Le lendemain matin: Le dirigeant récupère ses accès, avec l’explication complète de ce qui s’est passé.
Les Solutions One Sky
Services TI pour PME
Étude de cas One Sky
Quand détenir le mot de passe ne veut pas dire détenir le contrôle
Comment une petite entreprise de services, verrouillée hors de son propre environnement Microsoft 365, reprend le contrôle en deux heures, puis traverse sans dommage une intrusion automatisée six mois plus tard.
Le matin où plus rien ne s'ouvre
Une petite entreprise de services qui traite des données sensibles au quotidien : une équipe réduite, des clients qui attendent des livrables à date fixe et des renseignements personnels qu’ils lui confient. Le dirigeant gère lui-même l’environnement Microsoft 365, entre deux rencontres clients. Nous sommes en discussion avec lui, rien n’est signé.
Son téléphone change de mains. Or, c’est sur ce téléphone que le dirigeant confirme chaque connexion à Microsoft 365, avec l’authentification à deux facteurs : sans lui, impossible d’entrer, et personne d’autre ne peut ouvrir la porte. Dans une entreprise de services, un courriel inaccessible, c’est un client qui attend une réponse. Nous nous connectons à son poste : son compte est bloqué, et c’est le seul compte administrateur de l’entreprise. C’est en ouvrant un de ses navigateurs que la vraie histoire apparaît, soit une session administrateur restée active indéfiniment.
Nous utilisons cette ouverture pendant qu’elle existe encore : compte de secours créé, environnement Microsoft 365 déverrouillé, authentification à deux facteurs reconfigurée, fenêtre fermée. L’entente est signée peu après, plus vite que le calendrier prévu.
Résolution complète. Aucun dossier perdu, aucun délai manqué.
Le contexte
Petite entreprise de services qui traite des données sensibles, équipe réduite, clients aux échéances serrées, environnement Microsoft 365 géré par le dirigeant lui-même.
La situation
Discussions en cours avec OneSky, offre de service en préparation, aucun contrat signé.
Le problème
Le téléphone est perdu, et avec lui l’authentification à deux facteurs : un seul administrateur, plus aucun accès à l’environnement Microsoft 365 de l’entreprise.
Six mesures mises en place quand nous avons pris les clés
Rouvrir la porte, c’était l’urgence. Le mandat commence ensuite : faire en sorte qu’un téléphone perdu, une session oubliée ou un accès volé ne puissent plus fermer l’entreprise. Chaque mesure ci-dessous bloque une façon précise de perdre le contrôle.
1
Compte administrateur de secours
Un deuxième détenteur de clés, isolé du quotidien : si le téléphone du dirigeant disparaît, l’entreprise reste ouverte.
2
Séparation des comptes administrateurs et des comptes d'usage
Personne n’administre l’environnement Microsoft 365 de l’entreprise avec le compte qui sert à naviguer et à recevoir ses courriels : une session oubliée ne donne plus les clés.
3
Privilèges limités au rôle
Chaque employé accède à ce que son travail exige : un compte compromis n’ouvre qu’une partie de l’entreprise, jamais l’ensemble.
4
Inventaire des appareils autorisés
Chaque appareil connu est répertorié : quand un inconnu se présente dans l’environnement, l’accès s’arrête avant la question.
5
Surveillance comportementale, 24 heures sur 7
Nos outils ne cherchent pas des virus connus, ils cherchent l’anormal : poste isolé automatiquement, humain averti dans la minute.
6
Gestion hermétique, aucune confiance implicite
L’environnement bloque par défaut et pose les questions ensuite : fatigant pour qui n’a jamais vécu un incident, rassurant pour les autres.
ⓘ Avec la loi 25, des renseignements personnels de clients exposés lors d’un incident peuvent déclencher une obligation de déclaration à la Commission d’accès à l’information et aux personnes concernées, avec des amendes au bout.
