Les plateformes basées sur le cloud, les intranets et extranets, les systèmes de comptabilité ou de ressources humaines ne sont que quelques-unes des ressources que les organisations belges utilisent dans leurs opérations quotidiennes. En outre, les médias sociaux, les banques, les e-mails, les applications et les sites Web sont autant de comptes que les collaborateurs utilisent dans leur vie quotidienne via des appareils contenant des données de l'organisation. Chacun de ces comptes requiert un mot de passe pour y accéder.
Respectez toujours la politique de mots de passe, la politique d'utilisation acceptable et la politique de classification des données de votre organisation afin de garantir un niveau suffisant et cohérent de cybersécurité.
Un ensemble de modèles de documents de référence est à votre disposition pour assurer une mise en œuvre rapide et harmonieuse des politiques de cybersécurité au sein de votre organisation. Vous pouvez accéder à ces modèles en suivant ce lien.
La longueur, un gage de sécurité. Les mots de passe longs sont plus efficaces car ils sont plus difficiles à cracker pour les cybercriminels étant donné les nombreuses combinaisons de caractères possibles. Les mots de passe doivent au minimum compter 12 caractères, combinant des minuscules, des majuscules, des chiffres et des symboles afin d’en augmenter la complexité.
L’utilisation d'une phrase « mot de passe » est une technique efficace pour obtenir un mot de passe fort., p. ex. « Alice est à la plage à Ostende ». Découpez les différents noms et gardez la quantité de lettres recommandée, par exemple : « Ae et à la pe à Oe ». Consolidez encore ce mot de passe en ajoutant ou en remplaçant certaines lettres par des chiffres et/ou des symboles, p. ex. remplacer un « e » par le chiffre « 3 » et un a par le chiffre « 5 ». Utilisez tous les chiffres et symboles que vous voulez mais assurez-vous de retenir la séquence finale.
Dès lors qu’un mot de passe est créé, il est strictement personnel et ne peut en aucun cas être partagé. Il faut redoubler de prudence lorsqu’il s'agit de mots de passe professionnels. Par exemple, ne demandez jamais à un collègue de se connecter à votre place.
Les cybercriminels peuvent utiliser des techniques de phishing ou pirater un site web pour voler des mots de passe et accéder à des informations personnelles, ou encore vendre les données d'identification divulguées sur le dark web. En brandissant ces informations volées, leur objectif est de provoquer des dommages, soit en volant de l'argent, soit en utilisant des informations sensibles pour obtenir des services non désirés et/ou illégaux. Une fois en possession d'un seul mot de passe, ils essaieront de l'utiliser sur d'autres comptes également pour voir s'ils peuvent accéder à davantage de services et causer encore plus de dommages, ou ils essaieront d’évoluer dans le réseau de l'organisation pour accéder à davantage d'informations. Il est alors très important de contenir le risque de compromission de comptes multiples en utilisant des mots de passe différents pour des comptes différents.
Ne jamais utiliser le même mot de passe pour différents comptes. Cela permettra de limiter les dommages en cas de problème.
L’authentification multifacteurs est une méthode fiable pour consolider l’utilisation des mots de passe. Elle sous-entend le recours à plusieurs moyens - facteurs - pour prouver que vous êtes bien celui que vous prétendez être et que vous pouvez accéder à votre compte.
Ces facteurs peuvent être les suivants :
L'authentification multifacteurs exige la combinaison d'au moins deux de ces facteurs pour vous permettre d'accéder à un compte. Par exemple, l’utilisation d'un mot de passe et un code envoyé par sms sur votre téléphone mobile. Par ailleurs, l'authentification multifacteurs peut passer par l’utilisation d’une application de vérification. Par exemple, itsme® est une application belge gratuite permettant à tout résident de prouver son identité ou de confirmer des transactions de manière sûre, facile et fiable. L’on peut aussi utiliser d'autres apps d'authentification connues comme : Google Authenticator, Microsoft Authenticator, ou Authy.
Les services les plus couramment utilisés proposent une forme de vérification en deux étapes et disposent d'une page d'instructions concises. Vous retrouverez tous ces services et instructions sur le site suivant https://www.safeonweb.be/fr/lauthentification-deux-facteurs-comment-faire.
Bien qu'il ne s'agisse pas d'une solution miracle, cela demandera aux assaillants de redoubler d’efforts pour vous compromettre, vous ou votre organisation. Le plus souvent, cela pourrait suffire à dissuader tout assaillant opportuniste.
En prévoyant des mots de passe différents et forts pour vos différents comptes, vous contribuez à la protection de vos informations. Cependant, dans la vie quotidienne, les gens utilisent de nombreux comptes différents et il peut s'avérer assez difficile de se souvenir du mot de passe propre à chacun d'eux. Cela ne signifie pas qu'ils doivent utiliser le même mot de passe pour tous les comptes et accepter le risque d'être piratés. En effet, une solution a été spécialement développée à cette fin : le gestionnaire de mots de passe.
Les gestionnaires de mots de passe vous aideront à gérer tous vos mots de passe en les stockant de manière sécurisée. Certains gestionnaires peuvent même générer des mots de passe aléatoires et s'assurer qu'ils sont suffisamment forts. Pour accéder au gestionnaire de mots de passe, il suffit de mettre au point un mot de passe fort unique.
De nombreux gestionnaires de mots de passe sont disponibles en version gratuite ou payante ; n’hésitez pas à consulter votre responsable informatique pour obtenir des conseils sur le choix d'un gestionnaire conforme aux politiques de l'organisation. En guise de point de départ, voici une liste de quelques gestionnaires de mots de passe :
À l’instar de toute solution technologique disponible, les gestionnaires de mots de passe peuvent également présenter des vulnérabilités susceptibles d’être exploitées. Cependant, les fournisseurs font tout ce qu'ils peuvent pour assurer la sécurité de leur produit. Pour ajouter une couche de protection, nous recommandons d’implémenter une authentification multifacteurs donnant accès à un gestionnaire de mots de passe.
Si vous disposez de la moindre indication qu'un mot de passe a été révélé ou partagé, changez immédiatement tous les mots de passe. N'oubliez pas de changer régulièrement les mots de passe. L'ajout d'une seule lettre ou d'un seul chiffre ne changera pas vraiment la donne, car la plupart des pirates conservent une liste de combinaisons de comptes piratés.
Par ailleurs, dans le cas où un mot de passe professionnel a été divulgué ou partagé, contactez votre responsable informatique et suivez ses instructions.
Ces contenus visent à partager et à sensibiliser aux bonnes pratiques en matière de Cybersécurité.
Certains de ces conseils peuvent s’appliquer différemment selon le contexte de votre organisation.
Respectez toujours la politique et les consignes en vigueur dans votre organisation.
En cas de doute, demandez d’abord toujours conseil à votre responsable informatique.
