Politique de mots de passe

La politique de mots de passe est l'ensemble des règles qu'une organisation impose aux mots de passe de ses comptes : longueur minimale, composition, durée de vie, refus des mots déjà compromis, verrouillage après une série d'échecs. La doctrine a basculé en 2017. La publication spéciale SP 800-63B du NIST (National Institute of Standards and Technology) a cessé de recommander le changement périodique forcé et les règles de composition (une majuscule, un chiffre, un symbole), qui produisaient Printemps2024! puis Ete2024!. Elle demande à la place une longueur suffisante et la comparaison de chaque nouveau mot de passe avec une liste de mots déjà divulgués. Sa révision suivante interdit d'exiger un changement périodique sans indice de compromission. Le mot de passe du compte VPN de Colonial Pipeline, en mai 2021, figurait selon Mandiant dans un lot de mots de passe divulgués. Le questionnaire cyber interroge rarement la politique elle-même. Il part du principe que le mot de passe tombera, par hameçonnage, par voleur d'informations ou par credential stuffing, et demande ce qui se passe ensuite : MFA (authentification multi-facteurs), verrouillage, surveillance des connexions. Quand il y revient, c'est sur des points précis : longueur minimale des comptes à privilèges, mots de passe par défaut des équipements, gestionnaire de mots de passe pour l'équipe informatique, unicité du mot de passe administrateur local. Ces réponses se vérifient mal de l'extérieur. Le souscripteur croise avec les fuites connues, et des identifiants de salariés trouvés dans des journaux de voleur d'informations récents contredisent un « politique conforme » mieux qu'un entretien. Réserve de praticien : une politique Active Directory impeccable sur le papier laisse souvent intacts les comptes de service créés avant elle, avec un mot de passe qui n'expire jamais et que personne n'ose changer.