Cinq recommandations stratégiques pour l’élaboration d’une politique de mots de passe

Un Active Directory rempli de mots de passe forts et non compromis devrait être un objectif essentiel de cybersécurité pour toute organisation. Une politique de mots de passe clairement articulée et applicable est le meilleur moyen de mettre cela en pratique. Cependant, il est important de créer un mot de passe qui soit en accord avec la mission et les objectifs de votre organisation, ainsi qu’avec les principes de gestion des risques liés à l’information et les pratiques de votre secteur.

Chaque entreprise est différente, mais l’objectif commun et fondamental de toute politique de mot de passe est clair : garantir la sécurité de votre Active Directory contre les mots de passe faibles, exposés ou compromis. Au-delà de cela, les critères de ce qui constitue une « bonne » politique peuvent varier d’une organisation à l’autre. Pour affiner votre politique afin qu’elle réponde aux exigences spécifiques de votre organisation, une réflexion stratégique est nécessaire avant de déployer une nouvelle politique de mots de passe.

Ces cinq recommandations stratégiques sont issues de notre récent rapport : ‘Comment déployer une politique de mots de passe dans Active Directory : Guide complet‘. En plus des conseils de planification, vous bénéficierez d’une procédure pas à pas sur la configuration des composants clés de la politique dans Active Directory, de conseils pour un déploiement fluide et des indications sur la communication avec l’utilisateur final. Téléchargez le rapport complet ici.

1. Tenir compte des engagements existants en matière de mots de passe

Il se peut que vous deviez tenir compte de certains engagements existants. Par exemple, prenez en compte ce qui est décrit dans les accords existants avec vos clients et vos partenaires commerciaux. Il est également essentiel d’évaluer vos normes internes qui déterminent ce qui constitue un mot de passe raisonnable. Assurez-vous que le langage utilisé au sujet des politiques dans votre manuel de l’employé ou d’autres documents d’entreprise est cohérent avec la nouvelle politique de mots de passe établie.

Faire ce genre d’évaluation vous conduira probablement à ajuster et affiner la politique de mot de passe prévue. Cela permet de garantir que votre politique s’aligne sur les besoins spécifiques de votre organisation, plutôt que d’adhérer strictement aux recommandations sur les mots de passe prédéfinies, comme celles des politiques de mots de passe basées sur les GPO ou à granularité fine de Microsoft, ou encore sur des directives comme les directives d’identité numérique du NIST.

2. Se conformer aux exigences réglementaires

La situation géographique de votre organisation et le secteur dans lequel elle opère peuvent influencer de manière significative les exigences réglementaires spécifiques auxquelles vous devez vous conformer en matière de gestion des mots de passe. Selon les régions et les secteurs d’activité, il existe souvent des normes et des réglementations différentes qui dictent la manière dont les mots de passe doivent être traités pour garantir la sécurité et la confidentialité des données. Si vous n’êtes pas sûr des exigences de conformité applicables à votre organisation, il est essentiel d’acquérir une compréhension claire de ces réglementations liées aux mots de passe dès le début.

Cette approche proactive permet non seulement de vous conformer aux obligations légales, mais également de renforcer efficacement vos mesures de cybersécurité. Comprendre ces nuances vous permettra d’élaborer une politique de mots de passe qui non seulement répond aux critères juridiques, mais améliore également votre posture de sécurité globale.

Bien que tout ne soit pas couvert ici, vous trouverez ci-dessous quelques ressources de conformité qui pourront vous aider :

Global

• PCI DSS V4.0 – Nouveautés

Amérique du Nord

• NIST 800-63b : lignes directrices et meilleures pratiques en matière de mots de passe
• NIST 800-53 : directives et exigences
• Exigences du Gramm-Leach Bliley Act (GLBA) en matière de mots de passe
• Exigences de la réglementation NYDFS en matière de cybersécurité

Europe

• RGPD et contrôles d’accès (n’oubliez pas que le RGPD s’applique toujours si vous êtes basé en dehors de l’Europe et que vous travaillez avec des organisations européennes)
• Comment rendre votre politique de mots de passe conforme aux exigences du NCSC ?

