L'authentification multifacteur (AMF) est-elle obligatoire pour un fournisseur de services TIC ? Il n'existe pas de réponse courte, et c'est précisément pour cette raison que cette question revient si souvent auprès des autorités de surveillance, des donneurs d'ordre et dans les questionnaires de sécurité. La directive NIS2 mentionne explicitement l'authentification multifacteur ou l'authentification continue comme exemple de mesure relevant de l'obligation de diligence, mais ne prescrit pas sur quel système, pour qui et à quel moment cela doit être appliqué. Cette mise en œuvre incombe à l'organisation elle-même, ce qui rend le sujet plus complexe qu'un simple oui ou non.
Ce qui est clair, en revanche, c'est que dès lors qu'un compte offre un accès à distance aux systèmes, données ou infrastructure d'un client, les autorités de surveillance et les donneurs d'ordre s'attendent à ce qu'il y ait plus qu'un simple mot de passe. Cela s'applique au personnel interne, aux sous-traitants et à l'accès temporaire qui est révoqué après un projet. Là où cette attente est moins forte, c'est pour l'accès interne à faible risque qui n'est pas accessible de l'extérieur. C'est cette limite que cet article développe plus avant.
Pourquoi l'AMF revient dans presque chaque questionnaire
En tant que fournisseur de services TIC, vous êtes souvent la partie qui se connecte à distance pour un client, effectue des mises à jour ou résout des pannes. C'est précisément ce type d'accès qui est attrayant pour un attaquant : un seul mot de passe volé peut alors donner accès à plusieurs environnements clients en même temps. Les donneurs d'ordre qui relèvent eux-mêmes de l'obligation de diligence doivent évaluer leurs fournisseurs, et l'authentification multifacteur sur l'accès à distance est l'une des premières choses qui est demandée. Celui qui n'a pas de réponse à cela remarquera que les questionnaires prennent plus de temps ou qu'un contrat est mis en attente.
en quelques questions voir si votre organisation est concernée via la chaîne d'approvisionnement donne une première indication de la façon dont ce type d'exigences peut vous affecter. Pour un prestataire de PME travaillant pour plusieurs clients soumis aux obligations, il y a de fortes chances que la même question revienne régulièrement, simplement formulée différemment.
Où l'AMF est structurellement attendue
Trois types d'accès reviennent le plus souvent dans la pratique comme endroits où l'authentification multifacteur devrait être présente. Premièrement, l'administration à distance : toute connexion permettant à un administrateur d'accéder à un système en dehors du réseau, y compris l'accès VPN et les connexions de bureau à distance. Deuxièmement, l'accès aux systèmes des clients : les comptes spécifiquement créés pour se connecter chez un donneur d'ordre, en particulier lorsque cet accès confère des droits d'administrateur. Troisièmement, les sous-traitants et tiers qui effectuent des travaux en votre nom chez un client ; leur accès est soumis à la même attente, même si le sous-traitant lui-même ne figure pas directement dans le questionnaire.
Pour ces trois catégories, le schéma est toujours le même : plus l'accès s'éloigne du réseau propre de l'organisation, physiquement isolé, plus forte est l'attente qu'une deuxième étape de vérification soit présente.
Où le débat reste ouvert
Au sein d'un réseau de bureaux propre, pour un compte qui ne fonctionne que localement et sans connexion externe, la nécessité de l'AMF est moins univoque. Cela ne signifie pas que ce n'est pas important, mais plutôt que l'évaluation y est davantage basée sur le risque et la proportionnalité que sur une norme stricte. La même nuance s'applique aux comptes fonctionnels partagés qui ne sont pas liés à un individu : ceux-ci exigent une solution différente qu'une deuxième étape par personne, par exemple en supprimant le compte en faveur d'identifiants de connexion personnels.
C'est cette catégorie avec laquelle les organisations se débattent le plus souvent lorsqu'un questionnaire de sécurité arrive : non pas les cas évidents, mais les systèmes qui se situent quelque part entre les deux. lire l'explication pour chaque situation vous aide à voir dans quelle catégorie un système spécifique est susceptible de se situer, sans que vous ayez besoin de lire d'abord l'intégralité de la directive.
Ce que cela signifie pour votre propre dossier
Pour les mesures de gestion des risques, il ne suffit pas de savoir si l'authentification multifacteur est mise en place, mais aussi de pouvoir le prouver : qui a pris la décision, sur quels systèmes est-elle activée, et quel est l'état des systèmes où elle manque encore. C'est précisément le type de documentation qu'un dossier vivant exige plutôt qu'une action ponctuelle. En cas de doute sur la manière d'évaluer strictement un accès spécifique, l'autorité de contrôle ou un juriste reste la partie compétente pour l'évaluer dans votre situation ; cette explication vise à affiner la question, non à la remplacer.
Curieux de savoir comment ce sujet se retrouvera dans votre propre dossier ? lire d'où provient l'information sur secria.eu montre comment nous conservons les sources, et la vérification NIS2 gratuite donne en quelques minutes une première vue d'ensemble de votre situation.