Authentification multifacteur : la protection la plus rentable de votre entreprise

Un mot de passe seul ne protège plus rien. L’authentification multifacteur est la mesure de sécurité la moins chère et la plus efficace qu’une PME puisse mettre en place. Voici ce qu’elle change, et comment la déployer sans braquer vos équipes.

Pourquoi le mot de passe ne suffit plus

Les mots de passe fuient. Ils sont devinés, réutilisés d’un service à l’autre, ou récupérés par un faux formulaire de connexion envoyé par mail. Quand un attaquant obtient celui de votre messagerie, il lit vos échanges, repère vos fournisseurs et vos habitudes de paiement, puis attend le bon moment pour envoyer un faux RIB. Tout cela sans que rien ne casse.

L’authentification multifacteur, souvent abrégée MFA, ajoute une deuxième preuve au moment de la connexion : une notification sur votre téléphone, un code à six chiffres, ou une clé physique. Le mot de passe volé ne suffit plus, il faut aussi le téléphone de la personne.

Où l’activer en premier

• La messagerie. Microsoft 365 ou Google Workspace, sur tous les comptes, sans exception pour le dirigeant. C’est la porte d’entrée de la plupart des attaques.
• Les comptes administrateurs. Ceux qui peuvent créer des utilisateurs, changer des mots de passe ou lire toutes les boîtes. Un compte administrateur sans MFA est le premier point que nous corrigeons chez un nouveau client.
• Les accès distants. VPN, bureau à distance, portails métier accessibles depuis l’extérieur.
• La banque et les outils de paiement. Souvent déjà imposé par la banque, à vérifier sur les comptes secondaires.

Les trois objections que nous entendons

« Cela va ralentir tout le monde. » Sur un poste de confiance, la validation n’est demandée qu’occasionnellement, pas à chaque ouverture d’Outlook. Au quotidien, la plupart des utilisateurs ne la voient qu’en cas de nouvel appareil ou de connexion inhabituelle.

« Certains salariés n’ont pas de téléphone professionnel. » L’application d’authentification s’installe sur un téléphone personnel sans donner accès à quoi que ce soit d’autre. Pour ceux qui refusent, une clé physique ou un code par appel sur le poste fixe fonctionnent aussi.

« On perd le téléphone, on est bloqué. » C’est pour cela que nous configurons toujours une méthode de secours et que nous gardons, en tant qu’administrateurs, la possibilité de réinitialiser un accès en quelques minutes.

Comment nous la déployons

D’abord les comptes administrateurs, le jour même. Puis les utilisateurs par petits groupes, avec un message clair envoyé la veille et un technicien disponible le jour du passage pour les questions. Nous en profitons pour supprimer les comptes qui ne servent plus et pour désactiver les anciens protocoles de connexion qui contournent la MFA. Le déploiement se planifie sur une journée calme, jamais un lundi matin.