Laurence Cadieux
Le 6 mai dernier, on célébrait partout dans le monde la Journée mondiale des mots de passe. Cet événement qui a lieu chaque année au premier jeudi du mois de mai est l’occasion de promouvoir de meilleures pratiques en matière de gestion des mots de passe. On sait que c’est quelque chose qui devrait être pris au sérieux immédiatement par toutes les entreprises, surtout les petites et moyennes entreprises (PME).
Notre étude sur le portrait de la cybersécurité dans les PME en 2020-2021 a révélé que, bien que certaines PME prennent des mesures pour renforcer la sécurité de leurs mots de passe, d’autres ne sont pas du tout rendues là. Résultat : elles mettent en danger leurs employés, leurs clients, leur organisation et leur réputation. Par exemple :
47 % des PME autorisent encore leurs utilisateurs finaux à réutiliser les mêmes mots de passe sur leurs comptes personnels et professionnels.
29 % des PME dépendent de la mémoire humaine pour stocker leurs mots de passe.
15 % des PME n’utilisent aucun outil pour protéger ou gérer leurs mots de passe.
Mauvaise nouvelle : c’est le genre de problème qui ne se résout pas par lui-même. Au contraire, il ne fait que grossir et devenir encore plus dangereux avec le temps. Une recherche a révélé que 81 % des fuites de données sont causées par des mots de passe compromis / faibles / réutilisés et que 29 % de toutes les violations de données, quel que soit le type d’attaque, impliquent l’utilisation d’informations d’identification volées. Plus alarmant encore : le coût moyen d’une violation de données pour les PME a dépassé les 200 000 $ US par incident (pour les grandes entreprises, le prix est monté en flèche jusqu’à 3,6 millions $ US par incident). Dans les six mois qui suivent ce genre d’incident, 60 % des PME doivent cesser leurs activités.
Il y a aussi de bonnes nouvelles! Le marché mondial des solutions de gestion des mots de passe est en plein essor avec une valeur estimée à 2,05 milliards de dollars d’ici 2025. Qu’est-ce que cela signifie? Que les entreprises de toutes tailles, y compris les PME ayant toujours été ignorées par plusieurs fournisseurs de services, vont avoir un plus grand choix de produits.
Que vous soyez en train d’implanter une solution de gestion des mots de passe pour la première fois ou que vous songez à remplacer votre solution actuelle, voici un aperçu des solutions auto-hébergées et infonuagiques pour aider votre entreprise à faire le bon choix :
Déploiement
Nuage : contrairement à la croyance populaire, les solutions de gestion des mots de passe dans le nuage ne sont pas hébergées « dans les airs ». Ils sont au contraire hébergés par un fournisseur de services. Les clients peuvent accéder à ces ressources aussi souvent qu’ils le souhaitent, à partir de n’importe quel appareil connecté à Internet.
Sur site : les solutions de gestion des mots de passe sur site sont déployées à l’interne, au sein de l’infrastructure d’une entreprise. Contrairement au modèle basé sur le nuage, c’est l’entreprise et non le fournisseur de services qui est responsable de la maintenance de la solution et des processus associés.
Contrôle
Nuage : les solutions infonuagiques permettent aux fournisseurs de services de garder le contrôle, non pas pour diminuer celui des clients, mais plutôt (comme mentionné récemment) parce qu’ils sont responsables de l’hébergement et de la maintenance de la solution. Ils ont donc besoin d’un certain contrôle pour garder le tout opérationnel et sécuritaire.
Sur site : avec les solutions sur site, les entreprises conservent et contrôlent leurs ressources à l’interne. Même s’il s’agit d’un avantage pour certaines entreprises, ça peut aussi devenir un inconvénient pour d’autres - surtout pour les PME qui n’ont pas les infrastructures et les employés spécialisés pour optimiser et sécuriser en permanence leur solution.
