Mettre en place le MFA dans une PME de 15 personnes : un plan par étapes sans tracas

S'il fallait choisir dans une PME la mesure qui élimine le plus de risques pour le moins d'efforts, ce serait la vérification en deux étapes, généralement abrégée en MFA. Pourtant, beaucoup de dirigeants la reportent par crainte des tracas : des collaborateurs qui se plaignent, des gens bloqués, une semaine de productivité perdue. Ce n'est pas une fatalité. Avec le bon ordre, mettre en place le MFA dans une équipe de quinze est une affaire de quelques jours. Voici le plan que nous utilisons nous-mêmes.

Ce qu'est le MFA, et pourquoi un mot de passe seul ne suffit plus

MFA signifie authentification multifacteur. En langage clair : pour te connecter, il te faut autre chose en plus de ton mot de passe, généralement un code ou une approbation sur ton téléphone. Quelque chose que tu sais (le mot de passe) plus quelque chose que tu as (ton téléphone). Qui ne connaît que ton mot de passe n'entre donc pas.

Et c'est nécessaire, car les mots de passe fuient, même sans négligence de tes collaborateurs.

• Après une fuite de données chez une boutique en ligne quelconque, le mot de passe de ton collaborateur atterrit sur une liste testée automatiquement sur Microsoft 365 et Google Workspace.
• Un mail de phishing qui a l'air juste assez vrai finit tôt ou tard par capter un mot de passe dans chaque équipe.
• Un dirigeant est une cible attrayante : qui est dans sa boîte mail peut détourner des factures et donner des instructions aux collègues.

Avec le MFA, un mot de passe qui a fui devient un incident désagréable au lieu d'une intrusion. Un gestionnaire de mots de passe pour ton équipe assure des mots de passe uniques, le MFA rattrape ce qui fuit malgré tout. Ensemble, ils forment la base.

Quelle forme de MFA choisir ?

Toutes les formes ne se valent pas. En pratique, trois entrent en ligne de compte.

• Une application d'authentification sur le smartphone (Microsoft Authenticator, Google Authenticator ou similaire). C'est notre choix par défaut : gratuite, fonctionne sans réseau mobile et ne peut pas être interceptée comme un SMS.
• Un code par SMS. Mieux que rien, mais les SMS peuvent être interceptés ou détournés via ta carte SIM. Seulement comme étape intermédiaire ou pour qui n'a pas de smartphone.
• Une clé matérielle, une petite clé USB ou NFC. L'option la plus solide, et un extra judicieux pour les comptes administrateurs et le dirigeant. Pour le reste de l'équipe, l'application suffit largement.

Pour l'application, choisis la saisie d'un numéro, où tu tapes un chiffre affiché sur l'écran de connexion au lieu d'appuyer sur 'approuver'. Ainsi, personne n'approuve par mégarde la connexion d'un attaquant.

Le plan par étapes, dans cet ordre

L'ordre est important. Qui commence avec toute l'équipe en même temps sans préparation obtient exactement le chaos que tout le monde redoute.

1. Fais l'inventaire de tes comptes. Mail et collaboration (Microsoft 365 ou Google Workspace), ton logiciel comptable, la banque, ton CRM et les réseaux sociaux de l'entreprise. Note pour chaque service qui y a accès.
2. Commence par les comptes administrateurs, ceux qui peuvent tout faire. De préférence avec une clé matérielle comme deuxième méthode.
3. Active ensuite le MFA sur le mail de tout le monde. Le mail est la clé de tous les autres comptes, car qui détient la boîte mail peut cliquer partout sur 'mot de passe oublié'.
4. Communique à l'équipe avec une date. Un court mail : ce qui change, pourquoi, ce qu'il faut faire au préalable (installer l'application) et quand cela démarre. Donne une semaine.
5. Déploie collaborateur par collaborateur, de préférence avec quelqu'un à côté : dix minutes par personne, à son propre bureau.
6. Conserve les codes de secours. Chaque service fournit des codes de récupération en cas de perte du téléphone. Mets-les dans le gestionnaire de mots de passe, pas dans un mail ni sur un papier.
7. Règle les exceptions. Les boîtes partagées comme info@ n'ont plus de mot de passe propre, les gens y accèdent via leur propre compte. Un scanner qui envoie des mails reçoit un mot de passe d'application séparé.
8. Fais un contrôle après deux semaines. Le MFA est-il actif pour tout le monde ? Des comptes ont-ils été oubliés ? Des exceptions temporaires sont-elles encore ouvertes ?

Les erreurs fréquentes

La mise en place elle-même se passe généralement bien. Les problèmes viennent après, quand l'attention se relâche.

• Laisser les exceptions en place. 'Désactive-le vite pour Jean, il est en voyage' est des mois plus tard toujours un compte sans MFA. Mets une date de fin à chaque exception.
• Laisser les anciens protocoles de connexion ouverts. Dans Microsoft 365, des méthodes de connexion obsolètes peuvent contourner entièrement le MFA si elles ne sont pas désactivées. Demande à ton partenaire IT de bloquer la 'legacy authentication'.
• Pas de procédure de récupération pour qui perd son téléphone ou en reçoit un nouveau. Le MFA est alors désactivé 'un instant' pour aider vite, et c'est exactement ce qu'un attaquant au téléphone demande aussi.
• Sécuriser uniquement le mail et oublier la banque, la comptabilité ou les réseaux sociaux.
• Pas d'accord sur qui peut réinitialiser le MFA et comment cette personne vérifie qu'il s'agit bien du bon collègue.

Combien de temps pour une équipe de quinze ?

Une estimation honnête, sans promesses précises, car chaque entreprise a ses particularités.

• Préparation : une demi-journée pour l'inventaire, les comptes administrateurs, la communication et les exceptions.
• Déploiement : environ dix minutes par collaborateur si quelqu'un aide. Pour quinze personnes, deux à trois heures, réparties sur quelques jours.
• Suivi : une petite heure après deux semaines pour le contrôle, puis de temps en temps une question de quelqu'un avec un nouveau téléphone.

Compte environ une semaine de délai et une journée de travail effectif. Les demandes d'aide qui suivent sont presque toujours les mêmes : un téléphone nouveau ou perdu, ou quelqu'un qui a supprimé l'application. Avec une courte procédure, c'est réglé en cinq minutes.