Pourquoi une PME a besoin d'une politique écrite
Dans la plupart des petites entreprises, les mots de passe n'obéissent à aucune règle : chacun choisit le sien, le note où il peut, et les accès communs — le compte bancaire, le portail d'un fournisseur, le pare-feu — circulent par e-mail ou sur un papier. Tant que rien n'arrive, personne ne s'en soucie. Le jour où un compte est piraté, on découvre qu'on ne sait ni qui connaît quel mot de passe, ni lesquels changer.
La CNIL rappelle que le mot de passe reste le moyen d'authentification le plus simple et le moins coûteux, mais que son niveau de sécurité est faible, « bien que généralement acceptable » quand il est bien encadré. Sa recommandation de 2022 n'est pas une norme, mais elle décrit l'état de l'art sur lequel tout responsable de traitement peut s'appuyer pour respecter l'obligation de sécurité des articles 5 et 32 du RGPD. Une entreprise qui fait autrement doit pouvoir démontrer que ses mesures sont au moins aussi sûres.
Écrire la politique a donc deux vertus : elle donne aux salariés des consignes claires, et elle prouve, en cas de contrôle ou d'incident, que l'entreprise a pris le sujet au sérieux.
Quelle longueur et quelle complexité exiger ?
La CNIL ne fixe plus une longueur unique : elle raisonne en entropie, c'est-à-dire en degré d'imprévisibilité. Pour un mot de passe utilisé seul, elle demande au moins 80 bits, ce qui correspond par exemple à 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, à 14 caractères mêlant majuscules, minuscules et chiffres, ou à une phrase de passe d'au moins sept mots. Les trois sont équivalents : à l'entreprise de choisir celui que ses équipes appliqueront le mieux.
L'exigence baisse quand le système limite les essais. Pour un compte d'entreprise ou une messagerie qui bloque l'accès après plusieurs échecs — la CNIL cite par exemple le blocage après dix tentatives, une temporisation ou un « captcha » —, 50 bits suffisent, soit par exemple 8 caractères de trois types différents. Pour un code lié à un matériel détenu par la personne, comme une carte SIM, 13 bits, soit 4 chiffres, avec blocage au bout de trois échecs.
Deux précisions comptent autant que les chiffres. D'abord, un mot de passe long mais prévisible ne vaut rien : les attaques « par dictionnaire » testent en priorité les mots courants et leurs variantes, comme « k4ng0urou » ou « kangourou01 », selon l'exemple de la CNIL. Ensuite, Cybermalveillance.gouv.fr conseille d'écarter toute information facile à retrouver, comme le prénom d'un enfant ou une date anniversaire. La CNIL met à disposition un outil en ligne pour vérifier qu'une politique atteint le niveau voulu.
Faut-il obliger les salariés à changer de mot de passe ?
Non, et c'est le changement le plus marquant de la recommandation de 2022. La CNIL constate que forcer un changement à intervalle régulier n'est pas une mesure efficace : la majorité des utilisateurs se contente d'une version à peine modifiée de l'ancien, par exemple en ajoutant un chiffre à la fin, ce qui n'apporte presque rien. Elle a donc abandonné cette obligation pour les comptes ordinaires, en suivant la position adoptée en 2021 par l'ANSSI dans un guide que la CNIL a cosigné.
Le renouvellement reste exigé dans trois situations. Pour les comptes d'administration, qui ouvrent l'accès à tout le système, la CNIL demande une complexité plus élevée et un renouvellement selon une périodicité « pertinente et raisonnable ». Pour tout mot de passe attribué par un administrateur, à la création du compte ou après un oubli, l'utilisateur doit le changer dès sa première connexion. Et au moindre soupçon de compromission, Cybermalveillance.gouv.fr recommande de changer immédiatement le mot de passe concerné, sans attendre la confirmation d'une fuite.
Si la compromission touche des données personnelles, la CNIL rappelle les obligations qui suivent : notification de la violation dans les 72 heures, changement imposé du mot de passe à la prochaine connexion, et conseil à la personne de changer ses autres mots de passe si elle les réutilisait.
Que faire des comptes partagés et des accès communs ?
La règle de départ est simple : un identifiant par personne. La CNIL demande d'interdire les comptes partagés entre plusieurs utilisateurs, car on ne peut plus savoir qui a fait quoi. Dans une PME, certains accès restent pourtant communs par nature : le portail d'un organisme social, l'espace client d'un fournisseur, l'interface d'un équipement.
