Authentification Multi-Facteurs (MFA) : son importance en 2024

Qu’est-ce que le MFA précisément ? Pourquoi l’utiliser dans une infrastructure IT ? Cette méthode est-elle gênante pour les profils IT ? Avec Flavien Herbreteau, Corporate Information System Manager chez Ozitem, nous faisons le point pour vous sur l’importance du MFA en IT.

MFA : définition et fonctionnement

De plus en plus utilisée pour les comptes utilisateurs, l’authentification renforcée complète la méthode statique du code PIN et du mot de passe unique (password). Découvrons ce que c’est exactement.

Qu’est-ce que le MFA ?

Flavien nous explique que « le MFA est une méthode de vérification dynamique et non prédictible de l’identité exigeant au moins deux preuves d’identité » de chaque utilisateur d’un système informatique, d’une application ou de données sensibles. Le terme est un acronyme de Multi-Factor Authentication qui se traduit par « Authentification Multi-Facteurs ».

Ces preuves ou facteurs se catégorisent en trois principaux types :

• quelque chose que l’utilisateur connaît (mots de passe par exemple) ;
• quelque chose qu’il possède (tel qu’un token sécurisé ou un smartphone) ;
• quelque chose qu’il est (comme les empreintes digitales, la reconnaissance faciale ou d’autres indicateurs biométriques).

Comment fonctionne le MFA ?

Il existe plusieurs méthodes d’authentification de l’utilisateur pour se connecter, mais le protocole d’authentification reste le même :

1. Pour accéder à votre compte utilisateur, le système de protection demande tout d’abord de renseigner l’identifiant puis de saisir le code PIN ou le mot de passe (premier facteur).
2. Ensuite, un deuxième facteur d’identification est demandé, qui peut être un code secret temporaire généré par une application d’authentification.
3. Dans certains cas, un troisième facteur d’identité, basé sur la biométrie, peut être requis pour un niveau de sécurité informatique plus élevé.

Ce système multicouche assure que la compromission d’un des facteurs empêche l’accès non autorisé. Cela permet de considérablement renforcer la sécurité des comptes et des données.

Évolution du MFA

L’évolution de l’authentification forte est étroitement liée à celle des besoins de sécurité dans le domaine informatique. Dans les premiers temps de la popularisation de la validation en deux étapes, on invitait l’utilisateur à valider, via une notification sur smartphone, une fenêtre d’authentification qui demandait s’il était bien à l’origine de la tentative de connexion. C’était le cas du compte Google ou Firefox par exemple. Mais ce système posait des problèmes. De nombreuses personnes cliquaient sur « Oui, j’accepte » machinalement sans être à l’origine de la demande de connexion. Aujourd’hui, un code de vérification à usage unique et temporaire est demandé pour valider la connexion. Cela demande plus de réflexion de la part des utilisateurs.

L’utilisation d’un code de sécurité généré par une application et envoyé par SMS ou sur une adresse e-mail pour assurer l’authentification des utilisateurs s’est donc très vite imposée. On parle d’OTP (One-Time Password) et même de TOTP pour la version temporaire. Aujourd’hui, l’évolution du MFA fait qu’on utilise de plus en plus souvent les solutions biométriques, comme l’empreinte digitale ou les jetons d’authentification intégrés dans les applications mobiles.

Pourquoi mettre en place le MFA dans une infrastructure IT ?

Flavien est clair : « Le MFA sert à sécuriser le SI de l’entreprise, pour être sûr qu’aucune personne malveillante ne puisse accéder aux services et données de l’entreprise si un employé perd son smartphone ou son ordinateur ». L’implémentation de la double authentification dans les infrastructures IT n’est plus une option, mais une nécessité en 2024, pour plusieurs raisons.

Évolution des méthodes de travail

« Avant, tout le monde était physiquement présent en utilisant le réseau physique de l’entreprise. Aujourd’hui, il y a le travail à distance, le cloud public et le SaaS. On a augmenté l’exposition au piratage, donc fatalement, il faut augmenter la sécurité ».