Six mois plus tard : le nouveau cadre passe son test
Une alerte tombe à 21 h. Un poste se connecte au compte du dirigeant, depuis un pays où il ne se trouve pas. Trois choses avancent en même temps, et aucune n’attend le matin.
Contenir sans attendre l'autorisation
Quand nous appelons l’équipe, tout est déjà verrouillé : le mécanisme a agi avant nous. Le dirigeant ne répond pas, il est tard, et nous n’attendons pas pour isoler le compte.
Comprendre comment ils sont entrés
Un lien, un document, un code à saisir. C’est le même mécanisme que lorsqu’on autorise une télévision à ouvrir un compte de diffusion. L’authentification à deux facteurs n’a jamais été brisée, elle a été contournée, et aucune notification n’est apparue sur le téléphone du dirigeant.
Établir si des données sont sorties
C’est la partie que personne ne voit : combien de temps l’accès a duré, ce qui a été consulté, copié, transféré. Quand une intrusion était le fait d’un humain, on comptait en heures. Avec des scripts automatisés, on compte en secondes.
Phase 1
21h: Alerte reçue, compte déjà isolé par le mécanisme, équipe mobilisée.
Phase 2
Durant la nuit: Sessions révoquées, appareil expulsé, chaque minute d’accès retracée.
Phase 3
Résultat : contenu avant même le premier appel
L’intrusion était automatisée : un programme s’était connecté au compte, et la personne derrière l’attaque n’avait pas encore pris le relais. Aucune donnée n’est sortie, aucune action n’a été posée dans l’environnement, aucun délai client n’a été manqué. Deux incidents en six mois, deux issues : le premier a demandé une intervention d’urgence de deux heures, le second a été contenu avant même que nous décrochions le téléphone.
✓ Aucune exfiltration ✓ Aucune action posée ✓ Aucun délai manqué
Ce que les dirigeants d'entreprises de services doivent retenir
signal 1
L'authentification à deux facteurs n'est plus une ligne d'arrivée
C’est un minimum. Les méthodes qui la contournent n’ont pas besoin de la briser, elles passent à côté. Ce qui protège, c’est de savoir ce qui est normal dans votre environnement et de réagir quand ça ne l’est plus.
signal 2
Un seul administrateur, c'est un point de rupture
Si le téléphone du dirigeant disparaît demain matin, qui ouvre la porte? Dans la majorité des entreprises de services, la réponse honnête est : personne. Un deuxième détenteur de clés prend quelques minutes à créer.
signal 3
Avec la loi 25, savoir devient une obligation
Un incident qui présente un risque de préjudice sérieux doit être déclaré à la Commission d’accès à l’information. Savoir si des données sont sorties, et le démontrer, fait partie de la réponse, pas d’un rapport optionnel.
⚠ Une session administrateur laissée ouverte dans un navigateur ne déclenche aucune alerte et n’apparaît dans aucun rapport. Elle reste ouverte jusqu’à ce que quelqu’un la trouve, et ce n’est pas toujours vous.
✕ Un mot de passe et l’authentification à deux facteurs vous donnent un accès. Ils ne vous donnent pas le contrôle de votre environnement, ni la capacité de prouver ce qui s’y est passé.
Évaluez votre posture avant qu'un incident vous la révèle
Notre forfait TI sans-souci intègre l’ensemble de ces pratiques dès l’intégration, pas après le premier incident.
Comptes administrateurs de secours
Plus jamais un seul point de rupture : l’accès reste garanti même si le téléphone du dirigeant disparaît.
Séparation des privilèges
Chaque employé accède à ce dont il a besoin, et les comptes administrateurs restent séparés du quotidien.
Surveillance comportementale continue
Nos outils détectent ce qui n’est pas normal, 24 heures sur 7, et isolent le poste avant que les dommages soient faits.
Prêt à passer à l'action?
Un audit de départ, sans engagement : qui détient les clés administrateur de votre entreprise, combien d’appareils sont autorisés dans votre environnement, et ce qui arrive à vos clients si votre téléphone disparaît demain matin.