Comment choisir son mot de passe ?

Dans sa délibération 2017-012 du 19 janvier 2017, la CNIL formule des recommandations destinées à relever le niveau de sécurité minimal. Elle conseille notamment de modifier régulièrement son mot de passe, de le changer en cas de compromission avérée ou de suspicion. Et s'il n'existe pas de mécanisme de blocage du compte en cas d'essais multiples infructueux, elle suggère d'avoir un mot de passe de 12 signes comportant majuscules, minuscules, chiffres et caractères spéciaux. Comment expliquer ce renforcement et quel en est l'impact sur votre entreprise ?

Pour apporter une plus grande confiance dans l'utilisation des services numériques proposés partout sur la toile, la CNIL a décidé de renforcer les niveaux de sécurité liés au binôme compte/mot de passe.

L'organisme met en avant trois raisons principales. D'abord, le couple identifiant mot de passe est le moyen d'authentification le plus répandu actuellement. En attendant une identification par empreintes digitales (de quatre doigts consécutifs) ou par empreinte oculaire, par reconnaissance faciale ou vocale, le mot-de-passe reste le sésame le plus utilisé pour accéder à un service numérique. D’après l’étude Dashlane, un individu aura à gérer en 2020 environ 180 couples identifiant//mot de passe ! Si vous avez des doutes devant ce chiffre, ouvrez votre outil de gestion de mots de passe et comptez, vous verrez que vous n’êtes déjà pas très loin du compte.

Ensuite la CNIL pointe la multiplication des attaques informatiques entraînant la divulgation de bases de données entières de comptes//mots de passe, ce qui renforce la connaissance des pirates (la dernière d'importance concerne 33,6 millions d'enregistrements compromis). Notez en passant que ces binômes, revendus sur le Dark Web, ne valent pas grand-chose... (30$ le lot de 40.000 adresses de messagerie avec identifiant//mot de passe)

Enfin, l'organisme relève que le danger principal vient du fait qu'un même mot de passe sert à déverrouiller plusieurs comptes ! En Angleterre par exemple, un individu a au minimum 22 comptes avec au moins 4 fois le même couple identifiant//mot de passe...

Maintenant que les raisons du renforcement du niveau de sécurité sont connues, voyons ce qu'il convient de faire des recommandations de la CNIL au niveau de votre entreprise.

Doit-on renouveler son mot de passe de manière régulière, et si oui à quelle fréquence ?

S'il y a bien quelque chose que les collaborateurs d'une entreprise détestent, c'est changer de mot de passe tous les trimestres ! Notons qu'ici la CNIL va à contre-courant des suggestions du NIST ou du NCSC. Les deux organismes américain et britannique considèrent qu'il ne sert à rien de demander à un utilisateur de changer son mot de passe tous les 90 jours par exemple, notamment parce que la probabilité que ce dernier utilise un mot de passe dérivant du précédent est assez grande (p4ssw0rd01 se muant en p4ssw0rd02) ou pire qu'il utilise un mot de passe déjà associé à un autre de ses identifiants. C'est faire de la sécurité au détriment de l'usage, ce qui revient à augmenter le coût de la sécurité !

Il est en revanche tout à fait pertinent de changer son mot de passe en cas de compromission avérée ou supposée.

Dans le contexte de l'entreprise, plutôt que de renouveler un mot de passe de manière régulière, il est possible d’écarter la pression toujours plus importante mise sur l'utilisateur pour la déporter sur l'administrateur système et le responsable de l'application en leur demandant: 

1-que le nombre maximal de caractères d'un mot de passe soit de 64, pour que son inviolabilité ne repose pas sur sa complexité mais sur sa longueur (Préférez le mot de passe "c0Uloir-kn!Fe_blau"  à "xj!7t23#cv[").

2-qu'un mécanisme de blocage du compte soit activé en cas de mots de passe répétés défectueux, une dizaine d'essais devant suffire à retrouver la mémoire ou adapter le clavier aux majuscules, minuscules, chiffres et caractères spéciaux du mot de passe, ce qui constituera un rempart bien plus efficace contre les cyber-attaques de type "force brute".

