Cybersécurité : est-il temps de passer au zero trust ?

L’Anssi a d’ores et déjà mis en garde les entreprises françaises face aux fortes tensions internationales actuelles et publie diverses mesures préventives prioritaires pour contrer d’éventuelles attaques venant de l’est. Parmi ces mesures, l’Anssi préconise un renforcement de l’authentification (usage de deux facteurs d’authentification différents), la mise en place d’un système de supervision des événements journalisés et une sauvegarde hors ligne des données et des applications critiques. L’Anssi conseille aussi d’établir une liste des services critiques de l’entreprise et de créer une organisation de crise adaptée à une cyber attaque, ce dernier point est d’autant plus important qu’il faut aussi comprendre les modes opératoires des attaquants pour déployer des contre-mesures. De par ses propos, l’Anssi s’inscrit pleinement dans cette démarche zero trust qui consiste à un renforcement accru de la sécurité d’accès en continu à toutes les ressources et services internes et externes de l’entreprise en se focalisant sur l’identité de l’utilisateur et des terminaux.

Zero trust répond aux modes de travail actuels

Bien avant la guerre en Ukraine, la crise sanitaire a quelque part été un élément déclencheur dans cette démocratisation du concept zero trust. En effet, durant cette période de télétravail forcé, les entreprises ont, dans l’urgence, mis en place des solutions VPN pour assurer la continuité d’activité en toute sécurité, mais pour Boris Lecoeur, directeur général France chez Cloudflare, si les VPN font bien leur job, ils ne sont plus aujourd’hui adaptés aux modes de travail, d’autant que les applications sont aussi à l’extérieur de l’entreprise notamment dans le cloud. La crise sanitaire a certes accéléré l’adoption des services cloud, mais en contrepartie, elle a aussi accéléré les attaques contre ces mêmes services cloud.

Ne faites confiance à personne !

Comme le définit Nicolas Arpagian, directeur cybersecurity strategy chez Trend Micro, la démarche zero trust, à travers laquelle vous ne faites confiance à rien par défaut, est tout d’abord stratégique : elle conditionne le mode de déploiement des politiques de sécurité. Dans ce concept de zero trust, un travail sur l’évaluation des risques doit être réalisé en continu sur plusieurs points : l’état de sécurité des équipements (PC, terminaux mobiles, serveurs, etc.) et du parc applicatif, le suivi de la gestion des identités des usagers, la nature de la destination, sans oublier les données auxquelles on accède ou celles qu’on télécharge. Dans ce contexte, une analyse fine de la circulation des données en temps réel et du contexte dans lequel elles sont consultées ou partagées par celles et ceux qui ont accès au système d’information est donc essentielle.

Cette démarche zero trust fait tache d’huile partout dans le monde, la NSA, l’agence nationale de la sécurité américaine, est montée au créneau via un rapport publié début mars en soulignant l’importance des principes du zero trust pour assurer la sécurité réseau des entreprises américaines. Le déploiement de serveurs centralisés d'authentification, l’identification des appareils individuels, des techniques de journalisation robustes, l’utilisation de mots de passe sécurisés et fréquemment modifiés, une meilleure configuration des appareils font bien sûr partie des recommandations listées dans ce rapport. Toutes ces préconisations sont transposables à la France et aux recommandations de l’Anssi. 

Le bon équilibre à trouver

Perçue de cette façon, la démarche zero trust donne l’impression que l’entreprise bloque tous les accès « non prioritaires » aux utilisateurs induisant une certaine frustration dans leur liberté de travail. C’est un risque qu’il faut bien mesurer pour ne pas revenir à un modèle s’apparentant à celui de la sécurité périmétrique historique (principe du château fort) qui sévissait jusque dans les années 2010. En effet, selon le porte-parole de Trend Micro, il faut trouver un bon équilibre dans l’exigence de la sécurité, le collaborateur doit toujours se connecter pour profiter des services internes et externes de l’entreprise. 

