Imaginez qu'un employé reçoit un courriel qui semble provenir d'un service familier. Il suit le lien, entre son nom d'utilisateur et son mot de passe, puis poursuit sa journée.
Le mot de passe se retrouve maintenant entre les mains de quelqu'un d'autre.
Si ce compte n'a aucun second facteur d'authentification, l'attaquant peut avoir tout ce qu'il faut pour se connecter. La MFA change cette équation en exigeant une autre preuve d'identité.
C'est pourquoi la MFA mérite d'être traitée comme un contrôle prioritaire, et non comme une case à cocher au bas d'une liste informatique.
Commencez par les comptes les plus importants
Pour une petite entreprise, « activer la MFA partout » peut sembler simple jusqu'à ce que quelqu'un doive la déployer sur Microsoft 365, Google Workspace, les portails bancaires, les applications infonuagiques, les VPN, les comptes administrateurs et d'autres services.
Le meilleur point de départ est le risque.
L'évaluation Cyber Health d'ORAGROL traite l'authentification multifacteur, les mots de passe et la sécurité de connexion, ainsi que le contrôle d'accès et les permissions comme des domaines d'évaluation distincts, car l'authentification n'est qu'une partie du portrait de l'identité.
Commencez par les comptes qui peuvent causer le plus de dommages s'ils sont compromis :
- les comptes administrateurs
- le courriel de l'entreprise
- l'accès à distance
- les plateformes infonuagiques contenant des renseignements sensibles
- les comptes financiers et liés aux paiements
- les systèmes contenant des renseignements sur les clients ou les employés
Le Centre canadien pour la cybersécurité recommande de prioriser les comptes à haute valeur, y compris les comptes de courriel administratifs et de la haute direction, lors du déploiement de la MFA. Il recommande aussi d'envisager la MFA pour tous les utilisateurs, systèmes, applications et points de terminaison, le cas échéant. [Source : Centre canadien pour la cybersécurité, ITSAP.00.105]
Toutes les formes de MFA ne se valent pas
La MFA est une couche supplémentaire, mais la méthode utilisée compte.
Le Centre canadien pour la cybersécurité recommande des méthodes d'authentification plus robustes, comme les applications d'authentification et les solutions matérielles compatibles FIDO. Il met en garde contre le SMS, moins sécuritaire, qui devrait généralement être réservé aux situations à faible risque. [Source : Centre canadien pour la cybersécurité, ITSAP.00.105]
Pour une PME, la progression pratique est la suivante :
D'abord : activer la MFA pour les comptes importants.
Ensuite : diriger les utilisateurs et systèmes à risque plus élevé vers une authentification plus robuste et résistante à l'hameçonnage, lorsque cela est possible.
Enfin : rendre la politique cohérente plutôt que de laisser la MFA comme un paramètre optionnel que les employés peuvent tranquillement ignorer.
La MFA ne remplace pas un bon contrôle d'accès
Une entreprise peut avoir la MFA activée et tout de même avoir une sécurité d'identité déficiente.
Prenons l'exemple d'un ancien employé dont le compte demeure actif. La MFA peut toujours protéger ce compte, mais l'entreprise n'aurait pas dû laisser ce compte disponible en premier lieu.
C'est pourquoi l'évaluation d'ORAGROL examine aussi le contrôle d'accès et les permissions.
Une révision pratique de l'identité devrait poser les questions suivantes : Des identifiants uniques sont-ils utilisés? La MFA est-elle appliquée? Les privilèges administrateurs sont-ils limités? Les anciens employés sont-ils retirés rapidement? Les comptes partagés sont-ils évités? Les systèmes sensibles sont-ils protégés par une authentification plus robuste? Les permissions d'accès sont-elles révisées lorsque les rôles changent?
La MFA est une barrière. Ce n'est pas une stratégie d'identité complète.
L'erreur de MFA qui coûte la confiance des organisations
Une erreur courante consiste à traiter le déploiement comme un projet purement technologique.
Le Centre canadien pour la cybersécurité recommande spécifiquement de préparer les utilisateurs, d'expliquer pourquoi la MFA est mise en place, de les former à reconnaître la fatigue liée à la MFA ou le harcèlement par demandes répétées (« push-bombing »), et de leur offrir un moyen de signaler des demandes d'authentification suspectes. [Source : Centre canadien pour la cybersécurité, ITSAP.00.105]
C'est important, car les employés font partie du contrôle.
Si quelqu'un reçoit des demandes de MFA répétées et inattendues, la bonne réaction n'est pas d'en approuver une simplement pour faire cesser les notifications. La bonne réaction est de la signaler.
Où ORAGROL examine la MFA
Dans l'évaluation Cyber Health, la MFA n'est pas examinée isolément. Elle s'inscrit aux côtés des catégories suivantes :
- Mots de passe et sécurité de connexion
- Contrôle d'accès et permissions
- Sécurité du courriel
- Travail à distance et appareils personnels
- Sécurité des plateformes infonuagiques
- Sensibilisation et formation des employés en sécurité
- Réponse aux incidents et signalement
Cela donne à une entreprise une question plus utile que « Avons-nous la MFA? » La meilleure question est : Où un identifiant volé donnerait-il encore trop d'accès à un attaquant?