Un seul mot de passe réutilisé suffit parfois à ouvrir plusieurs portes : lorsque des identifiants fuitent sur un service, ils peuvent être testés sur d’autres plateformes.
Les mots de passe trop simples ou basés sur des informations facilement identifiables présentent également un risque pour la sécurité du système d’information. La compromission d’un seul compte peut alors avoir des conséquences bien plus larges : accès à des données professionnelles, usurpation de compte, compromission d’autres services ou exposition d’informations confidentielles.
Alors, quelles pratiques adopter pour mieux protéger ses accès professionnels ? De la création de mots de passe robustes à l’authentification multifacteur, en passant par la gestion des accès et les bons réflexes au quotidien, voici les pratiques essentielles à connaître.
Pourquoi la réutilisation des mots de passe représente-t-elle un risque en entreprise ?
Utiliser le même mot de passe pour plusieurs services peut sembler pratique, en particulier lorsqu’un utilisateur doit gérer de nombreux comptes professionnels.
Cependant, cette pratique étend les conséquences d’une compromission à tous les comptes concernés.
Si un mot de passe est récupéré à la suite d’une fuite de données sur un service, un attaquant peut tenter de réutiliser les mêmes identifiants sur d’autres plateformes.
C’est ce mécanisme qui a aggravé les grandes fuites de données des années 2010, retracées dans notre article.
C’est pour cette raison que l’ANSSI recommande d’utiliser un mot de passe différent pour chaque service.
Pour une entreprise, cette problématique concerne en premier lieu :
- les messageries professionnelles
- les logiciels métiers
- les espaces de stockage en ligne
- les outils collaboratifs
- les comptes administrateurs
- les services bancaires ou financiers
- les accès aux réseaux sociaux professionnels
Comment créer un mot de passe sécurisé et robuste ?
Un mot de passe ne devient pas sécurisé simplement parce qu’il contient une majuscule, un chiffre ou un caractère spécial.
Un mot de passe basé sur une information personnelle facilement identifiable peut rester vulnérable : nom d’entreprise, prénom, date, nom d’un proche, année de création ou autre information accessible publiquement.
La CNIL recommande au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, 14 caractères sans caractères spéciaux, ou une phrase de passe d’au moins 7 mots.
Elle déconseille en outre les mots de passe faciles à deviner à partir d’informations personnelles.
Gestionnaire de mots de passe : comment sécuriser les accès professionnels ?
La multiplication des comptes professionnels rend difficile l’utilisation de mots de passe différents et robustes pour chaque service.
Un gestionnaire de mots de passe permet de centraliser ces informations dans un espace sécurisé et de générer des mots de passe aléatoires et différents pour les différents comptes.
Il évite ainsi d’avoir à mémoriser de nombreux mots de passe complexes.
Pour une entreprise, son utilisation doit néanmoins s’inscrire dans une politique globale de gestion des accès : comptes individuels, droits adaptés aux fonctions, gestion des départs et des changements de poste, et protection renforcée des comptes à privilèges.
Comment l’authentification multifacteur renforce-t-elle la sécurité informatique ?
Même lorsqu’un mot de passe est correctement sécurisé, il peut être compromis.
L’authentification multifacteur (MFA) permet d’ajouter un ou plusieurs facteurs d’authentification supplémentaires.
Le principe consiste à demander plusieurs éléments appartenant à différentes catégories :
- Ce que vous connaissez : mot de passe ou code ;
- Ce que vous possédez : téléphone, clé de sécurité ou autre dispositif ;
- Ce que vous êtes : certains dispositifs biométriques.
Ainsi, la compromission du seul mot de passe ne suffit plus nécessairement à accéder au compte.
La CNIL recommande de privilégier l’authentification multifacteur lorsqu’elle est disponible. Elle a publié le 1er avril 2025 une recommandation sur l’authentification multifacteur (délibération n° 2025-019), consacrée à sa mise en œuvre et à la protection des données personnelles.
Quels comptes professionnels protéger en priorité ?
Tous les comptes professionnels méritent une protection adaptée, mais certains accès présentent des enjeux particulièrement importants.
C’est notamment le cas :
- Des comptes administrateurs ;
- Des messageries professionnelles ;
- Des gestionnaires de mots de passe ;
- Des espaces contenant des données sensibles ;
- Des outils permettant d’accéder à plusieurs systèmes ou applications.
La CNIL recommande l’authentification multifacteur pour l’administration des systèmes et réseaux, pour les connexions au système d’information depuis l’extérieur et pour l’accès à la messagerie professionnelle.
Faut-il changer régulièrement ses mots de passe en entreprise ?
Changer systématiquement tous les mots de passe à intervalles réguliers n’est plus considéré comme une bonne pratique générale pour les utilisateurs standards.