Sur le terrain, peu d’organisations ont réellement franchi le pas. « Si certaines entreprises sont déjà bien avancées, la majorité d’entre elles veulent savoir par où débuter, ça va prendre du temps car le zero trust est un concept qui regroupe de nombreuses méthodologies et solutions », précise Timothée Brogniart, directeur généra EMEA chez Sectigo. De plus, une politique de zero trust est difficile à mettre en œuvre, toutes les études publiées par les experts et fournisseurs vont dans ce sens dont celle de Fortinet, dévoilée en janvier dernier, qui indique que plus de 80 % des répondants estiment qu'il est complexe de déployer une stratégie zero trust. Et ce, pour diverses raisons : une incapacité à déployer des fonctionnalités clés associées à cette démarche, un manque dans l’identification et l’authentification des utilisateurs et dans la surveillance des utilisateurs en aval de leur authentification, une confusion autour de cette démarche et surtout la pénurie de compétences pour y répondre correctement.

Le zero trust encore loin des préoccupations des TPE et PME

Sur l’approche zero trust, comme le mentionne Jean-Jacques Latour, les TPE et PME sont encore très loin d’être concernées : « Les TPE et PME ne sont pas, pour la grande majorité d’entre elles, arrivées à ce niveau d’approche en termes de sécurité. Leur niveau de sécurisation reste très faible, nous sommes encore dans cette étape d’évangélisation et de sensibilisation… Le zero trust concerne surtout les ETI et les grands comptes. » Les professionnels (PME et collectivités) peuvent toutefois compter sur la plateforme Cybermalveillance pour s’informer et se faire assister. À ce titre, Cybermalveillance a lancé en 2021 deux initiatives dont Alerte Cyber, qui informe les entreprises en cas d’attaques ou de failles de sécurité majeures, et Immunité Cyber pour sensibiliser les collectivités et les élus. D’autre part, les TPE et les PME peuvent bénéficier de prestataires labélisés ExpertCyber et du nouveau service associé securisation.cybermalveillance.gouv.fr qui met en relation cette catégorie d’entreprises vers les 161 prestataires de proximité labelisés en 2021 en France (contre 50 au lancement de la plateforme). Enfin, lors de la présentation de l’état de la menace le 8 mars dernier à la presse, Jean-Jacques Latour, responsable de l’expertise chez Cybermalveillance, a rappelé que la première menace pour les professionnels reste les rançongiciels avec une hausse de 95 % en un an. À ce titre, 1945 demandes d’assistance ont été enregistrées par la plateforme.

Le zero trust ne se résume pas à une solution, mais à un ensemble de méthodologies à mettre en place et des outils appropriés. Bon nombre d’acteurs agissent autour de cette démarche. « Chez Sectigo, de par notre métier d’éditeur de certificat numérique, nous nous posons en quelque sorte comme une brique fondatrice du zero trust », indique Timothée Brogniart, General Manager EMEA chez Sectigo. En effet, l’éditeur simplifie, grâce à sa plateforme agnostique et automatisée de CLM (Certificate Lifecycle Management), la gestion de vie des certificats (privés et publics) qui se comptent par milliers dans les grandes entreprises. De même, Sectigo est présent sur le terrain du passwordless, méthode d’authentification qui, pour se connecter aux VPN, points d’accès WiFi et autres passerelles, remplace les mots de passe par des certificats numériques et vise ainsi à réduire l’exposition aux cyberattaques. En parallèle, les solutions de gestion des identités et des accès (IAM), comme le proposent Okta, Microsoft, IBM, Ping Identity ou encore Wallix au travers de sa plateforme Trustelem, font aussi partie des éléments fondateurs d’une approche zero trust. En effet, garder le contrôle des identités, centraliser l’authentification et contrôler l’accès des employés aux applications sont trois éléments indispensables pour garantir la confiance.

