Accès et identités : fermer la porte la plus empruntée

Pourquoi les accès et les identités comptent pour une PME

La plupart des attaques contre une PME ne commencent pas par une prouesse technique. Elles commencent par un identifiant valide : un mot de passe réutilisé, volé par hameçonnage ou retrouvé dans une fuite de données. Avec lui, l'attaquant se connecte comme un salarié, lit la messagerie, prépare une fraude ou dépose un rançongiciel. Sécuriser les identités, c'est fermer cette porte.

Ce que disent les chiffres

• En 2025, le piratage de compte est devenu la première menace pour les entreprises et associations assistées par Cybermalveillance.gouv.fr : 21 % des parcours d'assistance, en hausse de 52 %. Le dispositif l'attribue aux violations de données et aux campagnes d'hameçonnage réussies.
• L'hameçonnage, qui sert précisément à voler des identifiants, arrive en deuxième position avec 16 % des diagnostics (+29 %). La fraude au virement, souvent préparée depuis une messagerie piratée, suit avec 13,5 % (+93 %).
• Selon le rapport Verizon DBIR 2025, l'abus d'identifiants reste le vecteur d'accès initial le plus fréquent des violations de données.
• Le même rapport a croisé les victimes de rançongiciels avec les identifiants dérobés par des logiciels espions : pour 54 % des victimes, le domaine internet de l'entreprise figurait dans ces listes, et pour 40 % des adresses e-mail professionnelles.
• Seules 26 % des TPE-PME déclarent utiliser une double authentification pour se connecter à distance au réseau de l'entreprise, 46 % un gestionnaire de mots de passe et 51 % une politique de mots de passe (baromètre Cybermalveillance.gouv.fr et OpinionWay 2025).

Ce qui rend le sujet délicat

Un accès indu ne se voit pas. Un compte d'ancien salarié qui fonctionne encore, un compte partagé dont personne ne connaît plus les détenteurs, un utilisateur administrateur de son poste : rien de tout cela ne déclenche d'alerte. C'est pourquoi ce domaine repose sur des procédures (arrivée, départ, revue) autant que sur des outils.

Se situer en six questions

Ces questions reprennent les points que le diagnostic Lyyp évalue dans ce domaine. Répondez par oui ou par non ; « en partie » compte comme non.

1. La double authentification est-elle activée sur tous les comptes sensibles ?

Par comptes sensibles, entendez la messagerie, les accès à distance, la banque en ligne, les consoles d'administration et les logiciels métier hébergés. Non : c'est votre priorité absolue, car c'est la mesure qui neutralise le plus directement un mot de passe volé. Oui : vérifiez qu'aucune exception « temporaire » ne subsiste, notamment pour la direction.

2. Vos applications principales passent-elles par une authentification unique (SSO) ?

Non : chaque salarié gère autant de mots de passe que d'outils, et le départ d'un collaborateur impose de fermer chaque compte un par un. Ce n'est pas un défaut grave pour une très petite structure, mais la charge grandit vite. Oui : le compte central devient critique ; il doit impérativement être protégé par la double authentification.

3. Les comptes administrateurs sont-ils distincts des comptes du quotidien ?

Non : une pièce jointe piégée ouverte depuis un compte administrateur donne à l'attaquant le contrôle complet du poste, voire du réseau. Oui : ces comptes d'administration servent-ils uniquement à administrer, jamais à naviguer sur internet ni à lire ses e-mails ?

4. Les arrivées et les départs suivent-ils une procédure écrite ?

Non : il existe très probablement des comptes actifs d'anciens salariés ou prestataires. Oui : la procédure de départ est-elle appliquée le jour même, et couvre-t-elle aussi les outils en ligne souscrits hors du service informatique ?

5. Les droits d'accès sont-ils revus régulièrement ?

Non : les droits s'accumulent au fil des changements de poste, et chacun finit par accéder à plus que nécessaire. Oui : une revue annuelle, validée par les responsables métier, est un bon rythme pour une PME.

6. Votre politique de mots de passe suit-elle les recommandations actuelles ?

Non, ou vous ne savez pas : lisez la section suivante, car certaines pratiques encore répandues (changement forcé tous les trois mois, mot de passe court mais « complexe ») ne correspondent plus aux recommandations. Oui : un gestionnaire de mots de passe est-il fourni aux salariés ?

Si vous avez répondu non à la question 1, commencez par elle : les cinq autres peuvent attendre quelques semaines, celle-là non.

Les mesures prioritaires, dans l'ordre

L'ordre ci-dessous s'appuie sur le guide d'hygiène informatique de l'ANSSI (partie « Authentifier et contrôler les accès », mesures 8 à 13) et sur le guide ANSSI et DGE « La cybersécurité pour les TPE/PME en 13 questions ».

