1er facteur : un élément que vous connaissez (mot de passe)
2e facteur : un moyen de vérification que vous possédez : un objet, une carte, votre smartphone, etc.
Avec une authentification A2F, même si des malveillants « craquent » votre mot de passe ou un collaborateur maladroit accède à des fichiers, ni l’un, ni l’autre ne pourront pas passer cette barrière sans détenir l’objet qui est le second facteur d’authentification et de protection.
Exemple : carte bancaire : pour payer, il faut l’objet (la carte) et son secret (le code). Le paiement sans contact réduit la validation à la seule possession de la carte, raison pour laquelle les fraudes sont plus simples et le montant est donc limité (30 € puis 50 € en raison de la pandémie).
Les objectifs d’une authentification à 2 facteurs sont :
- Confidentialité : Seules les personnes autorisées accèdent à ces documents
- Disponibilité : Pour une qualité d’accès au Système d’Information de l’entreprise
- Garantie : le contrôle des informations et l’origine de leur mise à jour
- Authentification : identifier sans ambiguïté les auteurs d’actions commises ou sources d’incidents
- Sécurité : Pour garantir la confidentialité des projets de vos clients
Les bons choix initiaux pour renforcer la sécurité d’accès au S.I. sont les points suivants :
- Arborescence des droits : définir les droits d’accès, lecture, écriture
- Niveau de criticité des informations et droits
- Définition des profils administrateurs
- Méthodes d’authentification :
- Mot de passe
- Code à usage unique généré par une application
- Carte à puce
- Clé de sécurité FIDO2
- Smartphone et code à usage unique par SMS
- Biométrie (Attention à l’aspect légal – Créer un lien vers https://www.cnil.fr/fr/le-controle-dacces-biometrique-sur-les-lieux-de-travail)
- Badge sans contact
- Objet connecté
- etc…
Il convient toutefois de trouver le bon compromis :
- Objectif visé en matière de sécurité
- Coût des investissements et déploiement
- Fluidité d’utilisation
- Criticité de panne ou de perte d’information
- Complexité d’utilisation multisites
Par ailleurs, dans la même idée que les formulaires permettant de réinitialiser son mot de passe, en cas de perte de l’objet, prévoir un code de récupération impliquant un délai de connexion retardé avec alerte par e-mail et/ou SMS en cas d’utilisation.
En synthèse, une démarche d’authentification à deux facteurs : un secret et un objet sera efficiente dans la durée si, elle a bénéficié d’une analyse de toutes les typologies d’utilisation habituelles ou occasionnelles et ceci, afin d’éviter les complexités techniques ou organisationnelles lors du déploiement.
Le montage d’un groupe projet d’utilisateurs de l’entreprise permettra :
- l’identification de l’ensemble des besoins
- d’éviter les surcoûts
- d’accompagner et de faciliter l’adhésion des utilisateurs