Une supervision en continu grâce aux plateformes XDR

Une initiative zero trust a également besoin de visibilité et de surveillance en continu, il faut toujours vérifier avant de bloquer un accès. Chez Trend Micro, Sophos, Trellix (fusion de McAfee et de FireEye) et bien d’autres éditeurs (comme l’éditeur français HarfangLab et son EDR certifié par l’Anssi), cet aspect se concrétise par leurs plateformes EDR et/ou XDR (Trend Micro Vision One, Trellix XDR ou Sophos InterceptX), l’objectif de ces plateformes est d’avoir une cartographie complète de l’entreprise pour voir ce qu’il s’y passe, et surtout de fournir des informations lisibles et exploitables par les équipes SOC et les RSSI. La lisibilité est primordiale du fait de l’hétérogénéité des environnements et des solutions de sécurité que disposent les entreprises. Techniquement, ces plateformes XDR collectent les données à tous les niveaux (emails, endpoints, serveurs, workloads du cloud et réseaux) et observent leurs interactions, ce qui permet des analyses et une visibilité de premier rang. Ainsi, des événements apparemment bénins s’ils sont considérés seuls deviennent – enrichis d’un contexte – des indicateurs de compromission. Parmi les éléments à surveiller, la messagerie est stratégique car elle reste la porte d’entrée naturelle du ransomware, c’est donc important de l’inclure dans le dispositif. Mais de manière plus générale, c’est bien sûr tout l’environnement qui doit être pris en compte, dont le cloud avec ce contrôle des accès. Toutes ces plateformes EDR et/ou XDR viennent, pour la grande majorité, s’interfacer avec des logiciels SIEM (système de gestion des informations et des événements de sécurité) comme ceux de LogPoint, Splunk, Exabeam ou encore IBM Q-Radar. Ces SIEM offrent même aujourd’hui des capacités XDR pour accroître la surveillance sur toute la surface d'attaque et réduire le délai de détection des menaces. A contrario, dans certains cas, les plateformes XDR, de par leur intelligence embarquée, leur richesse fonctionnelle, leur niveau d’automatisation, leur implémentation plus simple et économique, pourraient remplacer à terme certains SIEM.

L'IA pour aider les entreprises dans leur approche zero trust

Face à des menaces qui combinent des techniques d'ingénierie sophistiquées, il faut en face réagir avec des outils toujours plus intelligents. Pour Jamie Zajac, VP Product Management chez l’éditeur Recorded Future spécialisé dans la threat intelligence, l’IA aide à identifier les modèles anormaux de connexions ou les modèles qui correspondent à des menaces connues. « Lors d’une connexion, il est important de comprendre si l'utilisateur est bien celui qu'il prétend être ou s'il est usurpé par un individu malveillant qui a volé ses informations ou par une identité frauduleuse qui se fait passer pour lui. » Recorded Future vient donc se positionner comme une plateforme intelligente de renseignement (hors du réseau de l’entreprise) qui combine de vastes sources de données dont le dark web. « Les capacités de surveillance du dark web offrent aux entreprises une vision sur des identités volées qui peuvent être utilisées pour déterminer si les informations d'identification d'un employé ont été dérobées et mises en vente sur le dark web. L'utilisation de ces informations permet donc aux entreprises de réagir proactivement pour réinitialiser les mots de passe, réduire les opportunités d'escalade de privilèges et réduire la surface des attaques », indique Jamie Zajac.

Le DevOps, c’est bien la capacité de délivrer rapidement des applications, mais la sécurité est malheureusement souvent négligée par les développeurs et chefs de projet. « Prenons l’exemple de la voiture, est-ce que l’acheteur aurait l’idée d’en acquérir une où l’on installe les freins après ? Bien sûr que non. La sécurité fait donc partie du design de l’application », insiste Davy Adam, consultant expert Cloud, Sécurité et Devops chez WiseBear, et formateur indépendant qui intervenait lors de la table ronde du 16 mars 2022 sur la thématique de la Security by design organisée par le Club de la presse informatique. De ce fait, pour Vincent Barbelin, directeur technique chez Dell Technologies, il existe clairement un lien entre la partie Security by design, DevSecOps et le zero trust. « Quand on pense au DevSecOps, on pense de suite au bug applicatif par lequel une faille se propage, par exemple un collaborateur malveillant, ou rémunéré par un État-nation, qui laisse des portes ouvertes dans le développement de l’application. Dans le secteur militaire ou dans les prisons, on nous demande notamment de garantir que les logiciels déployés ne sont pas ouverts. » Le rôle du zero trust est aussi de protéger le cycle de vie du développement logiciel et de garantir son intégrité. Derrière cela, l’idée est de séparer l’identité de l’autorisation comme le note Davy Adam : « Tu rentres dans le projet, tu prends le rôle, tu en sors, tu n’as plus de rôle. Il n’y a donc pas de permissions résiduelles qui permettraient d’aller faire des choses même sans s’en rendre compte. »