Quand le partage est incontournable, la CNIL fixe trois garde-fous : une validation par la hiérarchie, des moyens de tracer les actions faites avec cet identifiant, et le renouvellement du mot de passe dès qu'une personne n'a plus besoin d'y accéder. Ce dernier point est celui qui échoue le plus souvent au départ d'un salarié, faute de savoir quels mots de passe il connaissait.
La même logique s'applique aux équipements. Cybermalveillance.gouv.fr et la CNIL demandent toutes deux de remplacer les mots de passe par défaut des logiciels et du matériel, souvent connus des attaquants. Box Internet, imprimantes, caméras, bornes Wi-Fi : chaque appareil installé doit recevoir son propre mot de passe, consigné dans un endroit sûr.
Le gestionnaire de mots de passe et la double authentification
Exiger des mots de passe longs, différents pour chaque service, sans fournir d'outil, revient à pousser les salariés vers le carnet ou le fichier « mdp.xlsx ». Cybermalveillance.gouv.fr le dit sans détour : il est humainement impossible de retenir des dizaines de mots de passe longs et complexes. La CNIL recommande donc d'inciter à l'usage d'un gestionnaire de mots de passe et de former les équipes à s'en servir. Le coffre n'exige de retenir qu'un mot de passe maître, qui doit être particulièrement robuste, et le choix de la solution demande une attention particulière. Cybermalveillance.gouv.fr cite par exemple KeePassXC, logiciel libre certifié par l'ANSSI dans sa version 2.7.9. Une solution centralisée ajoute le partage chiffré des accès communs et la révocation au départ d'un collaborateur.
La CNIL liste aussi les pratiques à interdire explicitement : communiquer son mot de passe à quelqu'un, en choisir un qui se déduit du contexte, ou l'enregistrer dans un navigateur sans mot de passe maître. Cybermalveillance.gouv.fr ajoute qu'aucune organisation sérieuse ne demande un mot de passe par téléphone ou par e-mail, même pour une « maintenance ».
Enfin, le mot de passe seul ne suffit pas pour les accès les plus exposés. La CNIL recommande de privilégier l'authentification multifacteur, en particulier quand la connexion est possible depuis l'extérieur du réseau de l'entreprise : messagerie, Microsoft 365, accès à distance. La messagerie mérite la priorité : comme le rappelle Cybermalveillance.gouv.fr, elle reçoit les liens de réinitialisation de tous les autres comptes, et celui qui la contrôle peut prendre la main sur le reste.
Les erreurs les plus fréquentes
La première est de copier une politique trouvée en ligne sans l'appliquer techniquement. Une règle que le système n'impose pas reste une suggestion : la CNIL recommande de mettre en œuvre des moyens techniques pour la faire respecter, et de limiter le nombre de tentatives de connexion sur les postes de travail.
La deuxième est de conserver le changement trimestriel pour tout le monde « par sécurité ». Il agace les équipes sans les protéger, et l'effort serait mieux placé sur la double authentification.
La troisième est d'oublier les comptes d'administration : un seul compte « admin » partagé entre la direction et le prestataire informatique, jamais renouvelé, ouvre la porte à tout le système. Chacun doit avoir le sien, nominatif, avec un mot de passe plus robuste.
La dernière est d'écrire la politique sans l'expliquer. Les salariés appliquent mieux une règle dont ils comprennent la raison : une demi-heure de présentation, avec la prise en main du gestionnaire, vaut mieux qu'une note jointe au règlement intérieur.
Mettre la politique en place, poste par poste
Une politique de mots de passe se met en place en quelques étapes : rédiger les règles retenues, configurer les comptes Microsoft 365 et les postes pour qu'ils les imposent, activer la double authentification, déployer le gestionnaire sur les ordinateurs et les téléphones, puis inventorier les accès partagés et les mots de passe par défaut restants.
Plugin Informatique accompagne les entreprises de Grenoble et de l'Isère sur ce chantier depuis ses établissements de Claix et de Meylan : déploiement d'un gestionnaire de mots de passe centralisé pour toute l'équipe, configuration de la sécurité de Microsoft 365 et sensibilisation des collaborateurs. Que vous le fassiez vous-même ou avec nous, commencez par la messagerie et les comptes d'administration : ce sont ceux dont la compromission coûte le plus.