Cybersecurity Starter Kit: Section 4
Dans cette section, vous apprendrez à :
Votre association à but non lucratif utilise peut-être des dizaines de comptes pour la messagerie électronique, la collecte de fonds, la gestion financière, la communication et la mise en œuvre des programmes. Il est difficile de se souvenir d’un mot de passe différent pour chaque compte. La gestion des droits d’accès à ces comptes constitue un défi supplémentaire.
L'objectif est de faciliter l'utilisation de mots de passe forts et uniques, tout en garantissant le maintien de l'accès aux ressources de l'entreprise en cas d'absence ou de départ d'un collaborateur.
Qu'est-ce qui caractérise un mot de passe efficace ?
Un mot de passe doit :
Unique
À utiliser pour un seul compte, notamment pour séparer les mots de passe professionnels et personnels.
Long
Length helps make a password harder to crack, even for technology used by scammers.
Imprévisible
Évitez les noms, les dates d'anniversaire, le nom de votre organisation, les citations courantes et les astuces telles que le fait de ne modifier que l'année.
La réutilisation d'un mot de passe établit un lien entre des comptes qui, sans cela, seraient indépendants les uns des autres. S'il est divulgué par le biais d'un service, quelqu'un pourrait tenter de l'utiliser sur d'autres. De légères variations, comme l'ajout d'un chiffre différent, peuvent elles aussi être prévisibles.
Pour les mots de passe que vous devez mémoriser, comme celui qui permet d'accéder à votre gestionnaire de mots de passe, une phrase de passe longue composée de mots choisis au hasard et sans rapport entre eux peut s'avérer utile. Pour les autres comptes, un gestionnaire de mots de passe peut générer et stocker des mots de passe longs et aléatoires.
N'utilisez pas les mots de passe ou les phrases de passe présentés à titre d'exemple dans les supports de formation.
Qu'est-ce qu'un gestionnaire de mots de passe ?
Un gestionnaire de mots de passe crée et stocke les mots de passe dans un coffre-fort numérique sécurisé. Vous déverrouillez ce coffre-fort pour récupérer ou saisir le mot de passe d'un compte. Selon l'outil utilisé, celui-ci peut également :
Le Centre canadien de cybersécurité recommande l'utilisation de gestionnaires de mots de passe pour gérer des mots de passe et des phrases de passe uniques.
Un gestionnaire de mots de passe permet d'éviter d'avoir à mémoriser des mots de passe ou à les envoyer par e-mail ou par message. Il regroupe également des informations précieuses en un seul endroit ; il est donc essentiel de protéger ce coffre-fort et de prévoir un plan de récupération.
Faites le choix qui correspond aux besoins de votre organisation
Un outil qui convient à une personne ne répondra pas forcément aux besoins d'une équipe. Avant de choisir un gestionnaire de mots de passe, réfléchissez à la manière dont votre association va l'utiliser.
Est-ce que cela fonctionne sur nos appareils et nos navigateurs ?
Le personnel et les bénévoles ont besoin d'un moyen pratique d'y accéder dans le cadre de leur travail.
Chaque personne peut-elle disposer de son propre identifiant de connexion ?
L'accès individuel facilite la gestion des autorisations et des départs.
Peut-on distinguer les identifiants personnels de ceux de l'entreprise ?
L'accès au sein de l'organisation devrait pouvoir être géré sans compromettre la sécurité des comptes personnels des utilisateurs.
Peut-on ne partager que certaines informations d'identification ?
Chacun devrait avoir accès à ce dont il a besoin pour exercer ses fonctions.
Un administrateur habilité peut-il supprimer un accès et gérer le transfert de fonctions ?
Votre organisation a besoin d'assurer la continuité lorsque des collaborateurs changent de poste ou quittent l'entreprise.
Que se passerait-il si nous changions d'outils ?
Vérifiez si les identifiants peuvent être transférés et comment les exportations sont protégées.
Cet outil fait-il l'objet d'une maintenance active et dispose-t-il d'une documentation claire en matière de sécurité ?
Découvrez comment ce système protège les informations et comment sont gérées les mises à jour et les problèmes de sécurité.
Quelles sont les options disponibles en matière de MFA et de récupération ?
Vous devez protéger le coffre-fort et rétablir l'accès sans dépendre d'une seule personne.
Quelles sont les fonctionnalités incluses, et quelles sont celles qui entraînent un supplément ?
Certaines fonctionnalités liées au partage au sein d'une équipe, à l'administration et à la restauration peuvent nécessiter un abonnement payant.
Conseil
Les outils gratuits peuvent s'avérer utiles, mais assurez-vous que leurs fonctionnalités correspondent à vos besoins. Une formule personnelle gratuite peut ne pas offrir les fonctionnalités de partage ou d'administration dont une association à but non lucratif a besoin. Vérifiez les fonctionnalités avant d'acheter une mise à niveau ou d'accepter une offre groupée.
Et qu'en est-il du gestionnaire de mots de passe intégré au navigateur ?
Les gestionnaires de mots de passe intégrés aux navigateurs et aux appareils peuvent aider les particuliers à créer et à stocker des mots de passe uniques. Leur adéquation à un usage professionnel dépend de leurs fonctionnalités de partage, de gestion des comptes et de récupération.
Vérifiez sur quel compte les mots de passe sont synchronisés. Si les identifiants de l'entreprise sont enregistrés uniquement dans le compte personnel d'un utilisateur sur son navigateur, la passation de pouvoir risque d'être compliquée.