Quand et pourquoi faut-il un mot de passe plus long ?  

Avant d’émettre un avis sur la question, essayons de définir quel serait le mot de passe idéal. S'il existe, il devrait répondre à ces trois critères :

•  facile à se souvenir  
•  facile à entrer (depuis un smartphone par exemple)
•  difficile à trouver  

Notez que l'ordre de préférence n'est pas le même suivant que l'on se place du point de vue de l'utilisateur ou du point de vue de l'entreprise. L’entreprise, par peur de cyber-attaques toujours plus sophistiquées, rapides et efficaces, a plutôt tendance à promouvoir le dernier point, alors que l'approche humaine privilégie plutôt les deux premiers...

La recommandation de la CNIL d'augmenter la longueur de 8 à 12 caractères fait clairement écho à l’inquiétude liée à l'augmentation des capacités technologiques actuelles qui permettent d'assembler dans un temps toujours plus court toujours plus de combinaisons.

Paradoxalement, et pour peu qu'un individu accepte d'aller au-delà des 12 signes, il est alors plus facile de se rappeler de son mot de passe dès lors que l'on associe des mots improbables, plus surement dans plusieurs langues, et avec un code propre de substitution de lettres par des chiffres par exemple. Il est alors possible de combiner au moins deux des trois critères initiaux, un mot de passe facile à se souvenir et difficile à trouver.

Si vous décidez par exemple que pour votre compte Twitter d'entreprise, le mot de passe qui s'impose est "l'oiseau est bleu" puis que vous décidiez de changer le s en 5  et le i en !, et qu’après un chiffre la lettre suivante est en majuscule, il faudra bien plus d'une année à un ordinateur actuel pour trouver ce mot de passe de 17 signes "l'o!5Eau e5T bleu" .

Un dernier point. Il ne sert à rien d'avoir des mots de passe à rallonge sur tous vos comptes ! Tout dépend bien sur de l'importance que vous attribuez aux données accessibles depuis l'application concernée, ou à l'impact qu'un piratage de compte pourrait avoir sur votre identité numérique. A cet égard, il est prudent d'inclure dans la liste des binômes à protéger les comptes qui définissent votre entreprise sur les réseaux sociaux, parce que c'est un point particulièrement à risque en cette période.

Dans tous les cas, vous n’échapperez pas à utiliser un gestionnaire de mots de passe, c'est le seul moyen de vous souvenir de vos différents binômes !

Suite

ETI, PME, vous êtes aussi concerné par la cybersécurité !

Parce que vous êtes une petite ou moyenne entreprise (PME), une entreprise de taille intermédiaire (ETI) , vous pensez être à l'abri des cyberattaques et autres pirates du web. Après tout, il y a bien plus d'avantages à pirater des multinationales qu'une entreprise comme la votre pensez-vous modestement. Erreur !

Statistiquement, plus de la moitié des attaques concernent des entreprises de moins de 1000 personnes. Si vous n'avez pas encore connu de brèches de sécurité, c'est que votre tour viendra ! Ou alors vous en avez déjà expérimenté une mais n'en avez pas encore pris conscience ! 

Aujourd'hui, ce n'est pas une question de "je ne suis pas concerné", c'est plus une question de "quand est-ce que je serai concerné?". Les attaques qui sont perpétrées sont majoritairement de deux types. Soit votre entreprise est la cible finale, soit votre société n'est qu'une étape pour l'atteinte d'un autre objectif. 

Lorsque votre entreprise est visée, l'intention est de voler des informations, des procédés industriels, des brevets, etc ou de prendre vos informations en otage, avec un paiement contre restitution (attaques de type rançongiciel). 

Lorsque votre entreprise sert de relais, l'intention est de lancer une attaque de plus grande envergure, en brouillant les pistes et en vous laissant le soin d'expliquer aux autorités comment votre serveur à servi à une action malveillante...

Dans tous les cas vous êtes concerné !

