L’authentification en gestion documentaire est le premier contrôle qui sépare l’information de l’organisation des personnes qui ne doivent pas y accéder. C’est pourquoi, lorsque les identifiants d’un utilisateur sont volés ou devinés et que le mot de passe est la seule preuve d’identité, la barrière d’entrée a déjà cédé et tous les contrôles suivants sont exposés.
En bref
- La plupart des accès non autorisés commencent par des identifiants compromis, via le phishing, la réutilisation de mots de passe ou des fuites de données sur d’autres services.
- L’authentification multifacteur ajoute une preuve d’identité supplémentaire et réduit fortement l’effet d’un mot de passe compromis.
- Le RGPD exige des mesures de sécurité adaptées au risque et la directive NIS2 cite expressément l’authentification multifacteur parmi les mesures à envisager par les entités concernées.
- Les facteurs ne se valent pas : les codes par SMS valent mieux que rien, mais les clés physiques et les passkeys offrent une protection bien supérieure contre le phishing.
Pourquoi l’authentification est le point le plus exposé
Une plateforme de gestion documentaire concentre contrats, documentation des intervenants, données personnelles et informations techniques. Pour un attaquant, un seul compte doté de droits étendus peut donc valoir plus que n’importe quelle vulnérabilité technique. De plus, un accès avec des identifiants valides est difficile à détecter, car, à première vue, il ressemble à un utilisateur légitime qui travaille normalement.
Les moyens les plus courants de compromettre des identifiants sont connus : des e-mails de phishing qui imitent des pages de connexion, des mots de passe réutilisés déjà exposés sur d’autres services et des mots de passe faibles qui résistent mal aux tentatives automatisées. Par conséquent, se fier uniquement au mot de passe constitue aujourd’hui un choix à haut risque.
Ce que disent les référentiels
| Référentiel | Ce qu’il établit |
|---|---|
| RGPD, article 32 | Mesures techniques et organisationnelles adaptées au risque pour garantir la confidentialité, l’intégrité et la disponibilité des données personnelles |
| Directive NIS2, article 21 | Inclut, parmi les mesures de gestion des risques, le recours à l’authentification multifacteur ou à l’authentification continue, le cas échéant |
| ISO/IEC 27001 | Prévoit des contrôles d’authentification sécurisée et de gestion des droits d’accès dans le système de management de la sécurité de l’information |
Aucun de ces référentiels n’impose un produit précis. Toutefois, tous exigent que l’organisation démontre avoir choisi des contrôles proportionnés au risque, et l’authentification forte figure, en règle générale, parmi les premiers.
Facteurs d’authentification : Comment les comparer
| Facteur | Avantages | Limites |
|---|---|---|
| Mot de passe | Universel et simple | Vulnérable au phishing, à la réutilisation et aux attaques automatisées |
| Code par SMS | Facile à adopter | Exposé au détournement du numéro de téléphone et au phishing en temps réel |
| Application d’authentification | Ne dépend pas du réseau mobile et est gratuite | Peut encore être contournée par de fausses pages sophistiquées |
| Clé physique ou passkey | Résistante au phishing, car elle vérifie le véritable site | Exige une gestion des appareils et de la récupération |
En général, le choix doit dépendre du profil : les utilisateurs courants peuvent utiliser une application d’authentification, tandis que les administrateurs et les comptes ayant accès à des données sensibles justifient des facteurs résistants au phishing.
Authentification en gestion documentaire : Où l’appliquer
- Utilisateurs internes. Par exemple, les équipes HSE, achats et ressources humaines, qui accèdent aux données personnelles des intervenants.
- Prestataires. Ils déposent et consultent de la documentation, mais le font souvent depuis des appareils que l’organisation ne contrôle pas.
- Administrateurs de la plateforme. Comme ils concentrent les privilèges les plus étendus, ils doivent toujours utiliser le facteur le plus fort disponible.
- Intégrations. Les connexions entre systèmes doivent utiliser des identifiants techniques dédiés, avec des droits minimaux et une rotation périodique.
Mots de passe : Ce qui a changé dans les bonnes pratiques
Pendant des années, les règles relatives aux mots de passe se sont concentrées sur la complexité et le changement fréquent. Cependant, les recommandations de référence actuelles, comme celles du NIST aux États-Unis, privilégient une autre approche : des mots de passe longs, comme des phrases faciles à mémoriser, une vérification par rapport aux listes de mots de passe déjà exposés et un changement uniquement en cas de suspicion de compromission. Ainsi, les utilisateurs cessent de créer des variantes prévisibles du même mot de passe chaque trimestre.
Un gestionnaire de mots de passe permet également d’utiliser des identifiants uniques pour chaque service, ce qui évite qu’une fuite de données sur un autre site ouvre la porte de la plateforme documentaire. En ce sens, la politique de mots de passe et l’authentification multifacteur doivent être pensées ensemble, et non comme des mesures indépendantes.
Authentification et droits d’accès : Les deux faces d’un même contrôle
Authentifier répond à la question « qui est cette personne ? ». En revanche, les droits d’accès répondent à une autre : « que peut voir et faire cette personne ? ». Une authentification forte associée à des droits excessifs reste un risque, car un compte légitime compromis, ou mal utilisé, accède à plus d’informations que nécessaire.
Dans la gestion documentaire des prestataires, par exemple, un prestataire ne doit voir que la documentation de son entreprise et de ses intervenants. De même, un analyste d’un site n’a généralement pas besoin d’accéder aux données d’autres zones géographiques. Le principe du moindre privilège réduit donc l’impact de toute défaillance d’authentification.