Zero trust pour mieux surveiller les développeurs

Pour Stéphane Brovadan, responsable avant-vente France, Suisse et Afrique chez Bitdefender, le zero trust est effectivement demandé de plus en plus dans cet aspect DevOps notamment pour la remontée des informations de privilèges, des actions pour se prémunir du développeur qui a par exemple quitté l’entreprise en laissant des backdoors ou des trojans. « Cela fait six ans que je suis chez Bitdefender et c’est un sujet dont on ne parlait pas avant, aujourd’hui, c’est l’inverse, la fuite d’informations dans les infrastructures est devenue un sujet d’actualité. » Tous nos interlocuteurs s’accordent à dire que l’humain reste et restera incontrôlable. En complément du zero trust, Antoine Richer, Associate Manager chez Accenture, met aussi en avant le Shift Left dont le but est de pousser davantage les tests opérationnels plus haut dans le cycle de développement : « C’est important d’avoir des activités de sécurité dès le début de la chaine pour ne pas refaire un cycle de développement lors de la découverte d’une vulnérabilité en production. » Pour Sébastien Tarly, directeur technique Cybersécurité/Cloud Infrastructure Services chez Capgemini, le Shift Left permet clairement de donner plus d’autonomie aux développeurs dans leur activité, bref, de faire de la sécurité de manière native.

« Dès 2012, nous souhaitions démontrer qu’un fournisseur de services cloud comme 3DS Outscale était aussi fiable qu’un AWS, d’établir cette confiance envers nos clients et nos partenaires », indique Edouard Camoin, VP Résilience pour 3DS Outscale et ancien RSSI du fournisseur, et d’ajouter : « Le point de départ est comment être sûr que rien ne filtre de la plateforme ? » En 2019, la certification SecNumCloud obtenue par l’Anssi a permis à 3DS Outscale de faire un bond en avant important. « L’Anssi attendait de nous un système 100 % conforme dès le premier audit. Ce référentiel exigeant a accéléré la mise en œuvre de notre stratégie de cybersécurité », constate le porte-parole.

Zero trust dans une approche globale de Security by design

Chez 3DS Outscale, l’approche zero trust où vous ne faites confiance à personne, s’inscrit dans un modèle global de Security by design. « Il y a une démarche d’analyse de risques, de réflexion du fournisseur de ce qui est possible ou pas de faire », précise Edouard Camoin. Techniquement, chez 3DS Outscale, zero trust se traduit par beaucoup de documentation, l’outillage venant surtout en renfort. « Nous parlons d’abord de méthodologies et après nous allons chercher les outils de sécurité adaptés. Par exemple, nous demandons typiquement à nos partenaires éditeurs d’intégrer leurs logiciels à notre plateforme de gestion des identités », explique Edouard Camoin. Autre exemple : le chiffrement en fonction de la typologie des données notamment pour les éditeurs travaillant avec 3DS Outscale, mais qui sont hébergés chez des fournisseurs concurrents, l’objectif étant toujours de ne faire confiance à personne. De manière générale, 3DS Outscale constate que les appels d’offres des clients sont de plus en plus techniques et exigeants en matière de cybersécurité. « Il faut comprendre les besoins même si le risque zéro n’existe pas. Le but est de rendre les attaques très difficiles dès lors que le pirate est entré dans le SI, l’analyse des risques, la surveillance, le zero trust permettent cela, c’est une recherche permanente », souligne Edouard Camoin.

Un plan de recrutement ouvert aussi en région 

Comme tout le monde, la problématique pour 3DS Outscale est surtout de recruter des compétences dans ce domaine, mais plus largement dans la cybersécurité. « Nous disposons d’un programme de formation car les jeunes candidats sortants des écoles ne sont pas forcément bien formés aux risques cyber dans le cloud, nous proposons donc des métiers en alternance. De même nous avons ouvert tout un programme en région pour tous ceux qui ne souhaitent pas travailler en Île-de-France », conclut Edouard Camoin.

Comment définissez-vous l’approche zero trust chez Kyndryl ?

