Etude : le coût réel des mots de passe privilégiés

Les mots de passe dits « privilégiés » sont des mots de passe administratifs, partagés et qui ne sont pas attribués à titre personnel. Ces mots de passe se retrouvent dans pratiquement tous les équipements ou applications logicielles d’une entreprise.

Selon Cyber-Ark, les entreprises perdent sans le savoir des millions de dollars chaque année en interruption de service, en main d’oeuvre, en responsabilité légale et en coût d’audit associés à la mauvaise gestion des mots de passe privilégiés.

La non-vérification des mots de passe privilégiés peut constituer une importante menace pour la sécurité d’une organisation. Pourtant, l’étude réalisée a mis en évidence une absence globale de politiques strictes autour de la création et de la modification des mots de passe privilégiés, lesquelles pourraient vraisemblablement permettre d’éviter les attaques.

Autre point susceptible de compliquer la donne : bon nombre, sinon la plupart, des mots de passe privilégiés sont génériques par nature et n’ont pas le degré de personnalisation nécessaire pour les besoins de suivi et d’audit. En fait, la plupart des organisations possèdent davantage de mots de passe utilisateur privilégiés que de mots de passe personnels, soulignent les experts.

« Notre étude révèle que la gestion des mots de passe privilégiés constitue une véritable énigme dans le domaine de la sécurité« , a déclaré Sally Hudson, auteur du rapport et responsable de recherche pour le programme services de sécurité et produits de gestion des identités de l’IDC.

« IDC pense que le risque peut être grandement réduit par la mise en oeuvre de politiques exigeant d’appliquer un traitement spécial aux mots de passe privilégiés. Ceci inclut notamment la possibilité d’interdire à un utilisateur l’accès au système immédiatement après la fin de son contrat, la mise en oeuvre d’un système de changement régulier de mots de passe à travers toute l’entreprise ou encore la mise en place de systèmes d’audit et de reporting fiables. »

(Traduction d’un article de Vnunet.com en date du 31 janvier 2007.)