Un collaborateur quitte l'entreprise, mais connaît toujours le mot de passe d'un compte professionnel partagé. Un prestataire externe obtient temporairement l'accès à une application cloud, mais son autorisation n'est pas supprimée une fois le projet terminé. Ou encore, des identifiants sensibles sont échangés au sein d'une équipe via des tableaux Excel et des e-mails.

Dans le quotidien de l'entreprise, de telles situations semblent souvent anodines. Mais en cas d'accès non autorisé ou de perte d'informations sensibles, elles peuvent entraîner des risques de sécurité considérables et, dans certaines circonstances, des conséquences juridiques.

Le défi central est donc le suivant : les entreprises doivent non seulement protéger leurs données, mais aussi être en mesure de contrôler qui a accès à quels systèmes.

Pourquoi la sécurité des mots de passe est aussi une question de conformité

Les mots de passe font partie des moyens d'accès les plus importants dans les entreprises. Ils protègent les comptes de messagerie, les bases de données clients, les services cloud, les systèmes financiers et de nombreuses autres applications professionnelles.

Dans le même temps, ils représentent un risque souvent sous-estimé. Si des identifiants sont réutilisés, stockés sans chiffrement ou transmis de manière incontrôlée, un seul compte compromis peut déjà avoir des conséquences importantes.

Les exigences légales en matière de sécurité de l'information visent précisément ces risques.

En Suisse, la loi fédérale sur la protection des données (LPD) révisée, en vigueur depuis le 1^er septembre 2023, constitue une base juridique essentielle. Elle exige des entreprises qu'elles protègent les données personnelles au moyen de mesures techniques et organisationnelles appropriées.

Il ne s'agit pas uniquement de chiffrement ou de protection de l'infrastructure informatique. L'organisation des droits des utilisateurs, des procédures de connexion sécurisées et des responsabilités internes font également partie d'un concept de sécurité efficace.

Un gestionnaire de mots de passe professionnel peut aider les entreprises à mettre en œuvre de telles mesures. Il permet par exemple de stocker les identifiants de manière protégée, d'attribuer les autorisations de façon structurée et de limiter la transmission de mots de passe par des canaux inappropriés.

Il est toutefois important de souligner que l'utilisation d'un gestionnaire de mots de passe ne garantit pas à elle seule le respect intégral de toutes les règles de protection des données. Ce qui compte, c'est la manière dont la solution est intégrée dans les processus de sécurité existants.

LPD et RGPD : ce que les entreprises suisses doivent prendre en compte

De nombreuses entreprises suisses travaillent avec des clients, des partenaires ou des prestataires dans d'autres pays européens. C'est pourquoi, outre la loi suisse sur la protection des données, des réglementations européennes peuvent également devenir pertinentes.

La LPD suisse oblige les responsables du traitement à garantir la sécurité des données personnelles traitées de manière adaptée au risque. Cela comprend notamment des mesures contre les accès non autorisés, la perte de données et l'utilisation abusive.

Le Règlement général européen sur la protection des données (RGPD) poursuit des objectifs de protection comparables. Sous certaines conditions, il peut aussi s'appliquer à des entreprises situées hors de l'UE, par exemple lorsqu'elles proposent de manière ciblée des biens ou des services à des personnes se trouvant dans l'UE ou qu'elles y suivent leur comportement. En revanche, une simple relation commerciale avec une entreprise de l'UE n'entraîne pas automatiquement l'application de toutes les dispositions du RGPD.

Le transfert de données personnelles de l'UE vers la Suisse bénéficie d'un allègement important : la Commission européenne reconnaît la Suisse comme un pays offrant un niveau de protection des données adéquat. Les autres obligations en matière de protection des données n'en sont pas affectées.

Dans la pratique, il en découle une exigence de base commune : les entreprises devraient définir de manière traçable quelles personnes sont autorisées à accéder à des informations sensibles et par quelles mesures de sécurité ces accès sont contrôlés.

C'est précisément là qu'une gestion structurée des mots de passe et des accès prend toute son importance.

NIS2, DORA et Cyber Resilience Act : d'autres exigences en matière de sécurité informatique

Outre la protection des données, d'autres réglementations relatives à la cybersécurité gagnent en importance en Europe.

