Protège les comptes de l’équipe avec des règles claires

Un compte d’équipe est difficile à protéger lorsque personne ne sait qui en est responsable, qui y accède encore ou comment le récupérer. Rends ces responsabilités visibles. De meilleures habitudes demandent des protections techniques et un processus compréhensible.

Crée un inventaire court des accès

Liste messagerie professionnelle, stockage, outils clients, administration du site et services de paiement. Note responsable métier, administrateur et méthode de récupération. Conserve l’inventaire dans un emplacement approuvé sans en faire un document contenant mots de passe et codes de secours.

Repère les identifiants partagés, les comptes d’anciens collègues et les outils inscrits avec une adresse personnelle. Priorise les accès capables de réinitialiser d’autres comptes ou de contrôler des informations sensibles.

Utilise des identités séparées et un gestionnaire

Crée des comptes individuels lorsque le service le permet. Attribue les droits nécessaires et examine séparément les privilèges administrateur. Si un identifiant partagé est indispensable, utilise un gestionnaire professionnel approuvé avec partage contrôlé plutôt qu’un message.

Choisis des mots de passe forts et uniques et un gestionnaire approuvé. Des identifiants différents pour chaque service évitent qu’un seul mot de passe exposé ouvre automatiquement d’autres comptes.

Ajoute l’authentification multifacteur

La MFA demande un facteur supplémentaire au-delà du mot de passe. Privilégie une méthode résistante au phishing lorsqu’elle est disponible. Demande à l’administration informatique quelle option convient aux services et appareils utilisés.

N’accepte pas une demande de connexion inattendue ; signale-la par le canal convenu. Range les éléments de récupération en sécurité, séparément de l’accès quotidien, avec des droits limités. La perte d’un téléphone ne doit pas faire dépendre l’entreprise de la mémoire d’une seule personne.

Organise les changements

À l’arrivée d’une personne, définis les systèmes nécessaires et les validations. Lors d’un changement de rôle, retire les droits inutiles en plus d’en ajouter. Au départ, utilise une liste pour supprimer les accès, changer les secrets partagés si nécessaire et transférer les documents professionnels.

Attribue un responsable et un délai interne. Une procédure sans personne chargée de l’appliquer laisse les mêmes lacunes qu’une absence de procédure.

Vérifie la récupération sans risque

Choisis un compte non critique et examine les options documentées. Confirme les adresses et contacts administrateur. Ne désactive pas les protections d’un service essentiel simplement pour expérimenter.

Lors du prochain contrôle, demande : connaissons-nous le responsable, pouvons-nous retirer rapidement les accès et une personne autorisée peut-elle récupérer le compte ? Résous les points flous avant d’ajouter des outils.

Sources: CISA: Secure Our World — Passwords tip sheet; CISA: Require Multifactor Authentication.