👉 Les 11 malveillances les plus fréquentes en cybersécurité 

Augmentation des cybermenaces

« Malgré les campagnes de sensibilisation à la cybersécurité, dont les campagnes de phishing, certains se font encore avoir, car les techniques s’améliorent ». Et cette sophistication rend les méthodes traditionnelles de sécurité obsolètes.

👉 Ransomware : 15 pratiques pour s’en prémunir le plus tôt possible 

Réglementations et conformité

Pour la protection des données, des lois comme le RGPD en Europe imposent des standards de sécurité stricts. Des réglementations qui exigent aux entreprises de protéger les données personnelles, sous peine de lourdes amendes.

Protéger l’entreprise

Si l’entreprise ne met pas en place des moyens de protection comme le MFA, les systèmes IT qui stockent des données confidentielles et sensibles peuvent être piratés. Or, une entreprise à la mauvaise réputation est une entreprise en difficulté.

👉 17 manières de se protéger efficacement d’une cyberattaque 

Des clés pour adapter le MFA à votre environnement de travail

Le MFA peut, et doit, s’adapter à tous les environnements de travail pour ne pas devenir contraignant ou envahissant. Même si beaucoup de services, comme les banques, ont imposé l’utilisation du MFA dans la vie de tous les jours, celui-ci peut devenir contraignant. Voici des clés pour adapter une méthode d’authentification à double facteur dans votre entreprise.

Analyser les besoins

1. Déjà, évaluez les points critiques de votre système d’information nécessitant une authentification à deux facteurs.
2. Puis, prenez en considération le mode de travail de votre équipe. Flavien souligne à ce sujet « qu’il faut être intelligent et souple et adapter le MFA en fonction du contexte ». Votre employé est plutôt nomade et utilise souvent un Wi-Fi public ? Multipliez les demandes d’authentification de l’identité au cours de la journée. Il travaille toujours depuis chez lui ? Faites une demande d’authentification une fois par jour ou par semaine. Il est sur un device authentifié/intégré au SI et accède aux services depuis un réseau géré de l'entreprise, limitez les fréquences du MFA à 1 fois par semaine/mois.

👉 Les clés pour réussir son audit de sécurité informatique 

Choisir la bonne solution d’authentification MFA

1. Prenez en compte la facilité d’utilisation, le coût, la compatibilité avec l’infrastructure existante et les besoins spécifiques de votre organisation.
2. Choisissez les éléments d’authentification adéquats, comme les tokens physiques (dispositif d’authentification), la biométrie, les SMS et les applications d’authentification.
3. Ensuite, considérez les outils que vous mettez à disposition de vos employés. Chez Ozitem, « tous les commerciaux ont un téléphone mobile professionnel, mais pas les autres services comme les services techniques ». Il faudra peut-être utiliser le téléphone portable privé de vos employés comme device de confiance pour la double identification.

💡 Astuce : la nécessité d’authentification va dans les deux sens. Aidez vos employés à authentifier les pages web et les messages numériques de votre entreprise en utilisant par exemple des personnages de dessin animé. Ainsi, ils éviteront plus facilement les pièges des pirates informatiques.

Le MFA est-il bien accepté ?

Avec l’utilisation du smartphone privé, les utilisateurs peuvent craindre une intrusion du travail dans la vie personnelle. Mais ce processus d’authentification sécurisée reste plutôt naturel pour les IT, et Flavien est clair sur ce sujet : « C’est un faux problème, car la majorité des employés utilisent déjà le MFA dans leur vie privée, alors cette utilisation dans le travail n’est pas mal perçue. Puis, c’est seulement à la demande de l’utilisateur au moment de se connecter, il n’y a pas de message en pleine nuit ni en week-end ».

Le RSI d’Ozitem ajoute à cela : « On voit bien les attaques et les tentatives de phishing. On a plus connaissance du risque et des conséquences possibles que d’autres profils qui ne sont pas dans l’IT ». Alors, le MFA est très facilement accepté par les profils IT, comme les développeurs, qui voient en cela une protection nécessaire.

👉 Sécurité informatique comment monter en compétences ?

{{cta-nos-offres="/cta"}}