Sécurité
Nuage : dans le passé, les soucis de sécurité constituaient la principale raison pour laquelle les entreprises hésitaient à adopter des applications, ressources et solutions infonuagiques (dont les solutions de gestion de mots de passe). Depuis quelques années, la sécurité du nuage s’est considérablement améliorée. Par exemple, les fournisseurs de services de gestion des mots de passe dans le nuage font de la surveillance 24 heures sur 24, 7 jours sur 7, effectuent continuellement des tests d’intrusion, etc. Ce niveau élevé et continu de sécurité ne peut souvent pas être atteint par les PME à cause de leurs budgets limités et du manque de spécialistes en cybersécurité.
Sur site : étant donné que les solutions de gestion des mots de passe sur site sont hébergées, maintenues et contrôlées au sein même de l’infrastructure informatique de l’entreprise, elles sont par nature plus sécurisées que les solutions infonuagiques. Cependant, comme mentionné précédemment, cela ne signifie pas que ces solutions ne sont pas pour autant sécuritaires. Au contraire, ça signifie simplement que celles sur site offrent un niveau de sécurité supplémentaire. Pour certaines entreprises, ce niveau est important – voire essentiel – pour des raisons de conformité (pour plus d’informations à ce sujet, rendez-vous dans la section suivante). Pour d’autres entreprises, cette couche n’est pas nécessaire et le choix d’une solution basée sur le nuage est plus pratique et abordable.
Conformité
Nuage : en matière de conformité, les entreprises devraient toujours s’assurer que le fournisseur de services de solution de gestion des mots de passe respecte des normes de conformité pertinentes comme SOC 2 Type II et ISO 27001: 2013. Un bon fournisseur de services infonuagiques devrait, notamment, utiliser la cryptographie.
Sur site : certaines entreprises de secteurs comme la santé peuvent être tenues de maintenir un contrôle interne complet de leurs données (leurs données ne peuvent pas être stockées en dehors de leur environnement, avec un fournisseur de services tiers). Dans ce cas, il est nécessaire de choisir une solution de gestion des mots de passe sur site.
Coût
Nuage : avec les solutions infonuagiques de gestion des mots de passe, les entreprises n’ont pas besoin d’acheter de logiciel ou de matériel. Elles achètent plutôt une licence ou un abonnement permettant d’accéder à la solution via Internet. Le type d’accès auquel ils ont droit dépend du type de licence / abonnement dont ils disposent. Par exemple, certaines solutions permettent d’accéder à des machines spécifiques, tandis que d’autres vont donner accès à des utilisateurs spécifiques. Ce dernier est beaucoup plus convivial, parce qu’il permet aux utilisateurs finaux d’accéder à la solution où qu’ils se trouvent, via n’importe quel appareil.
Sur site : les solutions sont généralement plus coûteuses. Les entreprises doivent mettre sur pied l’infrastructure et les processus informatiques nécessaires tout en couvrant les coûts d’exploitation et de maintenance continuellement. Plusieurs PME manquent du budget et de personnel pour répondre à ces exigences. C’est pour cette raison qu’elles choisissent bien des solutions infonuagiques.
Mise en œuvre
Nuage : normalement, les solutions infonuagiques « devraient » être faciles à implanter. On insiste sur « devraient », parce que ce n’est malheureusement pas toujours le cas. Certaines solutions sont simples et se déploient rapidement, tandis que d’autres sont très (et inutilement) complexes, nécessitant une configuration difficile et plusieurs tests. Toute entreprise qui opte pour une solution infonuagique devrait s’assurer qu’elle ne devienne pas une source de stress supplémentaire. Lire des témoignages et profiter des périodes d’essai gratuites sont de bons moyens de vérifier le tout.
Sur site : les solutions sur site sont plus complexes à mettre en œuvre, parce qu’elles sont hébergées et gérées à l’interne. Elles doivent donc être configurées et intégrées à l’environnement existant. Toute entreprise qui choisit une option sur site devrait s’assurer que son fournisseur de services dispose des ressources et des programmes pour rendre l’implantation aussi rapide et facile que possible.