Pensez également à déterminer qui est autorisé à déverrouiller l'appareil ou le profil de navigateur. Sur les ordinateurs partagés, évitez d'enregistrer les mots de passe de l'entreprise dans un profil accessible à d'autres utilisateurs. Pour les appareils publics ou communs, utilisez un mode d'accès approuvé et déconnectez-vous lorsque vous avez terminé.
Protéger le coffre-fort
Considérez le gestionnaire de mots de passe comme un compte important à part entière.
Conservez les informations de récupération en toute sécurité et séparément du coffre-fort qu'elles doivent permettre de déverrouiller. Ne les inscrivez pas dans des feuilles de calcul générales ni dans un document partagé ordinaire.
Un gestionnaire de mots de passe ne rend pas un appareil compromis sûr et n'empêche pas toutes les tentatives d'hameçonnage. Continuez à utiliser des méthodes de connexion fiables et à vérifier les demandes inhabituelles.
Partagez l'accès avec prudence
Lorsqu'un service prend en charge les comptes individuels ou l'accès délégué, privilégiez ces fonctionnalités. Par exemple, un bénévole chargé de la communication peut être en mesure de gérer les réseaux sociaux via son propre identifiant autorisé plutôt que d'utiliser le mot de passe d'une autre personne.
Quand un compte partagé est nécessaire :
Le fait de supprimer un utilisateur d'un coffre-fort partagé n'efface pas les mots de passe qu'il a précédemment consultés ou copiés. Modifiez les identifiants partagés dont il avait connaissance à l'expiration de son autorisation, et examinez les autres moyens d'accès, notamment les applications d'authentification enregistrées et les sessions actives.
Commencez par vous entraîner avec un seul compte
Mettez cet outil en place progressivement afin que les utilisateurs puissent se familiariser avec le processus.
01/
Choisissez un gestionnaire de mots de passe certifié et configurez la protection et la récupération de votre coffre-fort.
04/
Vérifiez que la personne dispose d'un accès depuis tout autre appareil autorisé dont elle a besoin.
02/
Entraînez-vous à enregistrer et à récupérer le mot de passe d'un compte d'entreprise présentant peu de risques.
05/
Passez aux comptes prioritaires de votre liste.
03/
Créez un mot de passe unique et vérifiez que le compte fonctionne avec celui-ci.
Si vous importez des mots de passe existants, n’oubliez pas que les opérations d’importation et d’exportation peuvent générer des fichiers non chiffrés. Suivez les instructions de l’outil, limitez l’accès à ces fichiers et supprimez les copies temporaires après avoir validé le transfert.
Quand faut-il changer ses mots de passe ?
Modifiez un mot de passe lorsqu'il est avéré ou que l'on soupçonne qu'il a été compromis, divulgué par inadvertance ou réutilisé sur un compte victime d'une violation de sécurité. Remplacez les mots de passe par défaut et modifiez les mots de passe partagés dès qu'une personne qui les connaissait n'a plus d'accès autorisé.
Routine changes simply because a set number of days has passed are generally not recommended. They can encourage predictable variations. NIST guidance calls for changes when there is evidence of compromise rather than routine periodic expiry. Follow any applicable requirements your organization must meet.
Si un compte semble avoir été piraté, changer son mot de passe ne constitue qu'une partie de la réponse à apporter. Signalez le problème et vérifiez les accès, les paramètres de récupération et les sessions ouvertes en suivant la procédure d'intervention mise en place par votre organisation.
Une proposition de règle de politique générale
Les comptes organisationnels doivent utiliser des mots de passe uniques. Les identifiants doivent être conservés et, le cas échéant, partagés selon une méthode approuvée. Il convient d'utiliser un accès individuel ou délégué lorsque cela est possible. Les modalités d'accès et de récupération doivent être réexaminées lorsque des personnes changent de fonction ou quittent l'entreprise. Tout soupçon de compromission doit être signalé sans délai.
Avant d'adopter cette règle, déterminez la méthode de stockage et de partage approuvée, qui en assure la gestion et où les personnes peuvent obtenir de l'aide.
Réévaluez la manière dont vous gérez vos mots de passe
Recherchez les mots de passe réutilisés, les identifiants détenus par une seule personne, les mots de passe partagés par message et les identifiants professionnels stockés dans des comptes personnels.
Notez les configurations et les lacunes, mais pas les mots de passe eux-mêmes !
Ce qu'il faut retenir
À la fin de cette section, vous devriez être en mesure de :
- Une méthode validée pour le stockage et le partage des mots de passe au sein de l'organisation.
- Un projet visant à remplacer les mots de passe réutilisés par des mots de passe uniques.
- Mesures de protection et de récupération pour votre gestionnaire de mots de passe.
- Un processus permettant de gérer les droits d'accès et de retirer les autorisations lorsque des personnes quittent l'entreprise.
Vous découvrirez ensuite les mesures de protection intégrées qui contribuent à sécuriser les appareils de votre association, ainsi que la manière de gérer les droits d'accès à ses informations et à ses services.
Section 5 : Assurer la sécurité des appareils et des accès
Pour protéger les appareils de votre association, il faut tout d'abord comprendre les fonctionnalités de sécurité intégrées, leur importance et déterminer qui est chargé de veiller à ce qu'elles soient activées et maintenues.
English 
French 
Chinese 
Spanish 
Ukrainian 