The Hidden Cost of Recurring Credential Incidents

Le coût caché de la gestion répétitive des identifiants

Les incidents liés aux identifiants ne se limitent pas au risque de violation de données coûteuse ; ils génèrent un coût opérationnel quotidien massif, absorbé par le temps perdu au support technique et la baisse de productivité des utilisateurs.

Points clés :

• Impact opérationnel : Les réinitialisations de mots de passe représentent jusqu’à 30 % des tickets de support, avec un coût estimé à 70 $ par incident.
• Inefficacité des politiques strictes : Des politiques trop contraignantes poussent les utilisateurs à adopter des comportements à risque (réutilisation, mots de passe prévisibles) pour contourner la complexité.
• Obsolescence des changements forcés : Les renouvellements périodiques obligatoires (tous les 60-90 jours) favorisent des mots de passe faibles et augmentent les interruptions de service sans améliorer réellement la sécurité, contrairement aux recommandations actuelles du NIST.
• Vulnérabilité persistante : Un mot de passe ancien n’est pas nécessairement dangereux, mais un mot de passe déjà compromis (exposé lors d’une brèche externe) constitue une porte d’entrée critique pour les attaquants.

Vulnérabilités :

• Utilisation de mots de passe compromis dans des bases de données publiques.
• Faiblesse des politiques de complexité générant des mots de passe prévisibles.
• Absence de détection en temps réel des identifiants ayant fait l’objet d’une fuite de données (pas de CVE spécifique, il s’agit d’un problème de gestion des politiques d’authentification).

Recommandations :

• Abandonner les expirations arbitraires : Cesser les changements forcés périodiques au profit de réinitialisations basées sur des preuves réelles de compromission.
• Intégrer le filtrage des mots de passe compromis : Mettre en place des solutions capables de comparer les mots de passe des utilisateurs avec des bases de données de milliards d’identifiants déjà piratés.
• Prioriser l’expérience utilisateur : Équilibrer sécurité et utilisabilité pour éviter que les employés ne cherchent à contourner les contrôles de sécurité.
• Renforcer la base de l’identité : Considérer les politiques de mots de passe comme la fondation nécessaire, même lors d’une transition vers des modèles d’authentification sans mot de passe (passwordless).

Source