Serguey Asael Shinder – IT Professional

par Serguey Shinder

Il y avait un mot de passe que tout le monde connaissait. Personne ne l’avait décidé ainsi ; c’était simplement arrivé. Un compte partagé, créé un jour pour dépanner, dont l’identifiant s’était transmis de collègue en collègue, noté dans un fichier ici, collé dans un message là. Au bout de quelques années, il vivait dans une douzaine d’endroits et dans la mémoire de gens qui avaient quitté l’entreprise.

Je n’y pensais pas vraiment, jusqu’au jour où j’ai dû me demander qui, exactement, pouvait accéder à ce que ce compte pouvait atteindre. La réponse honnête était : je ne savais pas. Trop de mains l’avaient touché, trop longtemps, dans trop d’endroits. Ce n’était plus un secret. C’était une rumeur avec des privilèges.

Ce moment a changé ma façon de penser les accès. Un secret partagé par tout le monde n’est plus un secret, et un compte que personne ne possède vraiment est un compte que personne ne surveille. Le danger n’était pas qu’un pirate génial nous vise. C’était que nous avions laissé, sans le vouloir, une porte grande ouverte, dont nous avions oublié jusqu’à l’existence.

Depuis, je traite les identités comme quelque chose de personnel et de traçable. Chaque personne, son propre accès. Chaque accès, révocable en une minute le jour où quelqu’un part. Le moindre privilège, non par méfiance, mais parce qu’un compromis limité est un incident, tandis qu’un compte tout-puissant partagé est une catastrophe qui attend son heure.

Rien de tout cela n’est spectaculaire. C’est de l’hygiène, pas de l’héroïsme. Mais les pires histoires de sécurité que je connaisse ne commencent pas par un exploit brillant. Elles commencent par quelque chose de banal, laissé ouvert trop longtemps — comme un mot de passe que, peu à peu, tout le monde avait fini par connaître.

– Serguey Asael Shinder