Si l’on recommande de plus en plus aux entreprises d’utiliser un gestionnaire de mots de passe, celui-ci ne peut à lui seul garantir une sécurité complète des mots de passe. Il faut une stratégie globale qui tienne compte non seulement du logiciel, mais aussi des structures organisationnelles et de processus clairs. Outre l’outil lui-même, des structures organisationnelles ainsi que des processus clairs et fiables doivent être mis en place pour assurer un traitement responsable des données sensibles. Dans l’entretien d’aujourd’hui, je souhaite approfondir ce sujet et découvrir comment ALPEIN Software SWISS AG, qui a développé son propre gestionnaire de mots de passe PassSecurium, aborde cette question cruciale. Pour cela, je me suis entretenu avec le CTO et CISO de l’entreprise, Eugen Wiltowski.

Volker Strecker : Bonjour Monsieur Wiltowski. Merci beaucoup d’avoir pris le temps de répondre à cette interview. Aujourd’hui, nous parlons de la gestion sécurisée des mots de passe dans votre entreprise. Pouvez-vous d’abord nous expliquer comment ALPEIN Software s’assure que les mots de passe sont gérés de manière efficace et sûre ?

Eugen Wiltowski : Bonjour Monsieur Strecker. Je suis ravi de parler avec vous de gestion sécurisée des mots de passe. Chez ALPEIN Software, nous avons une stratégie claire pour garantir la sécurité de nos mots de passe. Tout d’abord, nous utilisons un gestionnaire de mots de passe avec des autorisations par rôles et par groupes, qui garantit que seuls les collaborateurs habilités ont accès aux comptes et ressources qui leur sont attribués. Ce gestionnaire, PassSecurium™, est notre propre produit. Il évolue en permanence, en fonction des exigences de nos responsables produit et experts en sécurité ainsi que des retours de nos clients.

Volker : Cela semble être une méthode très aboutie. Pouvez-vous nous en dire plus sur l’organisation des mots de passe et les rôles au sein de votre entreprise ?

Eugen : Nous avons créé notre propre structure organisationnelle, dans laquelle les mots de passe sont classés de façon logique et compréhensible par service ou par type, et ne sont accessibles qu’aux groupes de collaborateurs autorisés. Chaque groupe compte un collègue ayant un rôle de manager, qui organise le groupe ou le service et attribue les droits et les rôles dans son périmètre de responsabilité.

Volker : Comment vous assurez-vous que les mots de passe respectent les politiques de sécurité requises ?

Eugen : Chaque espace de stockage des mots de passe est défini avec des politiques de sécurité spécifiques. Les plus critiques se trouvent dans le dossier de niveau de sécurité « Fort », qui empêche l’enregistrement de mots de passe plus faibles. Les critères des niveaux de sécurité peuvent être définis par les administrateurs directement dans PassSecurium™, ce qui est extrêmement pratique, car les exigences de sécurité ne cessent de croître avec la menace grandissante de la cybercriminalité et les progrès de l’informatique. Autrefois, un mot de passe de 8 caractères était considéré comme sûr ; aujourd’hui, il en faut au moins 10, voire 12.

Volker : C’est un point important. Comment garantissez-vous que les collaborateurs utilisent des mots de passe complexes ?

Eugen : Nos collaborateurs sont formés à créer les nouveaux accès exclusivement avec le générateur de mots de passe intégré. Nous nous assurons ainsi que la complexité du mot de passe correspond aux exigences du dossier concerné. Les collaborateurs n’ont donc pas besoin de retenir leurs mots de passe, puisque la plupart sont saisis grâce aux fonctions de copier-coller intégrées.

Volker : Je vois. De nombreuses entreprises utilisent des extensions de navigateur pour gérer leurs mots de passe. En utilisez-vous ?

Eugen : Non, nous n’utilisons pas d’extensions de navigateur. Même si elles sont pratiques, les navigateurs et JavaScript sont des cibles fréquentes des pirates. Ceux-ci exploitent des failles zero-day pour manipuler les extensions de navigateur. C’est pourquoi nous recommandons la prudence et conseillons à nos clients de ne pas utiliser d’extensions de navigateur. Nous proposons à la place d’autres méthodes pour récupérer les mots de passe en toute sécurité, par exemple via notre application desktop. Le blocage des extensions de navigateur peut être activé directement dans les paramètres de PassSecurium™.

Volker : Comment contrôlez-vous l’échange de mots de passe au sein de l’entreprise et vers l’extérieur ?

Eugen : Nous n’autorisons aucun partage de mots de passe en dehors du gestionnaire de mots de passe, ni via notre messagerie interne chiffrée ni par d’autres moyens, car cela laisse toujours des traces numériques. De manière générale, l’idéal est d’utiliser les mots de passe sans qu’ils n’apparaissent en clair à l’écran. Le partage de mots de passe entre collaborateurs se fait exclusivement via l’attribution de droits et la fonction de partage, pilotées par les administrateurs ou les managers. Le partage vers l’extérieur s’effectue actuellement via notre CloudSecurium™, où le partage de fichiers est limité dans le temps et protégé par un mot de passe dédié. Nous envisageons également de permettre le partage sécurisé de mots de passe avec les clients ou partenaires directement depuis PassSecurium™.

Volker : Comment protégez-vous l’accès au gestionnaire de mots de passe depuis l’extérieur de l’entreprise ?

Eugen : L’accès à notre gestionnaire de mots de passe se fait exclusivement via VPN. Nous garantissons ainsi que personne ne puisse y accéder de l’extérieur. Nous recommandons aussi vivement à nos clients d’utiliser au minimum l’authentification à deux facteurs (2FA) avec notre application AccessSecurium™, afin de sécuriser davantage l’accès à leur propre coffre-fort de mots de passe. Mieux encore : utiliser plusieurs facteurs d’authentification simultanément (MFA), par exemple en combinant VPN et mot de passe à usage unique (OTP), ou OTP et clés matérielles YubiKey, que nous utilisons nous-mêmes activement. Malheureusement, la plupart des clients trouvent cela trop contraignant. Trouver le juste équilibre entre sécurité et confort reste toujours un défi.

Volker : Merci pour ce regard sur la gestion des mots de passe chez ALPEIN Software. Il est évident que la sécurité est une priorité absolue pour votre entreprise.

Eugen : Ce fut un plaisir de parler de nos mesures de sécurité. Chez ALPEIN Software, nous sommes conscients de l’importance d’une gestion robuste des mots de passe et mettons tout en œuvre pour garantir la sécurité de nos données et de nos ressources.

Je remercie Eugen Wiltowski pour cet entretien éclairant sur la gestion sécurisée des mots de passe dans son entreprise. Les pratiques et politiques présentées peuvent servir de modèle à d’autres entreprises souhaitant mieux maîtriser et sécuriser leur gestion des mots de passe. En combinant un gestionnaire de mots de passe, des structures organisationnelles claires et des politiques de sécurité bien pensées, les entreprises peuvent optimiser le traitement et le stockage de données sensibles comme les mots de passe.

Cordialement, Volker Strecker.