Le MFA dans les solutions de nomadisme 🔒

· Lucas Videlaine

Le MFA est aujourd'hui un sujet majeur au sein des organisations, particulièrement lorsque ces dernières évoluent vers la tendance nomade. Vous en entendez parler régulièrement mais ne savez pas de quoi il s'agit exactement ? Vous aimeriez en savoir davantage ? Vous êtes au bon endroit, puisqu'au sein de ce petit article de vulgarisation, nous allons définir les principes et enjeux liés au MFA, notamment dans le contexte du nomadisme.

# Les termes et concepts clés

Commençons par un tour d'horizon du vocabulaire existant, afin de pouvoir mieux apprécier la suite !

  • Nomadisme numérique : Le nomadisme numérique désigne toute forme d’utilisation des technologies de l’information permettant à un utilisateur d’accéder au SI de son entreprise/organisation d’appartenance ou d’emploi, depuis des lieux distants, ces lieux n’étant pas maîtrisés par l’entité.
  • 2FA - Two-Factor Authentication : Le nomadisme numérique désigne toute forme d’utilisation des technologies de l’information permettant à un utilisateur d’accéder au SI de son entreprise/organisation d’appartenance ou d’emploi, depuis des lieux distants, ces lieux n’étant pas maîtrisés par l’entité.
  • MFA - Multiple Factor Authentication : L'authentification multifacteur (MFA) est un processus de sécurité qui nécessite plus de deux facteurs de vérification pour prouver l'identité d'un utilisateur. Il peut s’agir de facteur biométrique (reconnaissance faciale, digitale, etc), de code unique transmis par SMS ou email, de code unique généré par application dédiée, etc.
  • OTP - One-Time Password : L'authentification multifacteur (MFA) est un processus de sécurité qui nécessite plus de deux facteurs de vérification pour prouver l'identité d'un utilisateur. Il peut s’agir de facteur biométrique (reconnaissance faciale, digitale, etc), de code unique transmis par SMS ou email, de code unique généré par application dédiée, etc.
  • Point de vigilance : Depuis 2021, l’ANSSI, Agence Nationale de la Sécurité des Systèmes d’Information, distingue l’authentification forte de l’authentification multifacteur : l’authentification forte, dans cette définition, repose sur des mécanismes cryptographiques jugés forts mais pas nécessairement sur plusieurs facteurs d’authentification.

# Les enjeux

Nous pouvons définir deux objectifs essentiels du MFA au sein du nomadisme, chacun pouvant être dérivé selon les contextes applicables.

Calculer et réduire le degré d’exposition de l’information :

  • Durant un déplacement professionnel (à l’hôtel, chez un client)
  • Durant un déplacement domicile-travail (dans les transports en commun)
  • Dans des lieux publics (dans les espaces de coworking, aéroports, gares)

Contenir les risques :

  • De perte ou de vol de matériel
  • De compromission des informations contenues dans le matériel perdu/volé
  • De compromission du matériel (absence de l’utilisateur avec poste ouvert)
  • D’accès illégitime au SI
  • D’interception/d’altération des informations (confidentialité/intégrité des données)

L’objectif d’un SI nomadisme est de réussir à tendre vers un niveau de sécurité le plus proche possible de celui du SI interne, en répondant aux risques d’exposition les plus forts.

# Les évolutions de la réglementation

Afin de prévenir les risques liés au nomadisme et de réguler les utilisations, il est important d’intégrer le nomadisme dans la PSSI – Politique de Sécurité du Système d’Information de l’entité :

  1. Identifier les métiers éligibles au nomadisme et au télétravail
    • Établir le niveau de sensibilité des données et de l’activité
    • Établir les contraintes réglementaires
  2. Assurer la bonne maitrise des utilisateurs nomades
    • Assurer la gestion et la révocation des comptes et des droits des utilisateurs nomades
    • Assurer la gestion des équipements mobiles nomades
  3. Sensibiliser et former les utilisateurs nomades
    • Avertir sur les risques liés au vol ou la compromission du matériel informatique
    • Avertir sur les fuites d’informations et autres indiscrétions
  4. Dédier l’équipement d’accès à un utilisateur nomade identifié
    • Lier chaque équipement à un utilisateur nomade identifié et référencé

# Les principaux fournisseurs

Le marché des solutions MFA est assez vaste. Nous pouvons rapidement répertorier les leaders du domaine, mais aussi quelques produits ciblant également des PME.
Chaque constructeur propose une solution qui lui est propre, et qui s’intègre plus ou moins facilement dans un SI existant, en étant on-premise et/ou SaaS.

Nous pouvons donc retrouver :

  • Microsoft MFA
  • Thales SafeNet Trusted Access
  • Okta MFA
  • OneLogin MFA
  • Cisco Duo MFA
  • Ping Identity
  • Fortinet FortiToken
  • inWebo MFA

# Ressources associées

Les Recommandations sur le nomadisme numérique de l'ANSSI.