Aligner les politiques en matière de mots de passe sur les indicateurs de performance en matière de cybersécurité

En tant que professionnel de l’informatique, vous êtes en charge de mesurer (et finalement de justifier) la valeur de vos investissements en matière de cybersécurité. Mais comment prouver que vos efforts et vos dépenses en matière de sécurité ont bien l’effet escompté ? L’un des moyens consiste à aligner vos efforts de cybersécurité – y compris les politiques de mots de passe – sur les indicateurs clés de performance (KPI) de votre organisation.

Dans cet article, nous examinerons certaines des tactiques de cybersécurité les plus courantes – de la formation des employés en passant par la gestion des privilèges des comptes – et nous explorerons les indicateurs de performance clés (KPI) associés à chacune d’entre elles. Nous terminerons par une discussion sur la façon dont les logiciels d’audit des mots de passe peuvent aider à identifier des vulnérabilités supplémentaires au sein de votre organisation.

Tactique étudiée : la formation continue à la cybersécurité

Les pirates informatiques et les acteurs malveillants trouvent toujours de nouvelles stratégies pour obtenir un accès non autorisé à des informations sensibles. Même avec les meilleurs outils de sécurité en place, les organisations se doivent de maintenir leurs employés en état d’alerte. Cet objectif peut être atteint grâce à une formation continue et personnalisée à la cybersécurité, qui permet d’acquérir une expérience pratique dans l’identification des attaques les plus courantes et les plus ciblées.

En veillant à ce que vos employés soient correctement formés, vous pouvez réduire le risque de failles de sécurité causée par la méconnaissance ou l’erreur humaine.

Indicateurs de performance clés (KPI)

• Les évaluations avant et après la formation : indiquent ce que les participants apprennent et retiennent du programme de formation à la cybersécurité de votre organisation. Des résultats plus élevés aux évaluations post-formation indiquent que vos activités de formation sont efficaces.
• Le taux de clics sur les courriels d’hameçonnage : indique le pourcentage de membres du personnel qui ont cliqué sur les liens des courriels de phishing simulés pendant la formation. Plus le taux de clics est bas, plus votre personnel est armé pour reconnaître (et éviter) les tentatives de phishing de manière efficace.
• La sensibilisation à l’ingénierie sociale : desévaluations ciblées pour mesurer la capacité de vos employés à reconnaître et à éviter efficacement les attaques d’ingénierie sociale.

Tactique étudiée : La surveillance de l’authentification multifactorielle (MFA)

En tant que professionnel de l’informatique, vous savez à quel point l’authentification multifactorielle est essentielle pour déjouer les cyberattaques. Mais il ne suffit pas de déployer l’authentification multifactorielle dans toute l’entreprise, il faut aussi s’assurer de sa bonne utilisation par les employés. Si vous disposez de comptes administrateurs d’urgence ou d’autres comptes exemptés de vos exigences en matière d’authentification multifactorielle, surveillez-les de près pour vous assurer qu’ils ne sont utilisés qu’aux fins pour lesquelles ils ont été conçus.

En suivant et en contrôlant l’utilisation de la MFA, vous réduirez le risque d’accès non autorisé, vous identifierez les lacunes de sécurité à combler et vous répondrez aux exigences de conformité réglementaire.

Indicateurs de performance clés (KPI)

• Le taux d’adoption de la MFA : indique le pourcentage d’utilisateurs qui utilisent régulièrement la MFA. Plus le taux est élevé, plus les utilisateurs utilisent activement l’authentification multifactorielle – ce qui renforce votre sécurité globale.
• Le taux d’authentification MFA (succès/échec) : indique le pourcentage de tentatives d’authentification MFA réussies et le nombre d’échecs. Un taux de réussite élevé indique que le processus MFA fonctionne comme il se doit et qu’il ne cause pas de problèmes aux utilisateurs ou de désagréments inutiles. Un taux d’échec élevé indique que les utilisateurs rencontrent des difficultés et qu’il est peut-être nécessaire d’améliorer leur formation, d’adapter vos politiques de MFA ou de résoudre d’autres problèmes techniques.
• Le taux de contournement de la MFA : indique le pourcentage d’utilisateurs exemptés de MFA. Un taux de contournement élevé doit vous interroger car il peut indiquer des violations de votre politique de mots de passe ou des faiblesses en matière de sécurité.

Tactique étudiée :Une  gestion efficace des mots de passe

L’authentification multifactorielle est un excellent élément dans votre boîte à outils de sécurité, mais elle ne fonctionne pas sans une gestion efficace des mots de passe. En tant que professionnel de l’informatique, vous connaissez l’importance de mots de passe forts pour déjouer les plans des cybercriminels et maintenir un bon niveau de sécurité.

