Demandez à n'importe quelle personne de votre entreprise combien de mots de passe différents elle utilise. La réponse honnête est “ deux ou trois, avec des variations ”. Le mot de passe de messagerie est similaire à celui du logiciel de gestion, qui est le même que celui du compte personnel d'achats en ligne, qui a été volé lors d'une fuite de données il y a deux ans et est à vendre. C'est ainsi que commence la plupart des attaques contre les PME : non pas avec un génie de l'informatique, mais avec un mot de passe réutilisé. Un gestionnaire de mots de passe résout ce problème à la racine — et c'est l'une des rares mesures de sécurité qui, bien mise en œuvre, simplifie la vie des gens au lieu de la compliquer.
Le problème qu'il résout
Une personne moyenne dans une entreprise a besoin de 30 à 80 identifiants différents : e-mail, logiciel de gestion, portails de fournisseurs, banques, outils en ligne, Wi-Fi, imprimantes, réseaux sociaux de l'entreprise. Personne ne peut mémoriser 80 mots de passe longs et différents. C'est pourquoi elle les réutilise, ou les écrit dans un fichier Excel nommé “ passwords.xlsx ”, ou sur un post-it. Un gestionnaire de mots de passe les stocke tous de manière chiffrée, génère des mots de passe longs et uniques pour chaque service, les remplit automatiquement et les synchronise entre l'ordinateur et le téléphone portable. La personne n'en retient qu'un seul — le mot de passe maître — et utilise l'authentification multifacteur pour le protéger.
Ce qu'un gestionnaire d'entreprise fait de plus qu'un gestionnaire de personnel
- Coffres partagésLe mot de passe du portail des Finances, du compte publicitaire ou du routeur reste dans un coffre-fort de l'équipe, et non dans la tête d'une personne. Quand cette personne part, l'entreprise ne perd pas l'accès.
- Administration centralel'entreprise crée et supprime des utilisateurs, définit des politiques (longueur minimale, MFA obligatoire) et récupère les coffres-forts lorsqu'quelqu'un part ou oublie le mot de passe maître.
- Journal des accèsqui a consulté quel identifiant et quand. Essentiel pour l'audit et pour NIS2.
- Alertes: mots de passe en fracas, réutilisés ou qui sont apparus dans des fuites de données connues.
- Intégration avec Microsoft 365les personnes se connectent au gestionnaire avec le compte de l'entreprise ; la désactivation du compte désactive le gestionnaire.
Critères de choix
Chiffrement de bout en bout (le fournisseur ne peut pas lire vos mots de passe, même s'il le voulait) ; authentification multifacteur obligatoire ; coffres partagés avec des autorisations par groupe ; extension pour les navigateurs et applications pour mobile ; capacité d'administration et de récupération ; journal d'activitéexportable ; siège et serveurs dans l'Union européenne ou garanties équivalentes du RGPD ; et prix par utilisateur prévisible. Les produits d'entreprise consolidés sur le marché remplissent presque tous ces points — la différence réside dans la facilité d'utilisation, qui est ce qui détermine si les gens vont effectivement l'utiliser. Évitez les solutions qui stockent les mots de passe dans un fichier partagé, aussi chiffré soit-il : elles n'ont pas de journal, pas de récupération et ne passent pas à l'échelle.
Mettre en œuvre en trois semaines
- Semaine 1 — Préparer. Choisir le produit, créer l'organisation, connecter à Microsoft 365, définir la politique (MFA obligatoire, longueur minimale 14). Créer les coffres-forts partagés par département et y migrer les mots de passe de l'entreprise qui résident aujourd'hui dans des fichiers et des post-its. Identifier les identifiants d'administration (pare-feu, commutateurs, serveurs, domaines) et les placer dans un coffre-fort restreint à l'informatique.
- Semaine 2 — Pilote. Cinq à dix personnes de départements différents, y compris quelqu'un de la direction. Session de 20 minutes, installation de l'extension et de l'application, importation des mots de passe enregistrés dans le navigateur. Recueillir ce qui a mal tourné.
- Semaine 3 — Tous. Séances de 20 minutes par groupe, avec la règle claire : à partir d'aujourd'hui, les nouveaux mots de passe sont générés par le gestionnaire, et les mots de passe réutilisés sont modifiés au fur et à mesure de leur utilisation. Ne pas obliger à tout changer le premier jour — c'est cela qui provoque la révolte.
Les erreurs qui font échouer
Imposer sans expliquer (les gens contournent ce qu'ils ne comprennent pas) ; ne pas migrer les mots de passe du navigateur (la personne se retrouve avec deux sources et abandonne) ; ne pas avoir de coffres-forts partagés (l'équipe continue d'échanger des mots de passe par e-mail) ; oublier le téléphone portable (la moitié des accès aujourd'hui est mobile) ; et ne pas désactiver le remplissage automatique du navigateur, qui entre en concurrence avec le gestionnaire et est beaucoup moins sûr.
Ce qui change au bout de trois mois
Mots de passe uniques et longs pour tous les nouveaux services, et pour la plupart des anciens. Personne ne connaît le mot de passe de personne — et il n'y en a pas besoin. Le départ d'un collaborateur cesse d'être un risque : le compte est désactivé et les coffres-forts partagés restent avec l'entreprise. Les demandes de “ réinitialisation de mot de passe ” au support chutent drastiquement. Et l'entreprise dispose dès lors d'une réponse concrète à la question de la directive NIS2 et de l'assurance : “ comment gérez-vous les identifiants ? ”.
Où cela s'inscrit-il dans les autres mesures
Le gestionnaire de mots de passe est la deuxième mesure d'identité, après la authentification multifacteurle MFA protège le compte même avec le mot de passe volé ; le gestionnaire fait en sorte que le mot de passe ne soit ni réutilisé ni faible. Ensemble, ils constituent l'étape 1 de Zero Trust pour PME e la base de la politique de mots de passe des sept politiques internes de cybersécurité. Dans nos contrats de cybersécurité gérée La mise en œuvre du gestionnaire et la gestion des coffres d'administration font partie du service.
Foire aux questions
Et si le fournisseur du gestionnaire est attaqué ?
Avec un chiffrement de bout en bout, le fournisseur garde des coffres chiffrés que seule le mot de passe maître de l'utilisateur ouvre. Une fuite expose des fichiers illisibles. C'est pourquoi le mot de passe maître doit être long et la MFA obligatoire.
Le gestionnaire du navigateur (Chrome, Edge) ne suffit-il pas ?
Pour un usage personnel, c'est mieux que rien. Pour une entreprise, il n'y a pas de coffres-forts partagés, d'administration, de journalisation ni de récupération, et l'on reste lié à un navigateur et à un compte personnel.
Et si quelqu'un oublie le mot de passe maître ?
Les gestionnaires d'entreprise disposent d'une récupération administrative : un administrateur désigné peut rétablir l'accès au coffre-fort de la personne. C'est l'une des raisons d'utiliser un produit d'entreprise et non personnel.
Combien coûte-t-il ?
Les produits d'entreprise coûtent, en règle générale, quelques euros par utilisateur et par mois. Comparez cela au coût d'un seul incident d'identifiants volés ou de la perte d'accès au portail des Finances parce que la personne qui avait le mot de passe est partie.
Voulez-vous implémenter un gestionnaire de mots de passe sans révolte ?
Nous choisissons le produit avec vous, nous configurons l'organisation et les coffres, et nous faisons les sessions avec l'équipe. Voyez notre cybersécurité gérée pour les entreprises ou composez le 211 459 950.
