Étude comparative et déploiement d'une solution de gestion de mot de passe

Dans un contexte où les cybermenaces sont de plus en plus sophistiquées, la sécurisation des identifiants devient un enjeu critique pour toute organisation. La mise en place d'une solution de gestion de mots de passe constitue une réponse efficace à ce défi. Ce projet présente l'étude comparative et le déploiement d'une telle solution au sein de VIASANTÉ Mutuelle, entreprise du secteur de l'assurance santé.

Présentation du projet

Face à l'augmentation des risques liés aux compromissions d'identifiants, VIASANTÉ Mutuelle a entrepris une démarche structurée visant à implémenter une solution de gestion des mots de passe répondant à ses besoins spécifiques. Cette initiative s'inscrit dans une stratégie globale de renforcement de la cybersécurité, avec pour objectif l'élévation du degré de confiance au sein du système d'information.

Le projet a été mené de manière rigoureuse, depuis l'identification des besoins jusqu'au déploiement complet de la solution, en passant par une étude comparative approfondie des différentes options disponibles sur le marché.

Objectifs du projet

Le projet visait principalement à :

• Sécuriser le stockage des mots de passe individuels et partagés

• Faciliter la saisie des identifiants grâce à une extension navigateur

• Intégrer les fonctionnalités d'API pour éviter le stockage de mots de passe en dur dans les développements

• Garantir un accès aux identifiants indépendant des contraintes de connexion spécifiques à VIASANTÉ

Cette initiative répondait à plusieurs enjeux majeurs pour l'organisation :

• Renforcement du niveau de sécurité via l'utilisation de mots de passe complexes et uniques

• Amélioration de la conformité des utilisateurs aux politiques de sécurité

• Facilitation de l'authentification grâce à l'intégration du Single Sign-On (SSO)

Notions abordées

Étude comparative des solutions

Une analyse approfondie de quatre solutions principales a été réalisée :

1. Bitwarden

   • Avantages : Interface intuitive, simplicité d'intégration, excellente ergonomie

   • Inconvénients : Support exclusivement en anglais, contrats non francisés, structure d'entreprise importante

2. PassBolt

   • Avantages : Chiffrement individuel des mots de passe, entreprise à taille humaine, support rapide avec SLA

   • Inconvénients : Ergonomie perfectible, absence de client lourd, hébergement hors France

3. LockSelf

   • Avantages : Interface simple, support réactif, solution française certifiée ANSSI

   • Inconvénients : Absence de client lourd, fonctionnalités de sécurité récentes

4. Keeper

   • Avantages : Solution complète et ergonomique, déploiement facilité, documentation et support détaillés

   • Inconvénients : Serveurs hébergés en Irlande, absence de certification ANSSI

L'évaluation a porté sur des critères techniques (algorithmes de chiffrement, fonctionnalités d'API), organisationnels (qualité du support, facilité d'intégration) et financiers (coût total de possession).

Critères de sélection déterminants

Les critères qui ont guidé la prise de décision incluaient :

• La robustesse des mécanismes de chiffrement

• La qualité de l'expérience utilisateur

• La facilité d'intégration technique

• Le rapport qualité-prix

• La réactivité du support technique

• La compatibilité avec l'infrastructure existante

Aspects sécuritaires considérés

Une attention particulière a été portée aux aspects sécuritaires :

• Chiffrement de bout en bout des mots de passe

• Authentification multi-facteurs (MFA)

• Contrôle granulaire des accès

• Conformité aux standards de sécurité

• Traçabilité des actions

Contraintes techniques rencontrées

Le projet a dû faire face à plusieurs défis caractéristiques des grands groupes :

Coordination inter-entités

VIASANTÉ ayant joué un rôle pilote pour l'ensemble du groupe AG2R, la coordination entre différentes entités a nécessité une communication efficace et une gouvernance claire. L'alignement des différentes parties prenantes sur les objectifs et les étapes du projet a représenté un enjeu majeur.

Délais de validation

Les processus de validation impliquant plusieurs niveaux hiérarchiques et entités ont parfois allongé les délais initialement prévus. La nécessité d'obtenir des validations techniques, financières et stratégiques a complexifié la gestion du calendrier.

Formation et adoption

L'adhésion des utilisateurs constituait un facteur critique de succès. Des efforts importants ont été consacrés à la formation et à la sensibilisation pour garantir une adoption fluide de la nouvelle solution.

Ce que ce projet m'a apporté

Cette initiative m'a permis de développer des compétences variées et complémentaires :

Compétences techniques

• Approfondissement des connaissances en matière de gestion des identités et des accès

• Maîtrise des mécanismes de chiffrement et de sécurisation des mots de passe

• Compréhension des enjeux d'intégration dans un environnement hétérogène

Compétences méthodologiques

• Conduite d'une étude comparative structurée

• Gestion de projet dans un environnement complexe

• Élaboration et mise en œuvre d'un plan de déploiement

Compétences relationnelles

• Communication avec différents niveaux hiérarchiques

• Coordination d'équipes pluridisciplinaires

• Sensibilisation et formation des utilisateurs finaux

Conclusion

Au terme d'une évaluation approfondie, Keeper a été sélectionné malgré l'absence de certification ANSSI, notamment en raison de son interface utilisateur conviviale, de ses capacités robustes et de son support complet. Le facteur économique a également pesé dans la balance, Keeper proposant une solution financièrement plus avantageuse.

La mise en œuvre de cette solution a significativement renforcé la posture de sécurité de VIASANTÉ Mutuelle en améliorant la gestion des identifiants. Le projet illustre l'importance d'une approche méthodique dans la sélection et le déploiement d'outils de cybersécurité, ainsi que la nécessité d'équilibrer exigences techniques, contraintes budgétaires et considérations organisationnelles.

Ce déploiement, réalisé avec succès malgré les défis inhérents aux grands groupes, constitue une avancée significative dans la stratégie globale de durcissement de la cybersécurité de l'entreprise et d'élévation du degré de confiance dans son système d'information.