La directive NIS2 s'adresse en particulier aux moyennes et grandes entreprises de certains secteurs critiques ou particulièrement importants, comme l'approvisionnement énergétique, la santé, les transports, les infrastructures numériques et certains services informatiques. Sous certaines conditions, des organisations plus petites peuvent également être concernées.

Parmi les principaux domaines de sécurité figurent la gestion des risques, les contrôles d'accès, l'utilisation appropriée de l'authentification multifacteur, la gestion des incidents de sécurité et la sécurisation des chaînes d'approvisionnement. Les obligations concrètes découlent de la directive et de sa transposition nationale respective.

Par ailleurs, le règlement DORA (Digital Operational Resilience Act) s'applique depuis le 17 janvier 2025 à certaines entités financières de l'UE. Il fixe des exigences concernant la gestion des risques informatiques, des perturbations opérationnelles numériques et des prestataires informatiques externes.

Le Cyber Resilience Act (CRA) de l'UE concerne quant à lui principalement les fabricants de produits matériels et logiciels comportant des éléments numériques. Depuis le 11 septembre 2026, certaines obligations de notification s'appliquent déjà aux vulnérabilités activement exploitées et aux incidents de sécurité graves. Les exigences essentielles relatives aux produits seront applicables à partir du 11 décembre 2027.

Toutes les PME suisses ne relèvent pas automatiquement de ces réglementations européennes. Les facteurs déterminants sont notamment l'activité commerciale, les prestations proposées et le champ d'application juridique concerné.

Ces évolutions indiquent néanmoins une direction claire : la cybersécurité doit de plus en plus être organisée, contrôlée et assumée de manière systématique.

Gestion des mots de passe en entreprise : là où naissent les plus grands risques

Les exigences légales peuvent sembler complexes. Dans le travail quotidien, de nombreux problèmes de sécurité trouvent toutefois leur origine dans des faiblesses organisationnelles élémentaires.

La situation devient particulièrement critique lorsque les identifiants ne sont pas gérés de manière centralisée.

Il en résulte souvent des situations similaires dans les entreprises :

• Plusieurs collaborateurs utilisent le même mot de passe pour un compte professionnel.
• Des identifiants sont enregistrés dans des fichiers Excel, des documents ou des e-mails.
• Des prestataires externes reçoivent des mots de passe sans que leur utilisation ultérieure soit suffisamment contrôlée.
• Après le départ de collaborateurs, des mots de passe connus de plusieurs personnes restent inchangés.
• Personne ne peut déterminer de manière fiable quels accès existent au sein d'un service.

Le véritable problème ne réside pas uniquement dans la robustesse d'un mot de passe. Même un mot de passe long et techniquement sûr peut devenir un risque s'il est transmis sans contrôle ou si d'anciens collaborateurs le connaissent encore.

Les entreprises ont donc besoin d'une structure claire pour la gestion des accès professionnels.

Un gestionnaire de mots de passe centralisé peut aider à mettre à disposition de manière protégée les mots de passe et autres informations d'accès prises en charge, et à lier leur utilisation à des autorisations définies.

Quelles mesures de sécurité une gestion professionnelle des mots de passe soutient-elle ?

La gestion moderne des mots de passe va bien au-delà du simple stockage et du remplissage automatique des mots de passe. Pour les entreprises, les domaines suivants sont particulièrement pertinents.

1. Un stockage protégé plutôt que des listes de mots de passe incontrôlées

Les identifiants professionnels ne devraient pas être dispersés dans des documents non protégés ou des notes personnelles.

Un gestionnaire de mots de passe professionnel stocke les mots de passe dans un environnement chiffré. Cela permet de réduire le risque que des identifiants sensibles soient divulgués par inadvertance ou transmis par des canaux de communication inappropriés.

2. Autorisations basées sur les rôles et partages contrôlés

Tous les collaborateurs n'ont pas besoin d'accéder à l'ensemble des comptes de l'entreprise.

