Définir les bonnes questions pour la réinitialisation des mots de passe

25 mars 2013

Avec des outils comme SSRPM (Self Service Reset Password Manager) il est possible de déléguer les demandes de réinitialisations de mot de passe aux utilisateurs eux-mêmes. Si l’utilisateur est bloqué à cause d’un oubli de mot de passe, il suffit qu’il clique sur le bouton « j’ai oublié mon mot de passe » disponible depuis son écran de connexion et, après avoir répondu à quelques questions de sécurité, il peut lui-même réinitialiser son mot de passe.

Les avantages sont clairs :

une réduction des appels vers le helpdesk
une réduction des coûts de support
une sécurité améliorée (comment votre helpdesk identifie l’appelant aujourd’hui?)

Mais quelles sont donc les bonnes questions de sécurité ? Comment créer une liste de questions à la fois sécurisantes et difficiles à deviner, et en même temps dont il serait facile de s’en rappeler…
Le site goodsecurityquestions.com (en anglais) vous donne quelques conseils et pistes concernant la création de ces questions de sécurité.

Quelques critères importants pour la définition de questions de sécurité :

Difficile à deviner ou de trouver la réponse (par internet ou autres recherches: social spying) ???
La réponse ne change pas avec le temps
Facile à mémoriser
La réponse doit être définitive et simple dans un format non ambigu

Depuis l’existence de Self Service Reset Password Manager, beaucoup d’entreprises utilisent l’outil afin de réduire les appels vers le support informatique. Lors de la création de questions de sécurité, il est toujours important de prendre en considération les aspects liés à la sécurité mais aussi liés à la facilité.

Voici quelques démarches qui ont été appliquées chez nos clients :
Les questions les plus pertinentes sont souvent celles liées au passé de l’utilisateur final, et ne changeant pas avec le temps (et non : quelle est votre couleur préférée ?), pas de questions où la réponse peut avoir différents formats (heures, dates…), pas de questions où la réponse peut être partagée avec ses collègues (nom de votre chien…) ou des réponses qu’on peut trouver sur des réseaux sociaux (facebook etc.)

Quelques exemples :

Quel est le nom de famille de votre premier patron ?
Comment s’appelait votre premier animal de compagnie ?
Quel est le prénom de l’aînée de vos nièces ?

Cliquez ici pour obtenir plus d’informations sur la réinitialisation des mots de passe en mode self service ou sur les bonnes pratiques pour définir des questions de sécurité.