Exemple : Un accès non autorisé qui n’a pas eu lieu
Une acheteuse reçoit un e-mail qui imite la page de connexion de la plateforme documentaire et saisit son mot de passe. Quelques heures plus tard, quelqu’un tente de se connecter à son compte depuis un autre pays. Comme le compte exige un second facteur, la tentative échoue et le système enregistre l’événement. Ensuite, l’équipe informatique reçoit l’alerte, impose le changement de mot de passe et confirme qu’aucune donnée n’a été consultée. Sans le second facteur, l’attaquant aurait accédé, sans le moindre obstacle, aux documents de centaines d’intervenants.
Mise en œuvre en cinq étapes
- Inventorier les comptes et les profils. Tout d’abord, identifier qui accède, à quelles informations et avec quels droits.
- Définir la politique par profil. Ensuite, décider quel facteur exiger pour chaque type d’utilisateur.
- Préparer la récupération. De plus, définir comment un utilisateur récupère son accès lorsqu’il perd son téléphone ou sa clé, sans ouvrir de porte dérobée.
- Communiquer et former. Expliquer aux utilisateurs la raison du changement et leur apprendre à reconnaître les tentatives de phishing.
- Surveiller. Enfin, suivre les tentatives échouées, les accès inhabituels et les comptes sans authentification forte.
Authentification des prestataires : Précautions spécifiques
Les prestataires constituent souvent le groupe d’utilisateurs le plus difficile à gérer. D’une part, ils changent fréquemment et travaillent pour plusieurs clients. D’autre part, ils accèdent à la plateforme depuis des ordinateurs et des téléphones que l’organisation ne contrôle pas. Ainsi, quelques précautions font la différence :
- chaque personne de l’entreprise prestataire doit disposer de son propre compte, plutôt que d’un compte partagé par toute l’équipe ;
- le contrat doit obliger le prestataire à signaler immédiatement le départ de collaborateurs disposant d’un accès ;
- les comptes inactifs pendant une période définie doivent être suspendus automatiquement ;
- le processus de récupération d’accès doit confirmer l’identité auprès du responsable de l’entreprise prestataire.
De cette façon, l’organisation garde le contrôle sur les personnes qui accèdent à l’information, même lorsqu’elles ne font pas partie de ses effectifs.
Erreurs courantes
- Exceptions permanentes. Les comptes « temporairement » exemptés d’authentification forte ont tendance à le rester pendant des années.
- Comptes partagés. Chaque personne doit disposer de son propre compte, afin que les accès soient traçables.
- Récupération faible. Un processus de récupération fondé uniquement sur un e-mail annule le bénéfice du second facteur.
- Désactivation tardive. Les comptes des collaborateurs ou prestataires partis doivent être désactivés immédiatement.
Questions fréquentes
L’authentification multifacteur ralentit-elle l’accès ?
Légèrement, au moment de la connexion. Cependant, de nombreuses solutions permettent de faire confiance à un appareil pendant une période définie, ce qui réduit la gêne sans renoncer à la protection.
Est-elle obligatoire pour les prestataires qui utilisent la plateforme ?
Cela dépend de la politique de l’organisation et du risque. Néanmoins, lorsque les prestataires accèdent à des données personnelles ou à une documentation sensible, il est recommandé d’appliquer le même niveau d’exigence qu’aux utilisateurs internes.
Quels indicateurs devons-nous suivre ?
Les plus utiles sont le pourcentage de comptes avec authentification forte, le nombre de tentatives de connexion échouées, les accès depuis des localisations inhabituelles et le délai moyen de désactivation des comptes. Grâce à ces indicateurs, la direction peut vérifier que la politique est effectivement appliquée.
La biométrie est-elle une bonne option ?
Elle peut l’être, surtout lorsqu’elle déverrouille une clé stockée sur l’appareil lui-même, comme c’est le cas des passkeys. Toutefois, les données biométriques sont des données personnelles particulièrement sensibles, de sorte que l’organisation doit privilégier des solutions où ces données ne quittent pas l’appareil de l’utilisateur.
Questions pour la direction générale
- Quel pourcentage des comptes de notre plateforme documentaire utilise l’authentification forte ?
- Les administrateurs utilisent-ils des facteurs résistants au phishing ?
- En combien de temps désactivons-nous les comptes des personnes qui cessent de travailler avec nous ?
Conclusion
En somme, l’authentification en gestion documentaire est un contrôle simple à expliquer et dont l’impact sur le risque est important. Associée à des droits d’accès adaptés et à des journaux d’accès, elle transforme la plateforme documentaire en un référentiel que l’organisation peut protéger et auditer.
L’investissement est faible comparé au coût d’un accès non autorisé à la documentation des intervenants, aux contrats ou aux informations techniques. Ainsi, commencer par les comptes les plus privilégiés puis étendre progressivement à tous les utilisateurs est, en général, la voie la plus rapide pour réduire le risque sans perturber l’activité.
AISP-GEDOC accompagne les entreprises dans la gestion documentaire sur plateformes numériques, y compris la définition des profils, des droits et des règles d’accès.
Sources
- Règlement (UE) 2016/679 (RGPD), EUR-Lex
- Directive (UE) 2022/2555 (NIS2), EUR-Lex
- Centro Nacional de Cibersegurança (CNCS)
Pour aller plus loin : Gestion documentaire : Guide complet pour les entreprises.