Activez une deuxième preuve d’identité sur le courriel, le logiciel de gestion et la banque : un mot de passe volé ne suffira plus.
La double authentification, c’est une deuxième preuve d’identité demandée après le mot de passe : un code reçu sur votre téléphone, une notification à approuver ou une clé physique. Pour un service de garde, c’est la mesure la plus rentable qui existe pour protéger les comptes qui donnent accès aux dossiers des enfants : votre courriel, votre logiciel de gestion, La Place 0-5, votre banque. Trois questions suffisent pour comprendre pourquoi, et comment l’activer dès cette semaine.
Le deuxième facteur, c’est le téléphone : sans lui, un mot de passe volé n’ouvre rien.
Question 1 : à quoi ça sert, concrètement?
Un mot de passe, aussi bon soit-il, peut être volé : par un courriel d’hameçonnage bien imité, par une fuite chez un fournisseur, ou parce qu’il a été réutilisé ailleurs. Selon Pensez cybersécurité, 41 % des Canadiens utilisent le même mot de passe pour plusieurs comptes. Avec la double authentification, le mot de passe volé ne suffit plus : le pirate aurait aussi besoin de votre téléphone.
Les chiffres sont éloquents. Microsoft affirme que l’authentification multifacteur bloque plus de 99,9 % des attaques de compromission de compte. De son côté, une étude de Google publiée en 2019 montre qu’un simple code par texto a bloqué 100 % des robots automatisés, 96 % des campagnes d’hameçonnage de masse et 76 % des attaques ciblées ; une invite sur l’appareil a fait encore mieux, avec 100 %, 99 % et 90 % (Google Security Blog). Le Centre canadien pour la cybersécurité en fait d’ailleurs l’une de ses recommandations de base dans sa publication Ajoutez des couches de protection grâce à l’authentification multifacteur.
Question 2 : quels comptes du service de garde protéger en premier?
Pas besoin de tout faire d’un coup. Commencez par les comptes qui, s’ils tombent, font le plus mal :
- Le courriel de la direction. C’est la clé de tout le reste : c’est là qu’arrivent les réinitialisations de mot de passe des autres services. Un pirate qui contrôle votre courriel contrôle vos autres comptes.
- Le logiciel de gestion du service de garde. Dossiers des enfants, fiches santé, coordonnées des parents, relevés fiscaux. C’est le cœur de vos renseignements personnels au sens de la Loi 25.
- La Place 0-5 et les portails gouvernementaux. En mai 2021, un intrus a téléchargé les dossiers d’environ 5 000 enfants inscrits au guichet unique ; vous pouvez relire notre article sur La Place 0-5. Vos propres accès à ces portails méritent le même sérieux.
- La banque et le service de paie. Les fraudes par virement commencent souvent par un compte de courriel ou de banque compromis.
- Les comptes de médias sociaux du milieu. Une page Facebook détournée peut publier n’importe quoi au nom de votre CPE, photos d’enfants comprises.
Question 3 : texto, application ou clé physique?
Les trois méthodes sont bien meilleures que rien. Le code par texto est le plus simple à mettre en place, mais il peut être intercepté par un fraudeur qui réussit à faire transférer votre numéro de téléphone. L’application d’authentification (Microsoft Authenticator, Google Authenticator, ou celle intégrée à votre gestionnaire de mots de passe) génère les codes sur l’appareil lui-même, sans passer par le réseau cellulaire : c’est le meilleur compromis pour un service de garde. La clé physique (de type YubiKey, autour de 50 à 90 $ selon le modèle) est la plus robuste ; réservez-la à la direction et au compte administrateur du logiciel de gestion.
Le Centre canadien pour la cybersécurité rappelle dans ses pratiques exemplaires sur les mots de passe que l’authentification multifacteur ne remplace pas un bon mot de passe : les deux travaillent ensemble.
