NIS2, mots de passe et AMF : tout ce que vous devez savoir

L’AMF et la sécurité des mots de passe sont des considérations clés dans plusieurs cadres réglementaires, et NIS2 ne fait pas exception. La Directive NIS2 est un texte législatif important pour toute personne travaillant dans la cybersécurité à travers l’Union européenne. Les dernières mises à jour des réglementations NIS2 (Réseaux et systèmes d’information) ont été publiées au Journal officiel de l’Union européenne le 19 décembre 2022, et elles sont entrées en vigueur le 17 janvier 2023. Ces mises à jour visent à renforcer la sécurité des réseaux et systèmes d’information à travers l’UE et s’appliquent à un éventail plus large d’entités, y compris les fournisseurs de services numériques et les services essentiels.

Évolution de la Directive originale sur les réseaux et systèmes d’information (NIS), NIS2 étend sa portée et renforce ses exigences, reflétant la sophistication et la fréquence croissantes des cybermenaces. Nous examinerons ce que NIS2 signifie pour vos pratiques de cybersécurité, en nous concentrant sur la sécurité des mots de passe et l’AMF.

Qu’est-ce que NIS2 ?

La Directive NIS2 est un cadre réglementaire au sein de l’Union européenne conçu pour améliorer le niveau global de cybersécurité dans les États membres. La directive comprend des dispositions pour la déclaration d’incidents significatifs, le partage d’informations et la coopération entre les autorités nationales. Elle établit également une gamme d’amendes administratives pour non-conformité, visant à s’assurer que les organisations des secteurs public et privé prennent au sérieux leurs obligations de cybersécurité.

L’objectif de NIS2 est de fournir un niveau commun élevé de cybersécurité à travers l’Union européenne, protégeant les services essentiels et l’économie numérique contre la menace croissante des cyberattaques. L’AMF et la sécurité des mots de passe en sont des éléments clés.

Quelle est la différence entre NIS et NIS2 ?

La Directive NIS originale était le premier texte législatif à l’échelle de l’UE sur la cybersécurité, en 2016. NIS2 vise à remédier aux limitations et lacunes identifiées dans la directive originale en élargissant sa portée pour couvrir plus de secteurs et types d’entités, en appliquant des mesures de sécurité plus strictes et en améliorant la gestion des risques de cybersécurité.

Le moteur clé derrière le renforcement de la directive est un paysage de cybermenaces bien plus menaçant. Il y a moins de 10 ans en 2016, les attaques comme les rançongiciels étaient plus rares et significativement moins coûteuses pour les entreprises. Pour mettre cela en contexte, les dommages de la cybercriminalité mondiale étaient estimés à 3 000 milliards de dollars en 2015 mais sont estimés atteindre 10,5 billions de dollars d’ici la fin 2025.

Les trois principaux changements de NIS2 par rapport à NIS sont :

• NIS2 étend la portée à de nouveaux secteurs économiques qui jouent des rôles importants dans les écosystèmes numériques modernes.
• NIS2 supprime les incohérences de mise en œuvre en clarifiant les exigences de sécurité, de déclaration d’incidents et d’application qui s’appliquent à toutes les organisations.
• Elle établit la planification, la gestion de crise et une collaboration accrue entre les États membres en cas d’incidents de cybersécurité à grande échelle

Dois-je changer quelque chose concernant les mots de passe ou l’AMF pour 2025 ?

Il n’y a pas de mises à jour immédiates à connaître pour 2025. La Directive NIS2 a été officiellement adoptée par le Parlement européen et le Conseil en novembre 2022. Les États membres étaient tenus de transposer la directive dans le droit national dans les 21 mois suivant son entrée en vigueur, donc la directive est entrée en plein effet à travers l’UE à la mi-2024. En d’autres termes, les organisations doivent déjà être conformes.

Comment les réglementations NIS2 impactent-elles la sécurité des mots de passe ?

La Directive NIS2, avec son accent sur le renforcement de la cybersécurité à travers l’UE, souligne implicitement l’importance d’une sécurité robuste des mots de passe dans le cadre des mesures de cybersécurité d’une organisation. Bien que la directive ne spécifie pas d’exigences détaillées uniquement sur la sécurité des mots de passe, atteindre la conformité NIS2 exige que les entités adoptent des mesures techniques et organisationnelles appropriées et proportionnées pour gérer les risques pour la sécurité des réseaux et systèmes d’information.

Cela inclut les pratiques liées à la sécurisation du contrôle d’accès, qui implique directement la gestion des mots de passe. Voici une répartition de la façon dont vous pouvez satisfaire les exigences de mots de passe NIS2 :

Politiques de mots de passe robustes

NIS2 met un fort accent sur la mise en œuvre de mécanismes de contrôle d’accès efficaces. L’application de politiques de mots de passe robustes et sécurisées est vitale pour se conformer à cela. Les organisations sont censées s’assurer que les mots de passe sont difficiles à deviner, régulièrement mis à jour et résistants aux techniques d’attaque communes. Une politique de mots de passe robuste devrait également inclure des directives sur la longueur, la complexité et les périodes d’expiration des mots de passe.