Le zero trut, c’est un utilisateur, une donnée et un accès. Pour résumer, c’est une qualification d’un utilisateur pour qu’il puisse accéder dans de bonnes conditions (via le chiffrement par exemple) à ses données et tout cela dans un univers dynamique. De ce fait, il faut vérifier en continu cet accès et s’assurer que les données soient exploitables. 

Comment démarre-t-on une stratégie zero trust ? Et qu’apporte Kyndryl ?

Kyndryl répond d’abord aux besoins des clients. Déjà dans le contexte actuel très tendu, les clients viennent nous consulter pour mesurer leur niveau de sécurité, est-ce que je suis vulnérable par rapport à un risque ? Ils font également appel à nos services dans un cadre plus réglementaire. Chez Kyndryl, nous avons une équipe dédiée au zero trust et transverse à toute notre organisation. Les clients que nous infogérons, nous les connaissons bien. Nous mettons en place des audits et analysons leur problématique de bout en bout. Pour cela, Kyndryl dispose d’experts dans tous les systèmes (réseau, middleware, etc.), car le zero trust n’est pas uniquement un problème qui doit être traité sous l’angle cyber.  

Quelles sont les préconisations à prendre en compte ? Et existe-t-il un risque de restreindre la liberté de l’utilisateur dans l’entreprise ?

Préalablement, il faut cartographier les flux, les données et les systèmes, et après seulement, nous pouvons voir ce que l’on met en place. Souvent le frein à une stratégie zero trust vient de la donnée et sa valeur, elle peut être classée sensible à un instant t puis non sensible peu de temps après. Il faut prendre en compte cette dynamique dans la gestion des données dans l’entreprise et être en phase avec les équipes liées aux datas. Comme pour la donnée, nous pouvons classifier l’utilisateur suivant son métier et son rôle. Il est possible de mettre en place des privilèges, des comptes, des accès temporaires qui peuvent être facilement révoqués. L’objectif est bien de simplifier la vie des utilisateurs.

La mise en place d’un gestionnaire de mots de passe permet de prévenir et de réduire le risque, tout en augmentant la productivité.

Focus sur cette solution et les bonnes pratiques qui l’accompagnent :

Comprendre le comportement de ses collaborateurs pour limiter les failles :

66% des gens utilisent toujours ou presque le même mot de passe pour leurs comptes. Adopter un gestionnaire de mot de passe permet d’accéder à tous ses comptes grâce à un mot de passe unique. C’est en ce sens que LastPass a déployé sa solution : un seul mot de passe ultra-sécurisé, uniquement connu de l’utilisateur, pour accéder à toutes ses informations, localement encryptées sur sa machine.

De plus, 77% des employés utilisent des applications tierces à celle de l’entreprise. Le shadow IT est une véritable menace pour la sécurité de l’entreprise car les applications et solutions utilisées par les collaborateurs en cachette échappent au contrôle du SI, constituant une brèche dont les pirates profitent pour remonter à d’autres données. Un gestionnaire de mots de passe offre aux employés une localisation sécurisée pour gérer tous leurs identifiants, connus ou non du service informatique, limitant la faille.

Enfin, parmi les fonctionnalités de sécurisation d’un gestionnaire de mot de passe, l’authentification multifacteur est un élément clef. En effet, 30% des fuites de données impliquent les postes de travail des employés. L’authentification multifacteur du poste de travail permet de s’assurer que seuls les employés légitimes peuvent s’authentifier, et ce, même si le poste de travail est piraté.

Encadrer pour gagner en sécurité et productivité :

Selon Forrester, 25% à 40% de l'ensemble des appels à l'assistance sont dus à des problèmes de mot de passe ou à des réinitialisations.

Pour les services IT d’une entreprise, ces questions demandent énormément de temps, surtout au retour des vacances de Noël ou d’été. Faire appel à un gestionnaire de mots de passe permet de s’affranchir de ces problèmes de mot de passe oublié, laissant vos équipes se concentrer sur d’autres enjeux à plus haute valeur ajoutée. LastPass a d’ailleurs mis en place un calculateur de retour sur investissement de la mise en place de sa solution LastPass.