Autres considérations
Pour faire le bon choix de solution de gestion des mots de passe, vous devriez aussi considérer ces autres facteurs :
L’assistance technique : le fournisseur de services doit offrir un soutien technique complet avant, pendant et après l’implantation, et ce, par des experts.
Mises à niveau et mises à jour : le fournisseur de services doit constamment mettre à niveau sa solution. Avec les solutions infonuagiques, ces mises à jour sont généralement automatiques, tandis qu’avec les solutions sur site, elles doivent être faites par l’équipe informatique interne.
Outils complémentaires : le fournisseur de services doit offrir une gamme complète et croissante d’outils complémentaires pour en améliorer la convivialité et la valeur ajoutée.
Et le gagnant est…
Lorsqu’on lit une comparaison, on s’attend souvent à ce qu’un gagnant en ressorte. Ce n’est pas le but de cet article. Aucun des deux types de solutions n’est supérieur à l’autre. Comme mentionné tout au long de l’article, chacun offre des avantages et des inconvénients.
Au bout du compte, le bon choix sera celui qui améliore (considérablement pour certaines entreprises) les bonnes pratiques en matière de gestion des mots de passe. Considérant les coûts et les conséquences d’une violation de données, il est plus difficile et plus important que jamais de garder les informations d’identification à l’abri des pirates.
En direct du bureau de notre Chef de la sécurité, Martin Lemay
L’interminable débat entre le nuage et l’auto-hébergement frappe à nouveau, cette fois-ci en matière de solutions de gestion de mots de passe. À mon avis, la discussion devrait surtout évoluer autour des besoins de gestion des mots de passe d’une entreprise. Ces besoins peuvent varier en fonction d’une multitude de facteurs comme l’emplacement et les rôles des utilisateurs, les exigences de disponibilité, la taille et la complexité de l’environnement informatique, la valeur des données à protéger, les exigences de conformité et de sécurité, etc. Les déploiements hybrides, comme les solutions infonuagiques et sur site, pourraient ainsi résoudre des besoins distincts au lieu d’un seul produit plus restrictif. Une même solution peut être déployée plusieurs fois pour résoudre des problèmes comme la séparation des tâches. Que vous choisissiez une option sur site ou dans le nuage, gratuite ou payante, assurez-vous de définir clairement vos besoins et de pousser votre réflexion avant de magasiner votre prochaine technologie.
Explorez nos solutions
Chez Devolutions, on est fiers de vous proposer à la fois une solution infonuagique de gestion des mots de passe (Password Hub Business) et une solution de gestion des mots de passe déployable dans votre infrastructure (Devolutions Server).
Password Hub Business est un gestionnaire infonuagique de mots de passe sécurisé conçu pour les équipes. Il permet aux entreprises de stocker et de gérer en toute sécurité les mots de passe des utilisateurs et toutes autres informations sensibles, comme les codes d’alarme des bâtiments et les numéros de cartes de crédit. Tout est accessible à partir de n’importe quel navigateur via une interface Web. Bref, Password Hub Business, c’est l’équilibre parfait entre sécurité et convivialité. Pour un essai gratuit, cliquez ici.
Devolutions Server est une solution complète de gestion des comptes partagés et des mots de passe, avec des fonctionnalités d’accès privilégiés intégrées, créées pour répondre aux exigences de sécurité toujours plus grandes des PME. Rapide et facile à déployer, il possède toutes les fonctionnalités de base requises d’une solution PAM, tout en restant très abordable. Lorsqu’utilisé en combinaison avec notre solution centralisée de gestion de connexions à distance Remote Desktop Manager, Devolutions Server est un outil robuste de gestion de comptes et de sessions, prenant en charge plus de 150 intégrations et technologies. Pour un essai gratuit, cliquez ici.
Steven Lafortune
