Dans les entreprises, de nombreux scénarios opérationnels différents peuvent être évoqués lorsqu’il est question d’authentification sécurisée. Il y a quelques jours, Google, Apple et Microsoft ont annoncé leur volonté d’intégrer la prise en charge de la connexion sans mot de passe sur leurs plateformes d'appareils. Aujourd’hui, les organisations ont bien compris que le mot de passe tout seul ne suffit pas pour protéger en ligne.
Un second facteur d’authentification est donc incontournable pour résister aux cybermenaces. Il existe plusieurs types de seconds facteurs, y compris le mobile. Qu’il s’agisse de postes de travail partagés, de travailleurs à distance ou même de comptes à privilèges, il existe un cas particulier qui comporte son lot de difficultés en matière d’authentification lorsqu’elle repose sur le mobile : les lieux de travail où les appareils sont soumis à des restrictions.
Il existera toujours des lieux de travail qui, en raison du caractère sensible des activités qui s’y déroulent, seront limités d’une manière ou d’une autre en termes de mobilité. Dans ces environnements, il n’est pas question d’utiliser le téléphone pour quelque raison que ce soit, pas même pour authentifier l’utilisateur avant de l’autoriser à accéder à des systèmes ou des données sensibles.
Il est important de garder à l’esprit que l’“accès restreint aux appareils mobiles” ne désigne pas uniquement le scénario consistant à “déposer son téléphone dans une boîte sécurisée”. Dans la plupart des cas, il s’agira d’une forme de restriction moins contraignante – par exemple, la possibilité d’utiliser son téléphone dans certaines zones d’un bâtiment, mais pas dans d’autres. Qu’en est-il des endroits éloignés où la connectivité n’est pas fiable ? Ou un scénario dans lequel il est possible d’utiliser son téléphone pour certaines applications d’entreprise, mais pas pour les applications qui ont trait à des fonctions critiques pour la mission ? Tous ces environnements rendent l’authentification mobile difficile, voire tout simplement impossible.
Dans certains types d’environnements de travail, il faut envisager de recourir à une autre option d’authentification des utilisateurs afin de garantir une sécurité renforcée, sans entraver la productivité des utilisateurs. Par exemple, dans les centres d’appels, les informations d’identification personnelle (IPP) ou d’autres informations sensibles relatives aux clients sont souvent en libre accès, de sorte que les appareils mobiles sont rarement autorisés. Les usines sont également des lieux de travail susceptibles de restreindre l’accès aux dispositifs pour des raisons de sécurité des travailleurs, de restrictions environnementales ou parce que des données sensibles sont accessibles. Les laboratoires de R&D font aussi partie des lieux sensibles. La présence d’appareils mobiles, qui peuvent facilement enregistrer une vidéo ou prendre une photo pour être ensuite exfiltrés avec les informations ainsi obtenues, est en effet indésirable.
Lorsque les appareils mobiles sont restreints, il y a de facto une restriction correspondante de l'authentification mobile. Le mot de passe à usage unique (OTP) par SMS et les autres méthodes d'authentification ne sont en effet alors pas disponibles. Aussi, toute solution restreignant la mobilité doit trouver un équilibre entre la sécurité et la convivialité. Pour y parvenir, les entreprises ont besoin d'une approche en matière d’authentification qui soit aussi forte que dans n'importe quel autre environnement et qui ne laisse aucune place au compromis. Pour cela, il est important de comprendre d'abord les besoins uniques de son environnement par rapport à une mobilité restreinte, de mettre en place une équipe interne élargie pour examiner ces exigences, ainsi que l'expérience et le retour des utilisateurs, puis de travailler avec un fournisseur de confiance pour installer une solution qui optimise à la fois la productivité et la sécurité.
Il est également capital de ne pas oublier pas les utilisateurs. Avant d’opter pour une solution, l’équipe interne doit en effet analyser la meilleure façon de la mettre en oeuvre au profit des personnes concernées, et être dotée de solides compétences en communication pour faciliter le processus de gestion du changement. La solution envisagée doit également offrir des capacités intuitives et des options de libre-service afin de responsabiliser l’utilisateur final et d’éviter des coûts d’assistance onéreux après la mise en oeuvre.
Se préparer aux environnements complexes est également crucial. Une solution se présentera différemment en fonction de ce qui est déjà en place. Les organisations qui disposent principalement d’une infrastructure sur site pourraient opter pour une approche de sécurité basée sur la smart card, par exemple, tandis que celles qui utilisent un environnement principalement fondé sur le cloud pourraient envisager une approche moderne basée sur le standard FIDO. Enfin, la chaîne d’approvisionnement ne se limite plus à la fourniture physique de biens et de services. Elle englobe toutes les relations commerciales et de partenariat qu’une entreprise peut entretenir, y compris les relations numériques. En veillant à ce que la solution garde une longueur d’avance sur les techniques de piratage avancées, en appliquant des politiques de lutte contre le phishing ou en recourant à l’authentification, il est possible de prévenir les attaques par ransomware ou malware.