1. Activer la double authentification partout où elle existe

Le guide des 13 questions est sans ambiguïté : il faut activer l'authentification multifacteur quand elle est proposée par le fournisseur de service. Commencez par la messagerie, puis les accès à distance, les outils d'administration et la banque. La CNIL, dans sa recommandation adoptée le 20 mars 2025, conseille de privilégier les facteurs les plus robustes et relève que le niveau de confiance du code reçu par SMS « reste à évaluer » : une application d'authentification ou une clé physique vaut mieux, mais un SMS vaut mieux que rien.

2. Un compte par personne, jamais de compte partagé

Mesure 8 du guide d'hygiène : identifier nommément chaque personne accédant au système et distinguer les rôles utilisateur et administrateur. Un compte partagé rend impossible de savoir qui a fait quoi, et de retirer l'accès d'une seule personne.

3. Écrire et appliquer la procédure de départ

Mesure 6 : organiser les procédures d'arrivée, de départ et de changement de fonction. Le guide des 13 questions précise qu'au départ d'un collaborateur, il faut faire l'inventaire de ses accès et tous les révoquer. Concrètement : une liste de contrôle, datée et signée, qui couvre la messagerie, les outils en ligne, les accès à distance, les badges et les mots de passe partagés à changer.

4. Séparer l'administration du quotidien

Le guide des 13 questions recommande des comptes utilisateurs sans privilège d'administration pour chaque employé, et réserve les comptes d'administration à la configuration des équipements et à l'installation de logiciels, jamais à la navigation. Tenez un inventaire exhaustif de ces comptes privilégiés (mesure 5), et changez les identifiants par défaut de tous les équipements (mesure 12).

5. Adopter une politique de mots de passe réaliste

• La longueur avant tout. L'ANSSI recommande une longueur corrélée à la criticité du service : au moins 9 caractères pour un service peu critique, au moins 15 pour un service critique. Une phrase de passe est une bonne solution.
• Un mot de passe différent par service, et jamais le même pour la messagerie personnelle et professionnelle.
• Un gestionnaire de mots de passe fourni par l'entreprise ; l'ANSSI conseille de privilégier un coffre-fort certifié.
• Pas de renouvellement forcé sans raison. Le NIST (SP 800-63B-4, juillet 2025) interdit d'exiger des changements périodiques et impose en revanche un changement dès qu'une compromission est suspectée. Sur la composition, les référentiels divergent : l'ANSSI recommande encore de mêler majuscules, minuscules, chiffres et caractères spéciaux, le NIST proscrit ces règles imposées. Le point commun est la longueur.

Notre article Rédiger une politique de mots de passe propose un modèle.

6. Revoir les droits une fois par an

Mesure 9 : attribuer les bons droits sur les ressources sensibles. Une fois par an, envoyez à chaque responsable la liste des accès de son équipe et demandez-lui de valider ou de retirer chaque ligne.

7. Centraliser quand la taille le justifie

Le guide des 13 questions suggère, pour les PME qui utilisent de nombreux logiciels centralisés, un service d'authentification unifié. Un SSO simplifie les départs et généralise la double authentification. Au-delà, la gestion des accès à privilèges (PAM) et une approche zero trust concernent surtout les structures dotées d'un système d'information conséquent.

Les erreurs fréquentes

• Exempter la direction de la double authentification. Les messageries des dirigeants et du service comptable sont les cibles privilégiées des fraudes au virement.
• Croire qu'un mot de passe « complexe » suffit. Un mot de passe volé par hameçonnage ou retrouvé dans une fuite fonctionne quelle que soit sa complexité ; seule la double authentification l'arrête.
• Forcer un changement tous les 90 jours. Le résultat habituel est une suite prévisible (Printemps2026!, Ete2026!) et des mots de passe notés sur un post-it.
• Oublier les outils souscrits en ligne. Le logiciel de facturation ou l'outil de partage de fichiers souscrit par un service échappe souvent à la procédure de départ.
• Laisser les salariés administrateurs de leur poste « pour ne pas bloquer ». C'est ce qui permet à un code malveillant de s'installer sans résistance.
• Conserver les identifiants par défaut de la box, des caméras, des imprimantes ou du NAS : ils sont publiés et testés automatiquement.
• Ne jamais vérifier. Une procédure de départ non contrôlée se dégrade en quelques mois ; la revue annuelle sert à le constater.

La sensibilisation des équipes complète ces mesures : voir notre article Former ses équipes à détecter l'hameçonnage.