Grâce à des autorisations basées sur les rôles et les groupes, les entreprises peuvent définir quelles personnes ou quelles équipes peuvent utiliser certains identifiants. Cela favorise le principe dit du moindre privilège (least privilege) : les utilisateurs ne reçoivent que les autorisations nécessaires à l'exécution de leurs tâches.

Il reste important de distinguer l'accès à un gestionnaire de mots de passe des autorisations au sein d'une application. Les deux doivent être gérés de manière appropriée.

3. Des processus d'arrivée et de départ sécurisés

Lorsque des collaborateurs quittent l'entreprise ou changent de fonction en interne, les droits d'accès doivent être adaptés.

La désactivation d'un compte utilisateur dans l'Active Directory ou dans le système de gestion des identités peut constituer un élément important de l'offboarding. Elle n'empêche toutefois pas nécessairement l'utilisation continue de mots de passe déjà connus pour des comptes professionnels indépendants ou partagés.

Les entreprises devraient donc également vérifier quels identifiants doivent être modifiés, quelles sessions en cours doivent être fermées et quelles autres possibilités de connexion doivent être révoquées.

Une gestion centralisée des mots de passe aide à identifier les accès concernés et à réorganiser leur mise à disposition.

4. Authentification multifacteur et mots de passe robustes

Un mot de passe seul ne devrait pas constituer l'unique mesure de protection, en particulier pour les applications professionnelles critiques.

L'authentification multifacteur complète la connexion par un mécanisme de sécurité supplémentaire. Dans la mesure du possible, il convient de privilégier des méthodes résistantes au phishing.

Parallèlement, des mots de passe longs et uniques restent nécessaires pour de nombreuses applications. Un gestionnaire de mots de passe peut générer et gérer ces mots de passe en toute sécurité, sans que les collaborateurs aient besoin de les mémoriser.

5. Traçabilité et contrôle régulier

Pour la sécurité informatique, il importe non seulement de savoir si des autorisations ont été accordées, mais aussi si elles sont toujours justifiées.

Des fonctions d'administration et de journalisation adaptées peuvent aider à retracer les modifications d'autorisations et certains événements d'accès. Les informations effectivement enregistrées dépendent de la solution utilisée et de sa configuration.

Un contrôle régulier des droits d'accès existants permet de détecter à temps les autorisations inutiles et les partages obsolètes.

Cyberattaque ou perte de données : quand existe-t-il une obligation d'annonce ?

Malgré les mesures de protection techniques et organisationnelles, les incidents de sécurité ne peuvent jamais être totalement exclus.

Si, par exemple, un compte professionnel est compromis et que des personnes non autorisées accèdent ainsi à des données personnelles, l'entreprise doit vérifier s'il s'agit d'une violation de la sécurité des données soumise à annonce.

En Suisse, la LPD exige une annonce au Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais lorsque la violation entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées.

Selon le RGPD, une violation de données à caractère personnel soumise à notification doit en principe être notifiée à l'autorité de contrôle compétente dans un délai de 72 heures après en avoir pris connaissance. Une notification n'est pas nécessaire si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques.

En outre, depuis le 1^er avril 2025, certains exploitants d'infrastructures critiques en Suisse sont tenus de signaler les cyberattaques à l'Office fédéral de la cybersécurité (OFCS). Les cyberattaques soumises à l'obligation de signalement doivent en principe être signalées dans les 24 heures suivant leur découverte.

Selon l'entreprise et le système concerné, un incident de sécurité peut donc déclencher différentes obligations légales.

Outre la réponse technique, des procédures internes claires doivent être en place. Qui évalue l'incident ? Qui informe la direction ? Quels comptes doivent être bloqués et quelles autorités doivent, le cas échéant, être informées ?

Une gestion structurée des mots de passe et des droits d'accès facilite l'identification des comptes concernés et la mise en place des mesures de protection nécessaires. Elle ne remplace toutefois ni un plan de réponse aux incidents ni l'évaluation juridique des obligations d'annonce.

Prestataires informatiques externes : la responsabilité ne se délègue pas si facilement

De nombreuses entreprises collaborent avec des partenaires informatiques externes, des fournisseurs cloud ou des prestataires spécialisés. Certains d'entre eux ont besoin d'accéder à des systèmes internes et à des informations professionnelles.