Pour aider à se conformer à ces exigences, des outils tels que Specops Password Policy peuvent être utilisés pour à la fois appliquer des politiques robustes et vérifier les mots de passe compromis connus de manière conviviale.

Éducation et formation des utilisateurs

Une partie de la gestion des risques de cybersécurité implique de former les utilisateurs sur l’importance des mots de passe robustes et des pratiques d’authentification sécurisées. Une formation efficace devrait couvrir les risques de réutilisation de mots de passe sur plusieurs comptes, l’importance de créer des mots de passe uniques et complexes, et la valeur d’utiliser des gestionnaires de mots de passe pour stocker en sécurité les identifiants.

Par exemple, encourager l’utilisation de phrases de passe (longues phrases mémorables qui sont plus difficiles à craquer que les mots de passe traditionnels) est un moyen pratique d’aider les utilisateurs à adopter de meilleures habitudes sans sacrifier l’utilisabilité.

Audits et vérifications de conformité

Des audits réguliers et des vérifications de conformité sont essentiels pour s’assurer que les politiques de mots de passe sont correctement appliquées et alignées avec les objectifs de sécurité décrits dans la Directive NIS2. Ces évaluations aident à identifier les faiblesses dans l’hygiène des mots de passe, détecter les comptes non conformes et découvrir les pratiques qui pourraient exposer l’organisation aux attaques basées sur les identifiants.

Intéressé par un bilan de santé de votre Active Directory ? Specops Passwords Auditor effectue une analyse en lecture seule de votre Active Directory et fournit un rapport exportable détaillant vos vulnérabilités liées aux mots de passe – téléchargez votre outil gratuit ici.

Analysez votre Active Directory pour 1 milliard de mots de passe compromis connus

Sécurisation des réinitialisations de mots de passe

Sous NIS2, les organisations doivent s’assurer que les processus de gestion d’identité et d’accès, y compris les réinitialisations de mots de passe, sont résistants contre l’accès non autorisé. Cela signifie mettre en œuvre des méthodes sécurisées pour vérifier l’identité d’un utilisateur lors d’une réinitialisation. Les réinitialisations de mots de passe traditionnelles pilotées par le service d’assistance peuvent poser des risques de sécurité et de conformité, surtout si les étapes de vérification sont faibles ou incohérentes.

Specops uReset offre un moyen pour les utilisateurs finaux de réinitialiser leurs propres mots de passe, tout en restant sécurisé et conforme aux recommandations NIS2. uReset permet aux utilisateurs de vérifier leur identité via une gamme d’options AMF flexibles, y compris Duo Security, Google Authenticator, Microsoft Authenticator, Okta, PingID, Symantec VIP et Yubikey. Les multiples options d’authentification garantissent que les utilisateurs complèteront la tâche de réinitialisation de mot de passe, même si un fournisseur d’identité n’est pas disponible.

En réduisant la dépendance aux services d’assistance et en sécurisant le processus de réinitialisation, les organisations peuvent mieux répondre aux attentes de NIS2 pour des contrôles d’accès robustes et la prévention d’incidents.

Authentification multifacteur (AMF)

L’AMF joue un rôle significatif dans la directive. Elle fournit une couche supplémentaire de sécurité que les acteurs de menace doivent franchir après qu’un mot de passe ait été compromis. L’AMF est un sujet important dans le contexte de NIS2 et il vaut la peine d’être exploré plus en détail.

Quelles sont les exigences AMF de NIS2 ?

La Directive NIS2 met en avant l’authentification multifacteur comme une mesure de sécurité fondamentale que les organisations devraient mettre en œuvre pour améliorer leurs capacités de cybersécurité. L’AMF est cruciale pour construire une défense en couches contre les menaces incluant les attaques de phishing et d’ingénierie sociale, qui sont des méthodes communes pour voler les identifiants des utilisateurs.

Ceci est clé pour soutenir l’objectif de la Directive NIS2 de s’assurer que les organisations opérant dans des secteurs critiques ont des défenses robustes contre l’accès non autorisé, protégeant ainsi les données et systèmes importants qui sont essentiels au fonctionnement de la société et de l’économie.

L’adoption de l’AMF soutient la conformité avec la poussée de la Directive NIS2 pour suivre les pratiques de sécurité de pointe, mais est largement reconnue comme une meilleure pratique parmi d’autres réglementations et directives de cybersécurité également. Les organisations soumises à la Directive NIS2 devraient fortement considérer l’intégration de l’AMF dans leurs cadres de cybersécurité si elles ne l’ont pas déjà fait. Cela aide non seulement à la conformité mais renforce également significativement leur posture de sécurité contre les cybermenaces de plus en plus sophistiquées.

Assurez la conformité NIS2 avec Specops Secure Access

Specops Secure Access fournit une authentification multifacteur essentielle (AMF) pour la connexion Windows, AMF pour les connexions RDP, et AMF pour les connexions VPN, protégeant contre les attaques de mots de passe et l’accès non autorisé.

Avec le support pour l’authentification hors ligne, il assure une protection continue même dans des conditions réseau difficiles. Découvrez comment Specops Secure Access peut vous aider à répondre aux exigences NIS2.

Questions fréquemment posées sur NIS2