Dans un fichier de tableur sur le serveur, dans un carnet au bureau de la direction, et dans d'anciens messages jamais supprimés. C'est la situation de la très grande majorité des PME, et elle n'a rien d'exceptionnel.
Le problème n'est pas que ces pratiques existent, c'est qu'elles coexistent. Personne ne sait plus quelle version est à jour, ni combien de personnes détiennent quoi, et le départ d'un collaborateur laisse une incertitude que rien ne permet de lever.
Les endroits où les secrets se cachent réellement
Le fichier de tableur partagé arrive en tête. Il est pratique, il fonctionne, et il est lisible par toute personne ayant accès au dossier, ce qui inclut souvent bien plus de monde que prévu.
Les messages viennent ensuite. Un identifiant transmis par messagerie il y a trois ans reste dans les boîtes de l'expéditeur et du destinataire, indéfiniment, et sera lu par quiconque compromettra l'une des deux.
Les mots de passe enregistrés dans les navigateurs constituent un troisième réservoir, rarement considéré comme tel, et accessible à tout code qui s'exécute sur la session de l'utilisateur.
Les fichiers de configuration des serveurs et des applications, enfin, contiennent fréquemment des identifiants en clair, notamment pour les comptes de service qui font tourner une sauvegarde ou une interface entre deux logiciels.
Ce que change un coffre-fort d'entreprise
Un gestionnaire de mots de passe professionnel résout plusieurs problèmes d'un seul geste, et c'est probablement la mesure la plus rentable qu'une PME puisse engager sur ce sujet.
Il permet de partager l'usage d'un compte sans divulguer le mot de passe, ce qui règle la question des accès communs, portail du fournisseur d'énergie, plateforme de dématérialisation, compte de la mutuelle.
Il permet de retirer un accès instantanément lors d'un départ, sans avoir à changer tous les mots de passe que la personne pouvait connaître.
Il permet enfin de savoir qui a consulté quoi, ce qui rétablit une traçabilité aujourd'hui inexistante.
Le déploiement prend une journée dans une PME, dont l'essentiel consiste à recenser ce qui existe plutôt qu'à installer l'outil.
Le compte principal, à protéger sérieusement
Concentrer tous les secrets dans un seul outil déplace le risque vers lui. Deux précautions suffisent à traiter ce point.
Le second facteur d'authentification sur le compte principal, sans exception. Et une procédure de récupération d'urgence, conservée hors ligne, permettant d'accéder au coffre si la personne qui l'administre est indisponible.
Cette procédure de secours est le point le plus souvent négligé, et c'est celui qui se paie le jour d'un accident ou d'un départ conflictuel.
Les secrets qui ne sont pas des mots de passe
Une PME détient d'autres secrets techniques qui méritent le même traitement. Les clés d'accès aux interfaces de programmation, utilisées par vos applications pour dialoguer entre elles. Les certificats et leurs clés privées. Les codes d'accès physiques, portes, alarme, coffre.
Ces éléments sont rarement inventoriés et presque jamais renouvelés. Une clé d'accès créée pour un projet il y a quatre ans reste valide indéfiniment, y compris après le départ du prestataire qui l'utilisait.
Ce qui déclenche un changement
Le changement de mot de passe ne se déclenche pas sur calendrier, cette pratique étant abandonnée par l'ANSSI comme par les référentiels internationaux, mais sur événement.
Trois situations l'imposent. Le départ d'une personne qui connaissait un secret partagé. La fin d'un contrat de prestation. Et toute suspicion de compromission, y compris la découverte d'une fuite touchant un service que vous utilisez.
Sans coffre, retrouver l'ensemble des secrets qu'une personne connaissait est impossible, ce qui rend ces trois règles inapplicables. C'est l'argument le plus concret en faveur de la centralisation.
Les identifiants d'usine
Les équipements réseau, les caméras, les imprimantes, les onduleurs et les automates arrivent avec des identifiants documentés publiquement par le constructeur. Beaucoup ne sont jamais changés, parce que personne ne considère ces matériels comme des systèmes informatiques.
Leur recensement et le changement de leurs identifiants figurent parmi les actions les plus rentables d'un premier chantier, et les nouveaux mots de passe ont naturellement leur place dans le coffre.
Ce qui suffit dans une petite structure
Une revue annuelle convient, à condition d'être réellement faite. Elle consiste à vérifier que les secrets partagés sont bien dans le coffre et non ailleurs, que les accès au coffre correspondent aux personnes présentes, et que la procédure de récupération d'urgence fonctionne toujours.
Les départs et les fins de contrat se traitent en revanche immédiatement.
Questions fréquentes
Un fichier protégé par mot de passe suffit-il ?
Non. Les protections des suites bureautiques courantes se contournent avec des outils accessibles à tous, et le fichier reste copiable par toute personne ayant accès au dossier. Il n'offre par ailleurs aucune traçabilité et aucun moyen de retirer un accès. Un coffre-fort d'entreprise traite ces trois limites.
N'est-il pas risqué de tout centraliser au même endroit ?
Le risque existe mais il est très inférieur à celui de la dispersion actuelle, où les mêmes secrets circulent par messagerie et dans des fichiers partagés. Protégez le compte principal par un second facteur et conservez hors ligne une procédure de récupération d'urgence accessible à plus d'une personne.
Que faire des mots de passe enregistrés dans les navigateurs ?
Les migrer vers le coffre puis les supprimer du navigateur. Les gestionnaires intégrés aux navigateurs sont accessibles à tout code s'exécutant sur la session de l'utilisateur, et ils ne permettent ni le partage maîtrisé ni la révocation lors d'un départ. La migration se fait par export puis import en quelques minutes.
Faut-il changer tous les mots de passe après un départ ?
Seulement ceux que la personne connaissait, ce qui suppose de le savoir. Avec un coffre, la liste est immédiate et le retrait de son accès suffit dans la plupart des cas, seuls les secrets partagés devant être renouvelés. Sans coffre, l'incertitude oblige soit à tout changer, soit à ne rien faire, et c'est généralement la seconde option qui l'emporte.