La collaboration avec des partenaires externes ne libère toutefois pas automatiquement les entreprises de leurs responsabilités en matière de protection des données.

Il convient donc de définir clairement quels accès sont nécessaires et à quelle fin, combien de temps ils peuvent être maintenus et qui est responsable de leur contrôle.

Les accès partagés méritent une attention particulière. Lorsque des mots de passe sont transmis à des partenaires externes, il peut devenir difficile de garder une vue d'ensemble sur leur utilisation ultérieure.

Une gestion professionnelle des mots de passe peut apporter ici une contribution importante. Les accès peuvent être mis à disposition de manière structurée, les autorisations gérées de façon ciblée et retirées si nécessaire.

Pour les mots de passe déjà transmis, un changement de mot de passe peut en outre s'avérer nécessaire. La simple suppression d'un partage dans le gestionnaire de mots de passe ne rend pas automatiquement invalide un mot de passe déjà connu.

Une collaboration sécurisée avec des partenaires externes nécessite donc à la fois des mécanismes de protection techniques et des règles organisationnelles claires.

Quelles conséquences juridiques les manquements en matière de sécurité peuvent-ils avoir ?

Les violations de la protection des données et le non-respect des exigences légales en matière de sécurité peuvent avoir des conséquences importantes.

En Suisse, la LPD prévoit, pour certaines infractions intentionnelles, des amendes pouvant atteindre CHF 250 000 à l'encontre des personnes physiques responsables. Sous certaines conditions légales particulières, c'est l'entreprise qui peut être condamnée à une amende pouvant atteindre CHF 50 000.

Le RGPD prévoit, pour les violations particulièrement graves, des amendes pouvant atteindre 20 millions d'euros ou quatre pour cent du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

D'autres réglementations, comme NIS2, prévoient également des mécanismes de sanction dont l'application concrète dépend du cadre juridique concerné.

Toutefois, toute faille de sécurité n'entraîne pas automatiquement une amende. Les facteurs déterminants sont les obligations légales concrètes, les circonstances de l'incident et, le cas échéant, la faute commise.

Indépendamment de cela, les cyberattaques peuvent avoir des conséquences opérationnelles : interruptions d'activité, coûts de restauration, pertes de données potentielles et perte de confiance des clients.

Les mesures de sécurité préventives ne sont donc pas seulement une question de conformité, mais aussi de gestion des risques économiques.

Conclusion : une gestion sécurisée des mots de passe est un élément d'une gouvernance d'entreprise responsable

Les exigences réglementaires en matière de protection des données et de cybersécurité continuent d'évoluer. Pour les entreprises suisses, cela signifie avant tout remettre régulièrement en question les processus de sécurité existants.

Il ne s'agit pas de multiplier les solutions de sécurité isolées. Ce qui compte, c'est un concept global cohérent et traçable, qui associe mesures techniques et organisationnelles.

Une gestion professionnelle des mots de passe peut y contribuer de manière essentielle. Grâce au stockage protégé, aux partages contrôlés, à des autorisations claires et à des processus d'arrivée et de départ bien définis, de nombreux risques liés à la gestion des accès professionnels peuvent être réduits.

Dans le même temps, d'autres mesures de protection telles que l'authentification multifacteur, la gestion des identités, la formation des collaborateurs et une gestion efficace des incidents de sécurité restent indispensables.

La question décisive pour les entreprises n'est donc pas seulement : nos mots de passe sont-ils sûrs ? Mais aussi : savons-nous à tout moment qui peut accéder à quels accès professionnels et comment nous les contrôlons ?

Celles et ceux qui peuvent répondre à ces questions et mettent en œuvre les processus correspondants de manière cohérente posent une base importante pour la sécurité de l'information, la protection des données et la résilience numérique à long terme.

Vous souhaitez améliorer la gestion des mots de passe dans votre entreprise ?

Une gestion centralisée et sécurisée des mots de passe et des accès peut aider les entreprises à réduire les risques et à rendre leurs processus de sécurité internes plus efficaces. Découvrez comment une gestion professionnelle des mots de passe peut soutenir votre organisation au quotidien.