L'authentification multifacteur, aussi appelée authentification à deux facteurs ou AMF, consiste à se connecter avec quelque chose que vous savez (un mot de passe) ET quelque chose que vous possédez (un code sur votre téléphone, une clé ou une application). Pour les entreprises d'installation qui relèvent de l'obligation de diligence de la Directive (EU) 2022/2555 ou qui reçoivent un questionnaire de sécurité en tant que fournisseur, c'est l'une des questions les plus fréquemment posées : faut-il l'appliquer partout, ou seulement à certains endroits ?
La réponse courte : l'obligation de diligence ne prescrit pas une technologie spécifique, mais demande des mesures appropriées au risque. Pour les systèmes accessibles à distance, tels que le courrier électronique, votre système ERP, la connexion VPN ou le panneau d'administration de votre logiciel de planification et de facturation, l'authentification multifacteur est généralement considérée comme une mesure de base. Pour l'accès à un bâtiment, une armoire à clés ou un système chez un client sur site, la situation est plus nuancée, et c'est là que se pose la question pratique pour de nombreuses entreprises d'installation.
Où l'authentification multifacteur est généralement attendue
Le raisonnement fondamental est simple : plus un système est éloigné de votre propre bureau et plus les données qu'il contient sont sensibles, plus la protection correspondante doit être robuste. Un technicien qui se connecte à partir de son téléphone au réseau de l'entreprise, un employé de bureau qui accède à l'administration depuis chez lui, ou un responsable qui gère la planification à distance : ce sont tous des points où un mot de passe seul est vulnérable au phishing ou à la réutilisation de données d'identification compromises. L'authentification multifacteur garantit qu'un mot de passe volé ne suffit pas pour accéder aux systèmes.
Il en va de même pour les comptes disposant de droits d'accès élevés : l'administrateur réseau, le responsable de l'environnement cloud, ou la personne autorisée à approuver les factures. Ces comptes sont précisément les plus précieux pour un attaquant, et ce sont justement ceux-ci qui sont souvent demandés en premier dans un questionnaire de sécurité d'un client. Pour en savoir plus sur ce qui figure précisément dans ces questionnaires, veuillez consulter la page consacrée à les sujets qui sont détaillés par secteur.
Où la situation est plus nuancée : les systèmes chez les clients sur site
Les entreprises d'installation travaillent souvent sur site : au domicile d'un client, dans un bâtiment commercial ou sur un chantier. Ces situations ne sont pas directement comparables au travail de bureau. Un technicien qui doit se connecter à un système de gestion de bâtiment chez le client utilise souvent des identifiants gérés par le client lui-même et non par sa propre entreprise. La question de savoir qui règle l'authentification multifacteur et qui en assure le contrôle relève alors principalement du propriétaire du système, et non de l'entreprise d'installation qui y a un accès temporaire.
L'équipement partagé dans une camionnette de service, comme une tablette utilisée par plusieurs techniciens, est également un cas pratique où une exigence stricte d'AMF peut entrer en conflit avec la faisabilité du travail sur le terrain. Cela ne signifie pas que la sécurité disparaît, mais que la mise en œuvre peut être différente : par exemple, une durée de session courte, un compte distinct par technicien au lieu d'un compte partagé, ou un accès qui expire automatiquement après le travail. Les autorités de surveillance et les clients regardent surtout s'il y a eu une évaluation délibérée et documentée, plutôt que si la même solution technique a été appliquée partout.
La distinction entre les clés physiques et l'accès aux bâtiments d'une part, et l'accès numérique aux systèmes d'autre part, est un autre sujet sur lequel les entreprises d'installation reçoivent souvent des questions. Pour explorer ce sujet plus largement, consultez l'explication détaillée de qui a accès à quoi dans le secteur, disponible sur la page consacrée à la gestion des accès dans le secteur.
Ce que cela signifie pour la discussion avec un client
Une liste de contrôle de sécurité pose souvent une simple question oui/non sur l'authentification multifacteur, alors que la pratique est plus nuancée. Il est utile de pouvoir montrer par système où en est la vérification multifacteur, pourquoi ce choix a été fait à cet endroit, et comment les exceptions sont gérées. C'est précisément là qu'un dossier vivant ajoute de la valeur : non seulement une case cochée pour une mesure, mais une preuve et un responsable par système, de sorte que la réponse à la liste de contrôle soit correcte et justifiée.
Que votre entreprise soit soumise à l'obligation de diligence, impactée par la chaîne d'approvisionnement, ou aucune des deux, se voit en quelques questions via le contrôle gratuit qui fait le point sur votre situation. Pour ceux qui veulent savoir précisément comment secria.eu obtient ses informations et quelles sources sont utilisées, c'est expliqué sur la page sur le fonctionnement de la plateforme. Et pour des questions concrètes sur ce qui relève ou non de l'obligation de diligence, il y a un aperçu avec les réponses aux questions que les entreprises d'installation posent souvent.
L'authentification multifacteur n'est pas une fin en soi, mais l'une des briques d'un dossier qui montre que l'accès aux systèmes est organisé de manière réfléchie. Pour la situation de votre propre entreprise, avec ses propres systèmes et sa méthode de travail sur site, une évaluation propre reste nécessaire ; la base de connaissances et le balayage rapide aident à faire cette évaluation avec les bonnes informations.