De plus, 53% des entreprises considèrent la surveillance de l’activité utilisateur comme une priorité de leurs fonctionnalités de Gestion des Identités et des Accès. Un bon gestionnaire de mot de passe doit permettre le contrôle centralisé des collaborateurs, tout en offrant la possibilité de moduler l’accès aux informations selon le profil utilisateur.

LastPass offre ainsi un tableau de bord d'administration dans le cloud qui permet le déploiement et la gestion et comporte, entre autres, des stratégies de sécurité configurables, des fonctions d'approvisionnement et de création de rapports. Ces rapports détaillés permettent de surveiller l’activité et de modifier les accès et l’authentification en conséquence.
La granularité des règles de sécurité de LastPass en font une solution très précise, permettant à l’administrateur de s’ajuster au mieux aux besoins et d’attribuer à chaque utilisateur le niveau d'accès adapté pour effectuer son travail

Mettre en place un change management

La mise en place d’un gestionnaire de mot de passe demande de travailler conjointement à son adoption par les utilisateurs. Communication et sensibilisation aux dangers encourus par de mauvais mots de passe sont donc essentiels pour s’assurer que les utilisateurs tirent pleinement parti de la solution et adoptent un comportement sécurisé.

Ainsi, LastPass intègre un plan de communication et programme une ou plusieurs sessions de formation utilisateur lors du déploiement de sa solution, tout en surveillant la progression et le déploiement à travers des chiffres clés. A travers la diffusion de vidéos éducatives et l’envoi de documentation, les utilisateurs de la solution sont plus à même de comprendre son intérêt et de se l’approprier.

Le déploiement technique :

La première étape relève du déploiement technique de la solution, qui consiste à paramétrer l'Active Directory de l’entreprise, à installer l’extension de la solution sur le navigateur et à l’intégrer aux outils de reporting.

Définir ses politiques de sécurité :

Une fois le déploiement technique réalisé, il s’agit de définir les politiques de sécurité à mettre en place. Une solution comme LastPass permet d’offrir deux comptes aux employés de l’entreprise : un professionnel et un destiné aux données privées, comme les numéros de cartes bancaires. En effet, les pirates se servent souvent d’une faille d’accès à compte privé pour accéder aux données d’une entreprise. Empêcher la porosité entre les usages professionnels et privés de l’utilisateur réduit cette faille.

De même, il est possible de paramétrer la sécurité pour empêcher le transfert de documents, tels des contrats ou des plans, du compte professionnel au compte personnel.
LastPass possède plus de 120 règles de sécurité qu’il est possible d’appliquer à la solution, afin de rendre votre politique la plus précise possible.

Paramétrer les accès :

Qui a accès à quoi ? Pour 90% des entreprises, la gestion des accès est capitale dans la mise en place d’une solution de gestion de mots de passe. Par exemple, définir un super-administrateur peut s’avérer judicieux car en cas de départ d’un administrateur de l’entreprise, ses dossiers seraient inaccessibles. Il faut ainsi définir différents groupes d’utilisateurs et d'administrateurs,  sans pour autant leur donner accès à l’intégralité de la console d'administration, mais pour leur permettre d'accéder à des rapports et à des informations de connexion et leur permettre de résoudre certains problèmes.

La mise en place de contrôle par double authentification est également un prérequis. Aujourd’hui, 76 % des personnes interrogées déclarent utiliser la MFA tant pour des raisons personnelles que professionnelles, ce qui représente une augmentation de 10 % en un an.

Enfin, l’entreprise choisit les modalités d’accès à la solution : peut-on y accéder offline ? A quels horaires ? Y a-t-il des lieux où la connexion n’est pas autorisée ?

Favoriser l’adoption :

Mettre en place une politique de change management est essentiel pour favoriser l’adoption à travers des formations et de la sensibilisation. En effet, pour s’approprier la solution et assurer ainsi son efficacité, les utilisateurs doivent prendre conscience de son utilité.

Or, 59% des utilisateurs du web ne changent pas leur mot de passe, même quand celui-ci a été compromis ! Cela demande de lancer un plan de communication pour alerter sur les dangers.
La phase de déploiement de LastPass inclut la création d’outils de formation, comme des vidéos impactantes, ayant pour but d’influencer les employés.