3. Ne faites pas l’impasse sur la documentation

Les politiques de sécurité servent à établir des attentes claires. Idéalement, votre politique devrait exister sous la forme d’un document distinct, plutôt que d’être fusionnée dans une politique de sécurité informatique ou dans une politique d’utilisation acceptable plus larges. Elle doit articuler, dans un langage simple dans la mesure du possible, son objectif et son champ d’application, ainsi que les rôles et responsabilités spécifiques qui y sont associés. Le document devra également détailler les exigences techniques telles que la longueur et la complexité du mot de passe ainsi que d’autres critères. Il est important de préciser quels systèmes, applications, utilisateurs, services et appareils sont concernés par la politique, ainsi que les éventuelles exceptions.

Parmi les domaines souvent négligés figurent les méthodes de mesure de la conformité, les sanctions en cas de non-respect de la politique et les procédures de révision et d’évaluation régulières. Assurez-vous que tous ces aspects soient abordés et que votre comité de sécurité et les utilisateurs les acceptent et comprennent les attentes énoncées. Faites examiner le projet de politique par des experts dans les domaines concernés et apportez les mises à jour nécessaires avant de demander l’approbation de la direction. De plus, il peut être très bénéfique de faire examiner la politique par des professionnels juridiques, ainsi que par des spécialistes de la gestion des risques et des ressources humaines.

4. Élaborer un plan d’application

Il ne faut pas croire qu’une politique de mot de passe documentée sera automatiquement efficace. En l’absence d’une mise en œuvre adéquate, cette documentation n’est rien de plus qu’une ligne directrice théorique. Il n’est pas rare que les organisations disposent d’une politique de mots de passe sur papier qui diffère radicalement des pratiques réelles. La qualité d’une politique dépend de sa mise en œuvre et de son application. Il est donc essentiel de réfléchir à la manière dont vous rendrez votre politique opérationnelle.

Le simple fait d’avoir une politique écrite signifie que les parties prenantes s’attendent à ce qu’elle soit respectée. Cependant, s’il y a un décalage visible entre ce que la politique énonce et les actions entreprises, cela minera non seulement la crédibilité de votre politique de mots de passe, mais également l’intégrité de l’ensemble de votre cadre de sécurité. Il est essentiel de veiller à une application stricte et d’être prêt à réagir à tout manquement. Sans cela, vos politiques risquent de se retourner contre vous et d’engendrer plus de problèmes qu’elles n’en résolvent.

5. Audit de votre Active Directory

Il n’est pas conseillé de fixer des normes pour les mots de passe aléatoires sans avoir une connaissance approfondie des risques de sécurité spécifiques liés à l’authentification auxquels votre organisation est confrontée. Commencez par acquérir une connaissance approfondie des activités au sein de votre Active Directory et identifiez les risques réels liés aux mots de passe. Réaliser un audit de votre Active Directory constitue un excellent point de départ.

Téléchargez votre outil d’audit gratuit ici.

Specops Password Auditor par exemple, effectue une analyse en lecture seule de votre Active Directory et fournit un rapport détaillé et personnalisable mettant en évidence les vulnérabilités liées aux mots de passe. Ce rapport peut révéler des problèmes tels que des comptes administrateurs obsolètes, des utilisateurs inactifs négligés, des utilisateurs actifs dont les mots de passe ont déjà été compromis et bien plus encore. Vous pouvez télécharger cet outil d’audit gratuit pour commencer à évaluer l’état de la sécurité de votre système : Téléchargez gratuitement Specops Password Auditor..

Les recommandations de ce blog vous ont semblé utiles ? Lisez le rapport complet «Comment déployer une politique de mot de passe dans Active Directory : étape par étape» ici.