D'autant plus que le taux de pénétration est plus élevé dans les PME que dans les grandes entreprises. Faute de moyens techniques sophistiqués, les petites et moyennes entreprises n'ont pas la capacité à résister à l'envahisseur très longtemps...

Évitez alors la tentation de succomber aux vendeurs de solutions miracles... 

Dans un premier temps, empêchez l'ennemi de pénétrer votre enceinte en prenant des mesures de bon sens. Il sera toujours temps de compléter vos défenses en investissant dans des solutions technologiques pertinentes.  

Pour l'heure, utilisez les informations présentées dans l'infographie ci-dessous, en les modulant en fonction de votre environnement et de vos priorités. On ne peut pas couvrir tous les risques, focalisez-vous sur le plus important à vos yeux. Concentrez-vous sur vos points faibles actuels, à choisir parmi vos collaborateurs, les objets mobiles connectés, les accès et privilèges, les serveurs et les données.

Souvent les utilisateurs se croient protégés par l'organisation et les outils (antivirus, antispam, pare-feu, etc) et n'accordent que peu d'importance à leur propre comportement. C'est là le piège.  Le collaborateur est le maillon faible. C'est sur lui que doivent porter les efforts d’éducation, de bonnes pratiques. Surtout aujourd'hui où tout est transformation digitale. Plus on numérise, plus on accroît de facto le périmètre des vulnérabilités, plus on ouvre le champs des possibles, et plus les collaborateurs ont besoin de repères, de comportements adaptés aux risques d'intrusions malveillantes.

La cybersécurité est une dynamique.  Elle doit être initiée et régulièrement réactivée par la direction de l'entreprise. Cette dernière doit s’attacher à informer et former régulièrement le personnel sur les problématiques de sécurité concernant les processus et les métiers.  

Dirigeants de PME et d'ETI, faites de la sécurité une priorité aujourd'hui. 

Ignorer ou remettre à plus tard vous condamne à des déconvenues ! Aux Etats-Unis, d’après une étude du National Cybersecurity Alliance, 60 % des petites et moyennes entreprises n'ont pas survécu plus de six mois après avoir été piratées...

Suite

Préambule au Règlement Général sur la Protection des Données

Le Règlement Général sur la Protection des Données -RGPD- vous concerne !

Que vous soyez responsable d'une micro, petite, moyenne ou grande entreprise, ou que vous soyez un simple consommateur, l'application du Règlement Général sur la Protection des Données à partir du 25 mai 2018 change vos droits et vos devoirs. Voici l'essentiel de ce que vous devez savoir sur le RGPD sous forme d'infographie.

Le Règlement Général sur la Protection des Données (RGPD, GDPR -General Data Protection Regulation en anglais) a pour objectif de définir des règles rigoureuses pour développer et encadrer l’économie numérique, en suscitant la confiance des parties prenantes, en faisant notamment en sorte que les individus (re)prennent le contrôle de leurs données et aient une meilleure compréhension de ce que les entreprises peuvent faire ou pas avec les informations collectées.

La précédente directive européenne 95/46/CE ne permet pas de garantir une libre-circulation des données à caractère personnel, notamment parce que chaque état membre de l'Union a une législation différente et une mise en application de la dite directive différente, de nature à fausser la concurrence.

Considérant l'augmentation des flux de données à caractère personnel échangées entre les différents acteurs européens liée notamment aux nouvelles technologies et aux média sociaux, la Commission a alors décidé qu'il fallait amplifier la libre circulation des données en garantissant un niveau élevé de protection et fournir un cadre légal simple et identique à tous les pays de la zone euro.

Le RGPD vient donc en complément des droits fondamentaux existants déjà pour les personnes physiques et garantit une équivalence au niveau de la protection des droits dans tous les états de l'Union Européenne.

Il est possible que quelques états introduisent des dispositions nationales spécifiques, par exemple concernant la définition des conditions nécessaires à l’exécution du traitement des données en fonction du secteur d’activité. Réciproquement, les états membres peuvent inclure des éléments du RGPD dans leur propre législation, afin d'en garantir une meilleure cohérence et compréhension. En France, la CNIL s'est déjà largement emparée du dossier.

Suite