Un simple identifiant et un mot de passe ne suffisent plus à protéger l’activité de votre PME. Selon le baromètre CESIN/OpinionWay 2024, 30 % des entreprises françaises ont subi un vol d'identifiants en 2023.

L’accès conditionnel apporte une partie de la solution en vérifiant le contexte de chaque tentative de connexion : depuis quel pays ? Sur quel appareil ? À quelle heure ? Décryptage…

Qu’est-ce que l’accès conditionnel, concrètement ?

L'accès conditionnel est une technologie de sécurité informatique qui analyse automatiquement chaque tentative de connexion à vos outils professionnels (messagerie, Cloud, CRM, plateforme bancaire, etc.).

Vous, ou votre prestataire informatique, définissez des conditions d'accès adaptées à votre activité :

• Les pays d’où vous pouvez vous connecter ;
• Les appareils acceptés ;
• Les horaires de connexion possibles, etc.

Si une seule condition n'est pas remplie, la connexion est automatiquement bloquée. Cette technologie est aujourd'hui intégrée aux principales solutions Cloud comme Microsoft 365, Google Workspace et Salesforce.

Pour comprendre l'intérêt, prenons l'exemple d'un cabinet d'avocats

Les collaborateurs accèdent quotidiennement à des centaines de dossiers confidentiels stockés dans le Cloud du cabinet d’avocats. Pour cela, ils saisissent simplement leur identifiant et leur mot de passe. Si ces codes sont corrects, l'accès est accordé instantanément, sans aucune vérification supplémentaire.

Par conséquent : un pirate qui volerait ces identifiants pourrait donc accéder à tous les dossiers clients depuis n'importe où dans le monde.

L’accès conditionnel est donc une règle très simple qui doit faire partie de la politique de cybersécurité de l’ensemble des entreprises dans un contexte où :

• Une entreprise française sur deux a subi une cyberattaque en 2023 ;
• 30 % des entreprises françaises ont subi une attaque par phishing (vol d’identifiants de connexion notamment) en 2023 (selon le 9^e baromètre de la cybersécurité CESIN x OpinionWay).

L’accès conditionnel pour sécuriser le télétravail dans les PME

En France, 47 % des entreprises ont recours au télétravail, et 33 % des salariés français travaillent au moins une fois par semaine en dehors des locaux de leur employeur. 

Si vous faites partie de ces entreprises, vos collaborateurs se connectent désormais depuis leur domicile, parfois depuis un café ou un espace de coworking, souvent sur leur appareil personnel, à des horaires variables, depuis un réseau Wi-Fi public ou peu sécurisé. Les risques de piratage sont donc décuplés.

L'accès conditionnel vous permet justement d'encadrer cette flexibilité sans la restreindre. Par exemple, vous pouvez autoriser l'accès à votre CRM selon les conditions suivantes :

• Connexion depuis la France uniquement ;
• Sur les ordinateurs portables professionnels fournis par l’entreprise ;
• Entre 7 h et 19 h ;
• Avec une authentification forte obligatoire hors du bureau : en plus de son mot de passe, votre collaborateur devra valider sa connexion via un code temporaire reçu sur son téléphone par exemple.

Exemple concret de tentative de piratage dans un cabinet médical

Prenons l'exemple d'un cabinet médical. La secrétaire accède quotidiennement aux dossiers patients via le logiciel HelloDoc, hébergé sur Microsoft Azure, contenant des données de santé ultraconfidentielles.

Un matin, elle clique sans le savoir sur un faux email de Microsoft lui demandant de renouveler son mot de passe dans l’urgence pour ne pas perdre ses accès. C’est un cas typique de phishing. Un cybercriminel récupère donc les identifiants de connexion de la secrétaire.

Son objectif : voler les données médicales des patients pour les revendre au plus offrant sur le Dark Web et/ou exiger une rançon de la part du cabinet médical pour ne pas les publier.

💡 Le chiffre DFM

Un dossier médical se négocie autour de 60 dollars sur les forums de hackers américains, selon une enquête menée par CNBC. Et les pirates subtilisent généralement plusieurs centaines ou plusieurs milliers de dossiers médicaux par cyberattaque.

Supposons à présent que le prestataire informatique de ce cabinet médical a pris les précautions de configurer l’accès avec les conditions suivantes :

• Connexion autorisée uniquement depuis la France ;
• Accès limité aux deux postes de travail sécurisés du cabinet et à l'ordinateur portable professionnel du médecin ;
• Connexion possible uniquement aux horaires d'ouverture du cabinet (8 h – 19 h) ;
• Authentification forte obligatoire en dehors du réseau WiFi sécurisé du cabinet, via l'application Microsoft Authenticator installée sur les smartphones professionnels.

Voyons maintenant comment ces conditions d'accès vont protéger les données médicales dans notre exemple, même si les identifiants de la secrétaire sont entre les mains du cybercriminel.

Première barrière : le blocage géographique

Le pirate informatique, basé en Russie (premier pays « exportateur » de cyberattaques dans le monde), tente de se connecter au logiciel HelloDoc avec les identifiants volés. L'accès est instantanément bloqué car sa connexion provient d'un pays non autorisé.

Deuxième barrière : la vérification de l'appareil

Imaginons que notre cybercriminel utilise un VPN avancé pour simuler une connexion depuis la France. Il se heurte alors à un nouveau blocage : son ordinateur n'est pas reconnu comme l'un des trois postes autorisés du cabinet médical (les deux postes fixes et l'ordinateur portable du médecin).

Barrière ultime : l'authentification forte

Même si le cybercriminel réussissait à contourner toutes les barrières précédentes, il lui faudrait encore valider sa connexion via l'application Microsoft Authenticator installée sur le smartphone professionnel de la secrétaire. Sans accès physique à ce téléphone, impossible d'obtenir le code temporaire nécessaire pour finaliser la connexion.

C'est cette superposition de contrôles qui fait la force de l'accès conditionnel : même si une barrière est contournée, les suivantes bloquent l'intrusion.

Patrons de PME : sécurisez votre activité avec DFM

Votre entreprise manipule des données sensibles ? Vous travaillez en mobilité ou en télétravail ? Un simple mot de passe ne suffit plus pour sécuriser vos outils professionnels face aux cybermenaces.

Avec l’accès conditionnel DFM, vous contrôlez précisément qui peut accéder à vos applications, depuis quel appareil et dans quelles conditions. Vous bloquez automatiquement toute connexion suspecte avant qu’une intrusion ne puisse avoir lieu.

Nos experts en cybersécurité vous accompagnent pour :

• Définir des règles d’accès adaptées à votre activité
• Renforcer la sécurité de vos outils professionnels (CRM, messagerie, cloud, etc.)
• Protéger vos collaborateurs contre le phishing et le vol d’identifiants.

Contactez nos spécialistes dès maintenant !