Un exemple concret dans un CPE
Prenons un CPE de deux installations en Montérégie. Un vendredi, l’adjointe administrative reçoit un courriel qui semble venir du logiciel de gestion : « Votre accès expire, reconnectez-vous ici. » Elle entre son nom d’utilisateur et son mot de passe sur une fausse page. Dans la version sans double authentification, le pirate se connecte le soir même, télécharge les fiches des 140 enfants et les coordonnées de 250 parents, puis envoie une demande de rançon. Dans la version avec double authentification, le pirate possède bien le mot de passe, mais la connexion exige un code généré sur le téléphone de l’adjointe. Il n’ira pas plus loin. Lundi matin, l’adjointe remarque une notification de connexion refusée, le change de mot de passe prend cinq minutes, et personne n’a à appeler la Commission d’accès à l’information.
Ce que ça change pour votre service de garde
- Activez la double authentification sur le courriel de la direction aujourd’hui. Dans Microsoft 365 ou Google Workspace, c’est inclus dans l’abonnement et ça prend 10 minutes par compte. Choisissez l’application d’authentification plutôt que le texto.
- Faites la liste des comptes critiques et traitez-les en deux semaines. Courriel, logiciel de gestion, portails gouvernementaux, banque, paie, médias sociaux. Un compte par jour, 15 minutes chacun. Si un fournisseur n’offre pas l’authentification multifacteur, c’est une question à lui poser par écrit.
- Équipez chaque membre du personnel administratif d’une application d’authentification. Gratuite, installée sur le téléphone personnel ou sur un téléphone du milieu. Notez dans un registre qui a quoi.
- Conservez les codes de récupération dans un endroit sûr. Chaque service fournit des codes de secours au moment de l’activation. Imprimez-les et rangez-les dans le classeur verrouillé de la direction, ou dans votre gestionnaire de mots de passe. Sans eux, un téléphone perdu peut vous bloquer pendant des jours.
- Prévoyez le départ d’un employé. Ajoutez à votre liste de départ une étape : retirer son appareil de la double authentification et transférer les accès. Dix minutes, mais souvent oubliées.
- Offrez une clé physique à la direction et au compte administrateur. Deux clés par personne (une en usage, une de secours), environ 100 à 180 $ au total. C’est la mesure qui résiste le mieux à l’hameçonnage.
- Inscrivez la double authentification dans votre politique de sécurité. Une phrase suffit : « Tout compte donnant accès à des renseignements personnels doit être protégé par une authentification multifacteur. » Cela devient une exigence pour les nouveaux fournisseurs et un argument concret devant les parents.
Sources
- Microsoft Security, 20 août 2019 : une action simple pour prévenir 99,9 % des attaques de compte
- Google Security Blog, 17 mai 2019 : efficacité de l’hygiène de base des comptes
- Centre canadien pour la cybersécurité : ajoutez des couches de protection grâce à l’authentification multifacteur
- Pensez cybersécurité : renforcer les points faibles de votre cybersécurité (statistiques canadiennes)
- La Place 0-5 : le jour où les dossiers de 5 000 enfants ont été volés (mai 2021)
Foire aux questions
Comment fonctionne la double authentification ?
Après le nom d’utilisateur et le mot de passe, le service exige une deuxième preuve d’identité : un code généré par une application d’authentification, une notification à approuver ou une clé physique. Un mot de passe volé ne suffit donc plus pour entrer.
Pourquoi utiliser la double authentification dans un service de garde ?
Parce que le courriel de la direction, le logiciel de gestion, La Place 0-5, la banque et la paie donnent accès aux dossiers des enfants et des parents. Microsoft estime que cette mesure bloque plus de 99,9 % des attaques de compromission de compte.
Est-ce que la double authentification offre une sécurité totale ?
Non. Le code par texto peut être intercepté si un fraudeur réussit à faire transférer votre numéro, et la mesure ne remplace pas un bon mot de passe. L’application d’authentification ou la clé physique, combinée à un mot de passe unique, reste la meilleure protection.
À lire aussi
Protéger l’information au niveau de l’organisme (ITSM.10.097)
18 février 2023 · 8 min de lecture
Comment éviter les pièges des médias sociaux au travail
4 avril 2023 · 7 min de lecture