Sécurité du poste et des usages
Protéger le poste de travail et accompagner ses utilisateurs : sensibilisation à l'hameçonnage, mots de passe et double authentification, comptes sans privilèges, mises à jour, Microsoft Defender, pare-feu, BitLocker, LAPS, supports amovibles et sauvegarde.
L'essentiel
- Défense en profondeur : utilisateur sensibilisé, mises à jour, compte standard, antivirus, pare-feu, chiffrement, sauvegarde.
- Hameçonnage : vérifier l'expéditeur réel, l'urgence, la demande, le lien survolé, la pièce jointe ; signaler.
- Mot de passe (CNIL) : 12 caractères variés, ou 14, ou une phrase de 7 mots ; un par service, dans un gestionnaire.
- MFA : deux facteurs de natures différentes (je sais, je possède, je suis).
- Travail quotidien en compte standard ; compte d'administration distinct, utilisé seulement pour administrer.
- LAPS : un mot de passe d'administrateur local unique et changé automatiquement sur chaque poste, contre le mouvement latéral.
- Mises à jour rapides et centralisées (Patch Tuesday, 2e mardi) pour tous les logiciels.
- Defender : temps réel, signatures à jour, protection contre les falsifications ; pare-feu actif sur les trois profils.
- BitLocker sur tous les portables, clé de récupération sauvegardée dans l'AD ou Entra ID ; clés USB chiffrées ou bloquées.
- Sauvegarde 3-2-1 avec une copie hors ligne ; synchroniser n'est pas sauvegarder ; tester la restauration.
La règle de la CNIL (recommandation de 2022)
Pour un mot de passe seul, sans autre protection : au moins 12 caractères avec majuscules, minuscules, chiffres et caractères spéciaux, ou au moins 14 caractères avec majuscules, minuscules et chiffres, ou une phrase de passe d'au moins 7 mots. Toujours un mot de passe différent par service, rangé dans un gestionnaire.
Piège classique
Laisser l'utilisateur administrateur « pour qu'il puisse installer ce dont il a besoin ». C'est la configuration rêvée d'un rançongiciel. La bonne réponse est un catalogue de logiciels installables (Portail d'entreprise, winget piloté par le service informatique) ou une intervention du support. Même règle pour le technicien : son compte de tous les jours est standard, il n'utilise son compte d'administration que pour administrer.
À retenir : la clé de récupération
Pas de clé de récupération sauvegardée = des données perdues pour toujours au premier incident. Avant de chiffrer un poste, on vérifie où la clé sera stockée (Active Directory ou Entra ID en entreprise) et on contrôle qu'elle y est bien arrivée.
Piège classique : synchroniser n'est pas sauvegarder
Un dossier synchronisé (OneDrive, partage) reproduit immédiatement chaque modification, y compris une suppression ou un chiffrement par rançongiciel. Ce n'est une sauvegarde que s'il garde des versions antérieures sur une durée suffisante, et si l'on sait les restaurer. Teste toujours la restauration.
Commandes clés
| Pour… | Commandes (PowerShell administrateur) |
|---|---|
| Créer un compte standard | New-LocalUser -Name "lmorvan" · Add-LocalGroupMember -Group "Utilisateurs" -Member "lmorvan" |
| Lister les administrateurs locaux | Get-LocalGroupMember -Group "Administrateurs" |
| État et mise à jour de Defender | Get-MpComputerStatus · Update-MpSignature · Start-MpScan -ScanType QuickScan |
| Pare-feu | Get-NetFirewallProfile · Set-NetFirewallProfile -All -Enabled True |
| BitLocker | manage-bde -status · Enable-BitLocker -MountPoint C: -TpmProtector · (Get-BitLockerVolume C:).KeyProtector |
| Mises à jour installées | Get-HotFix | Sort-Object InstalledOn -Descending |