Maskinongé
Services informatiques à Maskinongé : qui a les clés de votre entreprise ?
Dans une petite équipe, le mot de passe du logiciel comptable circule entre trois personnes, celui du Wi-Fi est collé sous un clavier, et le compte administrateur sert à tout le monde. Ça fonctionne, jusqu’au jour où quelqu’un s’en va. OKTO Solutions aide à remettre ces accès en ordre depuis Trois-Rivières, à environ 36 km de Maskinongé.
À Maskinongé, OKTO Solutions offre aux PME de reprendre le contrôle de leurs accès : un compte par personne, l’authentification multifacteur sur tous les comptes, des comptes d’administration séparés et un inventaire de qui a accès à quoi. Au départ d’un employé, le compte est bloqué et les sessions sont révoquées. Le bureau est à environ 36 km.
À Maskinongé, qui met de l’ordre dans les mots de passe et les accès partagés d’une PME ?
À Maskinongé, une petite entreprise tourne souvent avec quelques mots de passe connus de tous et des droits d’administration que personne n’a jamais retirés. Établie à Trois-Rivières, à environ 36 km, OKTO Solutions offre ses services aux PME de Maskinongé et part d’une question simple : qui a les clés ? L’inventaire porte sur les comptes actifs et les comptes orphelins, les droits d’administration, les comptes partagés, la politique de mots de passe et les accès des fournisseurs externes. Viennent ensuite les corrections : l’authentification multifacteur sur les comptes des utilisateurs comme sur ceux d’administration, des comptes d’administration distincts de ceux du quotidien, et des accès nominatifs qu’on peut retracer. Quand quelqu’un part, son compte est bloqué et ses sessions sont révoquées sur tous ses appareils, avec une trace écrite de ce qui a été fermé. OKTO n’a ni bureau ni technicien posté à Maskinongé. Dans ce secteur, la visite sur place peut avoir lieu dans la journée, selon l’urgence.
L’état des lieux
Où sont les clés d’une petite entreprise ?
Rarement là où on les croit. Elles se trouvent à trois endroits, et un inventaire des comptes les fait sortir un à un.
Le mot de passe que tout le monde connaît
Le compte de la réception, celui du logiciel métier, la boîte générale. Trois personnes le tapent chaque jour, et personne ne peut dire qui a fait quoi.
Le compte administrateur de tous les jours
Des droits d’administration donnés une fois pour dépanner, jamais repris. Ou un compte d’administration qui sert aussi à lire ses courriels. Un poste infecté livre alors les clés de toute la maison.
La mémoire d’une seule personne
Les accès critiques logent dans la tête de quelqu’un, ou chez un ancien fournisseur. Tant que cette personne est là, tout va.
Ces trois situations ressortent dans le volet des identités et des accès de notre audit de cybersécurité pour PME.
Le vol
Que se passe-t-il quand un mot de passe est volé ?
Bien souvent, il n’a pas été deviné. Son propriétaire l’a tapé lui-même sur une fausse page de connexion Microsoft 365, après un courriel bien imité. L’attaquant n’a plus qu’à s’en servir.
C’est là que le deuxième facteur change l’issue. Avec l’authentification multifacteur, le mot de passe seul n’ouvre plus rien : la connexion exige une approbation sur le téléphone de l’employé, qui la refuse. On la pose sur les comptes des utilisateurs, sur les comptes d’administration et sur les accès distants, direction comprise.
Et si quelqu’un a quand même entré son mot de passe au mauvais endroit ? L’ordre des gestes est connu : changer le mot de passe et révoquer les sessions ouvertes, vérifier les règles de la boîte de courriel, lire l’historique de connexion, puis consigner l’incident.
Le reste tient au réflexe. La porte d’entrée la plus fréquentée reste le courriel, et aucun logiciel ne remplace quelqu’un qui se méfie au bon moment. Les simulations d’hameçonnage du module vCIO servent à mesurer ce réflexe.
