Mi-décembre, le magazine Solutions-Numériques a évoqué avec les invités de sa « Table Ronde de la Rédaction » le casse-tête que pose aux DSI la gestion centralisée des identifiants, s’ils n’utilisent pas de coffre-fort virtuel par exemple, surtout en période de télétravail massif et d’utilisation régulière d’applications dans le Cloud par les collaborateurs confinés.
Un vrai défi car les usurpations d’identité et les vols de mots de passe se sont multipliés en 2020 durant les confinements successifs. D’ailleurs, si vous n’avez pas encore optimisé leur gestion, et si votre meilleur mot de passe est toujours votre date de naissance, l’actualité récente nous montre qu’il serait temps d’en changer…
300 000 identifiants d’utilisateurs Spotify volés !
Par exemple, nous avons appris en décembre que la compagnie Air France-KLM avait renouvelé massivement tous ses mots de passe suite à un risque élevé de cyberattaque. Dans le même registre, des experts du cabinet VPNMentor ont révélé cet été que des hackers avaient volé 72 Go de données provenant de 300 000 utilisateurs Spotify, dont au moins 47 000 Français ! Tous leurs noms, mots de passe et e-mails sont en vente sur le Darknet. Idem pour les identifiants Microsoft Office 365 volés à des centaines de dirigeants d’entreprises.
Pourquoi faut-il utiliser au moins un coffre-fort virtuel pour gérer ses identifiants ?
Et ce n’est pas fini. Les experts de notre Table Ronde de la Rédaction estiment que la multiplication des vols d’identifiants en 2020, grâce au télétravail massif et au cloud notamment, montre que ceux-ci pourraient encore augmenter en 2021. D’où l’importance pour les DSI d’utiliser, sans tarder, un coffre-fort virtuel et/ou des dispositifs du type SSO (Single Sign-on) ou MFA (authentification multifactorielle) pour stocker et administrer de manière sécurisée les identifiants de tous les collaborateurs. Nos experts reconnaissent tous l’importance de disposer, au final, d’une vue globale afin d’administrer de manière centralisée, et proactive, les différents niveaux d’accès aux applications de l’entreprise, qu’elles soient sur site ou dans le cloud.
Le recours au télétravail massif durant la crise sanitaire a augmenté la surface d’attaque des entreprises
La seule chose sous contrôle pour la DSI avant les confinements successifs était qu’elle pouvait contrôler les accès au SI des collaborateurs, car ils travaillaient quasiment tous sur site. La donne a changé, en matière de cybersécurité notamment, avec le développement massif du télétravail dès le printemps 2020, comme le souligne Timoléon Tilmant, CISO & DPO de Wavestone, un cabinet d’analyse spécialisé en cyber sécurité : « Cela s’est surtout vu lors de la première vague de confinement, qui a augmenté la surface d’attaque des entreprises, et surtout de celles qui n’étaient pas ou mal préparées au télétravail de grande ampleur. En effet, elles ont dû laisser leurs collaborateurs utiliser leurs PC ou tablettes personnelles, qui sont des équipements IT plus vulnérables aux attaques malveillantes car leurs données ne sont pas chiffrées et ils n’utilisent pas forcément les bons systèmes de cyber protection ».
Un avis partagé par Patrick Brennan, le directeur Channel de LogMeIn, l’éditeur de la solution de coffre-virtuel LastPass, qui nous explique pourquoi : « Au printemps, c’était panique à bord dans les entreprises car le télétravail s’est généralisé (à leur insu) dès le premier confinement. La priorité des équipes IT était alors d’assurer la continuité de service. Mais durant l’été, elles se sont davantage organisées car elles se sont rendu compte que la situation n’était pas temporaire. Le télétravail allait se transformer en travail hybride de longue durée, augmentant de fait la surface d’attaque de l’entreprise via ses collaborateurs en télétravail. Heureusement, nous avons constaté à la rentrée que les entreprises avaient compris la portée du risque et qu’elles mettaient en place des solutions comme Last Pass pour bien gérer leurs identifiants ».
L’utilisation accrue des applications dans le Cloud et du Shadow IT a aggravé la vulnérabilité des entreprises
L’utilisation accrue des applications dans le Cloud est l’autre facteur qui a aggravé la vulnérabilité des entreprises aux cyber attaques et aux vols d’identifiants. D’autant que les collaborateurs confinés ont acheté ou utilisé bien davantage d’applications en mode Saas (Zoom, Amazon, etc.), sans parfois en informer la DSI. Il va sans dire que ce « shadow IT » complexifie la gestion par les responsables informatiques des identifiants et des mots de passe dans le Cloud, hybride de surcroît.
Une situation que confirme Alain Bouillé, délégué général du CESIN (Club des Experts de la Sécurité de l’Information et du Numérique) : « Le sujet du mot de passe est aussi vieux que l’informatique, mais l’explosion du Cloud et l’achat lors du télétravail d’applications qui l’utilisent a fait ressurgir la problématique des mots de passe que l’on croyait avoir en partie réglée avec le SSO. On était un peu revenu à la case départ durant les confinements… La gestion des identifiants est donc redevenue une fois de plus d’actualité ».
Une solution de coffre-fort facile est-elle facile à déployer ?
L’utilisation ou le déploiement d’un coffre-fort virtuel pour stocker et administrer ces identifiants est-elle compliquée ? Non nous répond Timoléon Tilmant, qui souligne que « déployer une solution de coffre-fort, comme LastPass par exemple, est très rapide et qu’elle est simple à utiliser. Mais cela nécessite un peu plus de temps pour que les collaborateurs entrent des mots de passe plus complexes. Nous constatons que ces coffres-forts simplifient la vie des utilisateurs, et c’est tant mieux, car ils ont souvent une mauvaise image de la sécurité en entreprise. Au final, l’entreprise gagne en sécurité car ils seront alors plus enclins à utiliser ses systèmes de sécurité ».
Oui répond un utilisateur satisfait
La rédaction avait invité lors de sa table-ronde un utilisateur satisfait, Abbakan. Ce grossiste IT français spécialisé en cybersécurité, une filiale d’Ingram Micro, utilise non seulement la solution LastPass de LogMeIn, mais il la commercialise également. Stéphane Cozette, avant-vente d’Abbakan, confirme la simplicité de déploiement et d’utilisation de son coffre-fort : « La console d’administration de LastPass permet à l’équipe IT d’avoir un contrôle total sur la mise en œuvre et le déploiement de ces solutions de gestion des identifiants. C’est un vrai bonheur à utiliser. Nous ne pourrions plus nous en passer je crois ».
Découvrez-en davantage grâce à nos experts du Cesin, de Wavestone, de LogMeIn et d’Abbakan en regardant le replay de cette « Table Ronde de la Rédaction » de Solutions-Numériques et Solutions Channel consacrée à la gestion optimisée des identifiants et des mots de passe.
(https://www.solutions-numeriques.com/webinar/le-casse-tete-de-la-gestion-des-mots-de-passe-et-de-lauthentification/)
Vous y apprendrez encore :
Comment faciliter l’adoption de bonnes pratiques de gestion des mots de passe ?
Comment prendre en compte cet environnement de travail hybride ?
Quelles technologies utiliser ?
Merci à nos experts :
Timoléon Tilmant, CISO & DPO de Wavestone
Alain Bouillé, délégué général du CESIN
Patrick Brennan, directeur Channel de LogMeIn
Stéphane Cozette, avant-vente d’Abbakan (Groupe Ingram Micro)
Olivier Bellin, rédacteur en chef de Solutions Channel.