L’adoption de pratiques efficaces pour la gestion des mots de passe renforcera la sécurité globale, stimulera l’efficacité opérationnelle et garantira la conformité de votre organisation aux normes du secteur notamment celles du RGPD et de l’HIPAA.

Indicateurs de performance clés (KPI)

• La conformité de la politique en matière de mots de passe : dans quelle mesure les exigences de votre politique de mots de passe sont-elles conformes aux différentes normes, comme les normes de mot de passe du NIST.
• La vérification des mots de passe frauduleux : permet de déterminer le nombre de comptes d’utilisateurs utilisant un mot de passe connu ou compromis. Cela vous aidera à évaluer la résilience de votre organisation face aux attaques basées sur les informations d’identification.
• Les demandes de réinitialisation de mot de passe : la fréquence des demandes de réinitialisation de mot de passe par les utilisateurs. Plus ce chiffre est élevé, plus le nombre de mots de passe oubliés est important et plus l’utilisateur risque d’être frustré. Vous devrez peut-être revoir vos exigences en matière de complexité des mots de passe ou envisager l’utilisation de passphrases à la fois plus fortes et plus faciles à mémoriser.  

Tactique étudiée : La gestion des privilèges des comptes

La gestion des mots de passe est une bonne chose, mais votre équipe informatique doit également gérer les privilèges des comptes afin de contrôler quels utilisateurs sont autorisés à accéder à des données et des systèmes spécifiques. Votre équipe doit s’assurer que les utilisateurs n’ont accès qu’aux dossiers, fichiers et bases de données dont ils ont besoin pour faire leur travail et revoir régulièrement les paramètres des privilèges des comptes pour les fichiers et systèmes très sensibles.

Une gestion efficace des privilèges des comptes dans l’ensemble de votre organisation renforcera votre sécurité, simplifiera les audits et réduira les risques de compromission des données internes.

Indicateurs de performance clés (KPI)

• Les incidents d’escalade de privilèges : indique le nombre de fois où des utilisateurs ou des comptes ont réussi à obtenir des privilèges élevés non autorisés. Plus ce nombre est important, plus les politiques et processus de gestion des privilèges sont vulnérables.
• La durée du cycle de révision des privilèges : indique le temps moyen nécessaire au service informatique pour réviser et mettre à jour les rôles/privilèges des utilisateurs. Plus la durée du cycle de révision est rapide, plus votre service informatique est efficace pour ajuster les privilèges lorsque les rôles ou les responsabilités des utilisateurs évoluent.
• Le délai de révocation des privilèges : met en évidence le temps moyen nécessaire aux services informatiques pour révoquer les privilèges ou l’accès d’un utilisateur lorsque cela est nécessaire – par exemple, si un utilisateur est licencié ou s’il est affecté à un poste différent. Plus le délai de révocation est court, plus le risque qu’un utilisateur abuse de ses privilèges est faible.

Mesurer l’efficacité des politiques de mots de passe et des programmes de sécurité

La sécurité des mots de passe est essentielle aux efforts de cyberdéfense de toute organisation. Un bon logiciel d’audit des mots de passe peut aider votre équipe informatique à mesurer l’efficacité des programmes de sécurité existants. Specops Password Auditor est un programme GRATUIT, en lecture seule, qui analyse votre Active Directory et identifie les vulnérabilités liées aux mots de passe. L’outil peut être utilisé pour générer des rapports interactifs contenant des informations sur les politiques relatives aux utilisateurs et aux mots de passe, ainsi que des rapports de synthèse pouvant être partagés avec les parties prenantes concernées au sein de votre organisation. Le rapport exécutif peut être généré à tout moment et fournit des mesures utiles pour évaluer l’efficacité de vos politiques de mots de passe.

Specops Password Auditor peut également vous aider pour :

• Mesurer les efforts déployés pour assurer la conformité des mots de passe : déterminez si les politiques de votre organisation en matière de mots de passe sont conformes aux diverses exigences de conformité. Pour plus d’informations, vous pouvez lire : Rapport de conformité de la politique de mot de passe dans Specops Password Auditor
• Valider les efforts déployés pour éliminer les mots de passe frauduleux : identifier le nombre de mots de passe compromis ou divulgués utilisés dans l’organisation.
• Auditer la mise en œuvre du moindre privilège et les comptes périmés : obtenez une vue complète des comptes administrateur dans le domaine d’une organisation, y compris les comptes d’administrateur inactifs ou périmés.

Pour en savoir plus sur Specops Password Auditor, cliquez-ici ou contactez-nous pour parler à un expert.