Déployer le MFA dans une PME : le guide en cinq étapes

Le MFA est la mesure de sécurité au meilleur rapport effort/résultat qui existe. Elle est aussi celle que les entreprises repoussent le plus, par crainte de gêner les utilisateurs. Voici comment nous la déployons sans friction.

1. Commencer par les comptes qui ouvrent toutes les portes

Administrateurs Microsoft 365 ou Google, administrateurs de domaine, accès au pare-feu, au standard téléphonique, aux sauvegardes. Ces comptes passent en MFA le jour même, avec une application d’authentification, jamais par SMS.

2. Protéger les accès distants

VPN, bureau à distance, portails web exposés. Un accès distant sans MFA est la porte d’entrée la plus utilisée par les ransomwares. FortiGate et WatchGuard intègrent le MFA nativement ; nous l’activons avant tout le reste.

3. Choisir la bonne méthode pour chaque population

• Application d’authentification (Microsoft Authenticator, Google, AuthPoint) pour la majorité.
• Clés physiques pour les administrateurs et les dirigeants.
• Codes de secours imprimés et conservés hors ligne pour les cas d’urgence.
• Le SMS uniquement en dernier recours, jamais pour les comptes sensibles.

4. Déployer par vagues, avec un accompagnement

Un service pilote, une communication claire (pourquoi, quand, comment), une aide à l’enrôlement le premier jour, puis la généralisation. L’accès conditionnel permet d’exiger le MFA hors du bureau et de l’alléger sur les postes de confiance.

5. Vérifier et maintenir

Rapport mensuel des comptes sans MFA, révocation immédiate au départ d’un salarié, revue des méthodes enregistrées. Le MFA est un état à maintenir, pas un projet à clôturer.

Le MFA est inclus dans notre offre cloud managé et dans les fondamentaux de notre cybersécurité.