Un mot de passe volé, une connexion venue d’un endroit inconnu : la demande est refusée sur le téléphone de l’employée, et le compte reste protégé.
Le départ
Quelqu’un part : quelles clés faut-il changer ?
Fermer un compte ne suffit pas quand la personne connaissait aussi les mots de passe des autres. Voici la liste, du plus pressant au plus souvent oublié.
- Son propre compte. Il est bloqué, et les sessions encore ouvertes sont révoquées sur chaque appareil. Sans ça, le téléphone déjà connecté continue de recevoir les courriels.
- Les mots de passe partagés qu’elle connaissait. Un compte commun ne se retire pas à une seule personne. On en change le mot de passe pour toute l’équipe, ou on le remplace par des accès individuels.
- Ses droits d’administration. Si elle était la seule à les détenir, un autre compte doit les reprendre avant la coupure, pas après.
- Les accès hors du bureau. Portails de fournisseurs, système téléphonique, comptes de réseaux sociaux, accès distants, dossiers partagés avec des clients.
- Les boîtes partagées. On vérifie qui peut encore les ouvrir, surtout celles gardées « pour ne rien perdre ».
- La trace. Ce qui a été fermé, quand, et par qui.
L’inventaire
Comment savoir qui a accès à quoi aujourd’hui ?
En dressant la liste, compte par compte. Dans une petite équipe, personne ne la tient, parce que les accès se sont donnés au fil des demandes : un droit pour dépanner, un partage pour un projet, un invité pour un fournisseur.
Dans Microsoft 365, l’examen compte les administrateurs globaux, note qui ils sont et vérifie si un ancien fournisseur en fait encore partie. Il passe aussi par les boîtes partagées, les comptes invités encore actifs, les liens de partage sans échéance et les comptes sans deuxième facteur. Le constat classique : il est activé presque partout, sauf à la direction, à la comptabilité et chez les administrateurs.
Une bonne part des corrections se fait tout de suite, dans le centre d’administration et sans interruption : retirer un invité, fermer un lien, réduire le nombre d’administrateurs. Le reste devient un projet planifié. Pour Microsoft 365, un partenaire passe d’ailleurs par un accès délégué, révocable, jamais par un mot de passe partagé.
Audit Microsoft 365 Le rapport d’un audit Microsoft 365 : partages sans date de fin, comptes invités, comptes sans double facteur, puis l’ordre des corrections.
Le terrain
Maskinongé, à environ 36 km de notre bureau
Maskinongé est une municipalité de la MRC du même nom, en Mauricie. La route 138 et l’autoroute 40 traversent son territoire.
Dans notre tableau de la Mauricie, Maskinongé figure sur la même ligne que Louiseville : environ 36 km, visite dans la journée selon l’urgence. Pour des accès, la distance pèse peu : bloquer un compte ou révoquer des sessions se fait à distance, en quelques minutes quand les outils sont déjà en place.
Nous n’avons pas de local à Maskinongé et aucun technicien n’y est posté. L’authentification multifacteur fait partie des trois niveaux présentés sur la page nos forfaits. Les autres municipalités de la région sont sur la page services informatiques en Mauricie, et la carte complète sur celle des régions desservies. Pour faire le tour de vos accès, écrivez-nous par la page contact.
Foire aux questions
Vos questions sur les mots de passe et les accès à Maskinongé
Un mot de passe partagé entre trois employés, est-ce un problème ?
Qui devrait détenir les comptes administrateurs de l’entreprise ?
Changer le mot de passe d’un employé qui part, est-ce assez ?
L’authentification multifacteur règle-t-elle le problème des mots de passe ?
Pouvez-vous venir à Maskinongé si un compte est compromis ?
Par où commencer si personne ne sait qui a accès à quoi ?
Savez-vous qui a les clés chez vous ?
Dites-nous combien de personnes travaillent à votre bureau de Maskinongé et quels comptes sont partagés. On vous dit par où commencer et ce qui se corrige en quelques minutes.
Révisé par Antonio Pazzi, président d’OKTO Solutions · mis à jour le