La CNIL a fait évoluer ses recommandations sur ce point et ne préconise plus un renouvellement périodique systématique des mots de passe pour les comptes utilisateurs classiques.
En revanche, une modification doit être envisagée lorsqu’un mot de passe est compromis ou suspecté de l’être. Le renouvellement reste en revanche requis pour les comptes à privilèges (administrateurs ou comptes aux droits étendus).
L’objectif n’est donc pas de changer régulièrement un mot de passe simplement parce qu’une échéance est atteinte, mais de mettre en place une politique cohérente de gestion des accès.
Pourquoi intégrer les mots de passe à une stratégie globale de sécurité informatique ?
Un mot de passe robuste ne suffit pas à assurer à lui seul la sécurité d’un système d’information.
La protection des accès doit également s’accompagner de mesures complémentaires :
- authentification multifacteur
- gestion des droits utilisateurs
- mises à jour régulières des logiciels
- sauvegardes
- protection des postes de travail
- sensibilisation des collaborateurs
- détection des tentatives d’hameçonnage
- gestion des comptes administrateurs.
Comment améliorer la gestion des mots de passe en entreprise ?
Une première étape consiste à identifier les comptes et les accès utilisés au sein de l’entreprise.
Il est ensuite possible de vérifier plusieurs éléments :
1. Chaque utilisateur dispose-t-il d’un compte individuel ?
Les comptes partagés rendent plus difficile l’identification des utilisateurs et la gestion des droits.
2. Les mots de passe sont-ils différents pour chaque service ?
La réutilisation d’un même mot de passe augmente le risque de compromission en cascade.
3. L’authentification multifacteur est-elle activée ?
Lorsqu’elle est disponible, elle renforce nettement la protection des comptes.
4. Les droits d’accès sont-ils adaptés aux fonctions de chaque collaborateur ?
Un utilisateur ne devrait pas disposer de droits supérieurs à ceux nécessaires à l’exercice de ses missions.
5. Les anciens comptes sont-ils désactivés ?
Lorsqu’un collaborateur quitte l’entreprise ou change de fonction, ses accès doivent être réévalués et, lorsque nécessaire, supprimés.
Acropole Expert Informatique vous accompagne dans la sécurité informatique de votre entreprise
La gestion des mots de passe constitue un élément parmi les nombreuses mesures nécessaires à la protection d’un environnement informatique professionnel.
Postes de travail, comptes utilisateurs, logiciels, données, sauvegardes et accès distants doivent être intégrés dans une approche globale de la sécurité informatique.
Acropole Expert Informatique accompagne les entreprises dans leurs problématiques informatiques et dans la mise en place de solutions adaptées à leur environnement professionnel (maintenance, sauvegarde, pare-feu, Microsoft 365…). À Saintes, notre boutique Centre Ouest Informatique accueille les entreprises et intervient dans un rayon de 50 km.
L’objectif : disposer d’un système informatique structuré, sécurisé et adapté aux besoins de l’entreprise. Découvrez nos services ou contactez-nous.
Conclusion : adopter de bonnes pratiques pour des mots de passe sécurisés
Le mot de passe que vous utilisez tous les jours n’est pas nécessairement un problème en lui-même. C’est surtout la manière dont il est choisi, utilisé et protégé qui peut créer une vulnérabilité.
La sécurité d’un système d’information ne dépend donc pas d’un seul mot de passe, mais d’un ensemble de pratiques et de mesures complémentaires.
Avant votre prochaine connexion, prenez quelques minutes pour vérifier les accès les plus sensibles de votre environnement professionnel.
Un mot de passe unique et correctement protégé constitue une première étape. Une politique de sécurité cohérente permet d’aller beaucoup plus loin.
FAQ
Non. La CNIL ne recommande plus le changement périodique systématique des mots de passe pour les comptes utilisateurs standards. En revanche, un mot de passe doit être modifié lorsqu’il est compromis ou lorsqu’un risque de compromission est identifié. Le renouvellement périodique reste recommandé pour les comptes d’administration.
Oui. Avec un mot de passe différent pour chaque service, la découverte de l’un d’eux n’expose que le compte concerné : il ne peut pas servir à accéder à vos autres comptes.
Un gestionnaire permet de générer et de stocker des mots de passe différents pour les différents comptes, sans avoir à tous les mémoriser.
Pas nécessairement. Elle ajoute généralement un ou plusieurs facteurs d’authentification au mot de passe afin de renforcer la sécurité de l’accès. La CNIL la recommande en particulier pour l’administration des systèmes, les connexions à distance et l’accès à la messagerie professionnelle.
Commencez par modifier le mot de passe concerné et, s’il a été réutilisé sur d’autres services, remplacez-le également sur ces comptes. Il est également pertinent de vérifier les connexions récentes et d’activer l’authentification multifacteur lorsqu’elle est disponible.
