent pas partager leurs codes de connexion ni approuver des demandes qu'ils n'ont pas initiées. Toute exception doit faire l'objet d'une autorisation, de mesures de protection et d'une date de révision.

Avant d'adopter cette règle, déterminez qui est chargé d'approuver les méthodes, d'aider les utilisateurs et de gérer la reprise des activités.

Activité

Vérifiez vos comptes prioritaires

Notez les paramètres de configuration, et non les mots de passe ni les codes de récupération. Prévoyez des méthodes alternatives de connexion et de récupération afin de pouvoir évaluer le niveau global de protection du compte.

Si l'authentification multifactorielle (MFA) n'est pas disponible, consignez cette limitation et déterminez quelles mesures de sécurité supplémentaires ou quel service alternatif devraient être envisagés.

Télécharger la fiche d'exercices ici

Ce qu'il faut retenir

À la fin de cette section, vous devriez être en mesure de :

Nous avons vérifié que la couverture MFA est bien en place pour vos comptes prioritaires.
A sélectionné les méthodes appropriées et a identifié les obstacles pratiques.
Mise en place de dispositions de reprise après sinistre et de responsabilité en matière de sauvegarde.
Explication de la manière de gérer les demandes d'authentification inattendues.
Il est entendu qu’une protection renforcée lors de la connexion s’ajoute à d’autres mesures de sécurité.

Vous allez ensuite vous intéresser aux gestionnaires de mots de passe, ainsi qu'à la manière de gérer des mots de passe uniques et les accès au sein de l'entreprise.

Texte du mot de passe modifié à l'aide du clavier 1

Section 4 : Faciliter la gestion des mots de passe

Les associations à but non lucratif ont besoin de mots de passe forts et uniques, ainsi que d'une gestion efficace des accès aux comptes, afin de garantir la sécurité des informations et d'assurer la continuité des activités lorsque des membres du personnel sont absents ou quittent l'organisation.

Voir la section 4