Ce que ça coûte

Une partie des mesures ne coûte que du temps : activer la double authentification sur la messagerie, écrire la procédure de départ, séparer les comptes administrateurs. Pour le reste, voici les fourchettes du catalogue de prestations Lyyp. Le prix réel dépend du nombre d'utilisateurs et d'applications, et figure dans chaque devis.

• Audit flash (état des lieux) : de 1 500 à 3 000 €, environ 2 jours. Suffisant pour identifier les comptes dormants, les administrateurs de trop et les services sans double authentification.
• Déploiement MFA : de 2 000 à 6 000 €, environ 10 jours.
• Audit des accès et identités : de 3 000 à 8 000 €, environ 7 jours.
• Intégration SSO : de 3 000 à 10 000 €, environ 15 jours.
• Déploiement d'un coffre-fort de secrets : de 3 000 à 10 000 €, environ 15 jours.
• Déploiement PAM (gestion des accès à privilèges) : de 5 000 à 20 000 €, environ 30 jours. À réserver aux structures dotées de nombreux serveurs ou administrateurs.

Si vous hésitez sur l'ordre des chantiers, consultez la page Par où commencer.

Ce que la loi exige

RGPD : contrôler qui accède aux données

L'article 32 du RGPD impose des mesures de sécurité adaptées au risque, et vise explicitement l'accès non autorisé aux données personnelles parmi les risques à prendre en compte. Son paragraphe 4 exige que toute personne ayant accès aux données ne les traite que sur instruction du responsable du traitement, ce qui suppose de savoir qui a accès à quoi. La CNIL a précisé ses attentes dans sa recommandation relative aux mots de passe (délibération n° 2022-100 du 21 juillet 2022) et dans sa recommandation relative à l'authentification multifacteur adoptée le 20 mars 2025, qui recommande de mettre en œuvre le multifacteur pour l'administration des systèmes et réseaux, pour la connexion au système d'information depuis l'extérieur et, en général, pour l'accès à une messagerie professionnelle.

NIS2 : le multifacteur cité dans la directive

Pour les entités essentielles et importantes, l'article 21 de la directive (UE) 2022/2555 (NIS2) cite parmi les mesures minimales « des politiques de contrôle d'accès et la gestion des actifs » ainsi que « l'utilisation de solutions d'authentification à plusieurs facteurs ou d'authentification continue ».

État de la transposition au 13 septembre 2026. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, adopté par le Sénat le 12 mars 2025 puis par la commission spéciale de l'Assemblée nationale le 10 septembre 2025, devait être examiné en séance en juillet 2026 ; les dossiers législatifs ne font à ce jour état d'aucune adoption définitive. NIS2 ne s'applique donc pas encore en France. Notre article NIS2 : votre PME est-elle concernée ? vous aide à anticiper.

Cette section situe les obligations ; elle ne remplace pas une analyse juridique de votre situation.

Passer à l'action

Mesurer d'abord

Le diagnostic Lyyp peut porter sur ce seul domaine : 6 questions sur la double authentification, l'authentification unique, les comptes administrateurs, les arrivées et départs, la revue des droits et les mots de passe. Gratuit, sans inscription préalable.

Évaluer la sécurité de mes accès (6 questions)

Se faire accompagner ensuite

Pour un déploiement de la double authentification, un audit des accès ou une authentification unique, des prestataires vérifiés interviennent auprès des PME. Demandez le nombre d'utilisateurs et d'applications couverts, et qui assurera le support après la mise en place.

Trouver un prestataire en gestion des accès et des identités

Sources

• Cybermalveillance.gouv.fr, Rapport d'activité 2025, mars 2026, et principales cybermalveillances visant les professionnels en 2025.
• Cybermalveillance.gouv.fr et OpinionWay, baromètre de la maturité cyber des TPE-PME 2025.
• Verizon, 2025 Data Breach Investigations Report, Small- and Medium-Sized Business Snapshot.
• ANSSI, Guide d'hygiène informatique, mesures 5, 6, 8, 9, 12 et 13.
• ANSSI et DGE, La cybersécurité pour les TPE/PME en treize questions, questions 1, 5 et 8.
• CNIL, Recommandation relative à l'authentification multifacteur, adoptée le 20 mars 2025.
• CNIL, délibération n° 2022-100 du 21 juillet 2022 portant recommandation relative aux mots de passe, Légifrance.
• NIST, SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, juillet 2025.
• Règlement (UE) 2016/679 (RGPD), article 32, EUR-Lex.
• Directive (UE) 2022/2555 (NIS2), article 21, EUR-Lex.
• Assemblée nationale, dossier législatif du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité.
• Fourchettes tarifaires : catalogue de prestations Lyyp, septembre 2026.