Le Gartner Group a constaté que 20 à 50 % des appels au helpdesk concernent la réinitialisation de mots de passe. En outre, la résolution d’un problème de réinitialisation de mot de passe peut prendre entre 20 et 30 minutes. 

Ce type de mauvaise expérience en matière de changement de mot de passe est trop souvent subi par les utilisateurs. Face à cette situation, quels réflexes adoptent-ils ?

- Ils créent des mots de passe faciles à mémoriser mais qui ont tendance à être faibles.

- Ils créent des mots de passe forts, mais les utilisent partout (réutilisation des mots de passe).

- Ils changent juste le numéro à la fin à chaque fois qu'ils changent de mot de passe. 

Ces types de comportements indésirables d'utilisateurs ont convaincu les organismes de réglementation de modifier leurs recommandations en matière de sécurité des mots de passe. Par exemple, la CNIL a mis à jour ses recommandations en octobre 2022 et suggère depuis aux entreprises d’abandonner le recours à l’expiration programmée des mots de passe. Elle l’estime en effet contre-productif pour améliorer la sécurité de ces derniers.

 

Mais il existe encore quelques bonnes raisons de maintenir l'expiration du mot de passe 

Malgré les recommandations de la CNIL, il existe toujours des raisons valables de maintenir le changement régulier des mots de passe. La première d’entre elles est le fait que les mots de passe volés seraient ainsi uniquement valables pour les pirates pour une durée limitée. Cet aspect est très important, notamment parce que les entreprises n'identifient pas toujours immédiatement les violations. C'est la raison pour laquelle certains organismes de normalisation industrielle, tel que PCI, exigent toujours le changement régulier des mots de passe. 

Pourtant les inconvénients de cette pratique sont réels :

  •  Les utilisateurs sont plus susceptibles de recourir à des « stratégies d'adaptation », débouchant sur un affaiblissement de la sécurité du mot de passe ;
  •  Les appels au helpdesk liés au changement du mot de passe coûtent beaucoup d'argent aux entreprises ;
  •  Si de nombreux employés passent 20 à 30 minutes à résoudre des problèmes liés au changement de mot de passe, cela peut avoir un réel impact négatif sur la productivité globale de l'entreprise. 

Concentrez-vous sur l'amélioration de l'expérience utilisateur 

Alors donc, que doivent faire les entreprises ? 

Si vous n'êtes pas sûr de vouloir supprimer complètement les exigences de réinitialisation des mots de passe, vous devriez réfléchir à la manière d'améliorer l'expérience des utilisateurs. Il existe plusieurs façons d'y parvenir. 

    1)   Adopter l’expiration des mots de passe selon leur longueur et leur force 

Avec cette approche, vous incitez les utilisateurs à créer des mots de passe forts en basant l'expiration du mot de passe selon sa force. Par exemple, si votre mot de passe comporte 15 caractères, un chiffre et un caractère spécial, vous êtes autorisé à le conserver pendant 365 jours, au lieu de 180 jours autrement. 

Il s’agit d’un levier intéressant pour récompenser un bon comportement et d'aider les entreprises à améliorer la sécurité des mots de passe par la même occasion. Malheureusement, Microsoft ne propose pas de fonctionnalités prêtes à l'emploi dans Active Directory, mais vous pouvez y parvenir avec des solutions comme Specops Password Policy. 

    2)   Adopter une solution de réinitialisation des mots de passe en libre-service 

Un autre moyen de gagner du temps, de l'argent et d'améliorer la productivité est de donner aux utilisateurs les moyens de gérer eux-mêmes les mots de passe, en adoptant une solution de réinitialisation des mots de passe en libre-service. 

Specops uReset offre les fonctionnalités intéressantes qui permettent aux utilisateurs de réinitialiser leurs mots de passe sans devoir appeler le helpdesk :

  •  Mettre à jour les informations d'identification en cache des utilisateurs distants pour assurer la continuité du travail ;   •  Permettre le changement de mot de passe à partir de n'importe quel navigateur web ou de l'écran de connexion Windows, et en le mettant à jour instantanément dans l’Active Directory ;
  •  Vérifier leur identité lorsqu'ils changent de mot de passe grâce à un choix de plus de 15 fournisseurs d'identité (MFA). 

Dans la plupart des cas, le changement des mots de passe peut se faire en libre-service. C'est une situation gagnant-gagnant pour l'employé, le helpdesk et l'entreprise, surtout si vous avez beaucoup de télétravailleurs. 

Le renforcement de la sécurité des mots de passe nécessite l'adhésion des utilisateurs. Pensez donc à améliorer l'expérience utilisateur pour résoudre vos problèmes liés à la réinitialisation des mots de passe !