Cette augmentation conséquente du temps passé en ligne rend les entreprises et les individus plus vulnérables que jamais : d’après l’ANSSI, les cyberattaques ont été multipliées par 4 en 2020. Surtout, les types d’attaques ont évolué pour exploiter le grand nombre de personnes qui télétravaillent et qui passent davantage de temps en ligne.

Car les pirates l’ont bien compris :  la faille est avant-tout humaine.
En effet, 85 % des fuites de données impliquent un élément humain (hameçonnage, vol d’identifiants ou erreur humaine) et les cybercriminels exploitent de plus en plus ces vulnérabilités. Plus notre présence numérique se développe, plus la protection de nos données personnelles doit être renforcée.

Le mot de passe est donc un élément capital de la sécurité. Véritable porte d’entrée vers les données les plus précieuses des individus comme des entreprises, c’est pourtant un élément trop souvent négligé au quotidien.

LastPassa mené une enquête sur les comportements en matière de sécurité des mots de passe, interrogeant plus de 3 750 professionnels dans sept pays différents, et les résultats sont inquiétants.

Une réalité alarmante, en dépit d’une sensibilisation élevée

• Bien que 92% des personnes interrogées savent que réutiliser le même mot de passe, ou presque, est une pratique risquée, 85% utilisent toujours le même ou une variante.
• 8% seulement des personnes interrogées disent qu’un mot de passe fort ne doit pas faire référence à des informations personnelles. Cela signifie que les autres utilisent des mots de passe basés sur des informations personnelles, potentiellement accessibles en ligne, comme la date de naissance ou l’adresse. En 2021, 20 % des personnes interrogées ont partagé des photos de leurs animaux de compagnie avec leurs noms sur les réseaux sociaux, noms qu’ils ont ensuite utilisés dans leurs mots de passe !
• 45% des personnes interrogées n’ont pas modifié leurs mots de passe au cours de l’année écoulée, et ce, y compris après une fuite de données…

Pourquoi une telle négligence ?

Pour 68% des personnes interrogées, c’est la peur de les oublier qui les conduit à réutiliser leurs mots de passe.

Et à 36% de considérer que leurs comptes ne présentent pas suffisamment d’intérêt pour les pirates. Il existe une hiérarchisation des domaines à sécuriser : les gens accordent davantage de protection à leurs applications bancaires, données médicales et comptes professionnels, alors même qu’une seule combinaison de nom d’utilisateur et de mot de passe dérobée permet à un pirate d’accéder à de nombreux comptes.

Quelle solution alors ?

La première solution est d’adopter des bonnes pratiques. Il est impératif de considérer tous les identifiants comme des données vulnérables, et de les traiter en conséquence.
Chaque mot de passe doit être unique, composé de combinaisons de caractères dénuées de sens et doit être changé en cas de fuite avérée.
Il faut également veiller à protéger ses comptes sur les réseaux sociaux, car les acteurs malveillants parcourent les profils publics, avares de données de prime abord inoffensives, mais en réalité essentielles pour pirater des comptes.

Toutefois, comme évoqué précédemment, le risque demeure majeur en dépit de la mise en place de bonnes pratiques et de la sensibilisation.
En plus des formations pour éduquer et évangéliser ses collaborateurs, investir dans une solution de gestion des mots de passe permet d’améliorer considérablement l’hygiène et la sécurité des mots de passe d’une entreprise.

LastPass founit donc une solution pour stocker et remplir les mots de passe, les numéros de cartes bancaires et d’autres informations personnelles des entreprises. LastPass est pensé comme un coffre-fort auquel on accède grâce à une clef, le mot de passe maître, que seul l’utilisateur connaît. Seul ce mot de passe permet de déchiffrer les informations. Sans mot de passe, il est impossible de décrypter les données, ce qui fait de LastPass la solution de sécurité idéale pour pallier les problèmes de vulnérabilités liés à la sécurité du mot de passe. L’authentification multifacteur permet d’ajouter une couche de sécurité pour être sûr d’être le seul à pouvoir accéder à ses informations. Enfin, la solution intègre la surveillance du dark web, permettant de savoir si ses informations ont été compromises.