Mots de passe et Wi-Fi invités : deux failles simples à corriger dans votre PME

Certaines failles de sécurité ne demandent ni budget important ni grand chantier pour être corrigées. Voici deux cas rencontrés chez nos clients et les vérifications à faire chez vous.

Quand on parle de cybersécurité, on pense souvent à des attaques sophistiquées. Sur le terrain, nous constatons autre chose : beaucoup de risques viennent d'habitudes prises au fil des années, pour gagner du temps.

Ces habitudes ne sont pas des fautes. Elles répondent à un besoin réel. Mais elles laissent parfois une porte ouverte qu'il suffit de refermer. Deux exemples, dans deux métiers différents.

Mots de passe dans un fichier Excel : une habitude très répandue

Chez un nouveau client, un cabinet comptable, les mots de passe de tous les services de l'entreprise étaient regroupés dans un fichier Excel, enregistré sur le bureau de l'ordinateur de la gérance.

On comprend pourquoi. C'est simple, tout le monde sait l'ouvrir, et on retrouve un accès en quelques secondes.

Le problème, c'est que ce fichier concentre toutes les clés de l'entreprise au même endroit, souvent sans protection. S'il est copié, envoyé par erreur, ou lu par une personne qui accède à l'ordinateur, tous les accès deviennent lisibles d'un coup : messagerie, logiciel comptable, banque, sites des administrations.

Pour un cabinet comptable, qui manipule les données financières de ses propres clients, l'enjeu dépasse largement l'entreprise elle-même.

Le gestionnaire de mots de passe, un coffre-fort pour toute l'équipe

La solution mise en place a été un gestionnaire de mots de passe. Il s'agit d'un coffre-fort numérique : les mots de passe y sont chiffrés, c'est-à-dire rendus illisibles pour toute personne qui n'a pas la clé.

Concrètement, un gestionnaire de mots de passe permet de :

• stocker tous les accès dans un espace protégé par un mot de passe principal, idéalement complété par la double authentification ;
• partager un accès avec un collègue sans lui envoyer le mot de passe par e-mail ;
• retirer un accès en un clic quand un salarié quitte l'entreprise ;
• générer des mots de passe longs et différents pour chaque service.

Dans ce cabinet, la migration du fichier Excel vers le gestionnaire a pris une demi-journée. La durée dépend bien sûr du nombre de comptes et de personnes concernées, mais l'ordre de grandeur montre qu'il ne s'agit pas d'un projet de plusieurs mois.

Ce conseil s'adresse en priorité aux structures où plusieurs personnes partagent les mêmes accès : cabinets, agences, petites équipes administratives.

Wi-Fi invités : séparer les visiteurs de vos postes de travail

Deuxième cas, dans le secteur de la santé. Un cabinet médical proposait le Wi-Fi à ses patients en salle d'attente. Une attention appréciée, mais les patients se connectaient au même réseau que les postes du secrétariat.

Un réseau informatique fonctionne un peu comme un couloir : tous les appareils qui y sont connectés peuvent, en principe, « se voir ». Le téléphone d'un patient se retrouvait donc dans le même couloir que les ordinateurs qui gèrent les rendez-vous et les dossiers. Or les données de santé font partie des informations les plus sensibles qu'une entreprise puisse détenir.

La correction a consisté à créer un réseau invité isolé, configuré sur le pare-feu du cabinet (le boîtier qui filtre les échanges entre votre réseau et l'extérieur). Les patients ont toujours accès à internet, mais ils n'ont plus aucun moyen d'atteindre les postes de travail. L'opération a pris une heure.

Ce point concerne toutes les entreprises qui reçoivent du public ou des visiteurs : cabinets de santé, agences, commerces, salles de réunion ouvertes aux clients et prestataires.

Deux vérifications à faire dans votre PME cette semaine

Pas besoin d'être informaticien pour faire un premier état des lieux. Posez ces deux questions à votre équipe ou à votre prestataire.

Où sont rangés les mots de passe de l'entreprise ? Si la réponse est un fichier Excel, un document Word, un carnet ou des post-it, c'est le signe qu'un gestionnaire de mots de passe vous serait utile.

Le Wi-Fi des visiteurs est-il séparé de celui des postes de travail ? Si vous ne savez pas, faites-le vérifier. Un nom de réseau différent ne suffit pas toujours : ce qui compte, c'est que les deux réseaux soient réellement isolés l'un de l'autre.

Ce qu'il faut retenir

• Un fichier qui regroupe tous les mots de passe concentre tous les accès de l'entreprise au même endroit : un gestionnaire de mots de passe les protège et facilite le partage.
• Les visiteurs ne doivent pas être connectés au même réseau que vos postes : un réseau invité isolé leur donne internet, rien de plus.
• Ces deux corrections ont pris, dans nos cas, une demi-journée et une heure.

Passer à l'action

Ces deux failles ont un point commun : elles sont invisibles au quotidien, et leur correction est rapide une fois qu'on les a repérées. Prenez dix minutes cette semaine pour vérifier ces deux points. Si l'un d'eux pose question, faites-vous accompagner pour le corriger proprement. Les équipes d'Another IT peuvent vous aider à faire ce premier état des lieux.