La politique de mots de passe impose 16 caractères. L’annuaire de l’entreprise en accepte 14. Et personne n’était au courant. Une histoire vraie, tirée de notre livre « Audit-moi si tu peux ».
Ce qui s’est passé
Audit interne chez un fournisseur de services cloud d’environ 200 personnes. L’auditeur vérifie un paramètre tout simple : la longueur minimale des mots de passe dans l’Active Directory, l’annuaire qui gère les comptes des collaborateurs.
La politique écrite demande 16 caractères. L’annuaire en accepte 14.
Le RSSI tombe des nues : « Mais on avait bien mis 16 ! » Après vérification, la règle avait bien été réglée à 16 au départ. Elle avait ensuite été abaissée, pour un problème de compatibilité avec une application, sans que personne ne soit prévenu.
Ce que l’auditeur regarde vraiment
L’auditeur ne s’intéresse pas d’abord au chiffre, 14 ou 16. Il compare ce que l’organisation a promis de faire avec ce qu’elle fait réellement.
Ici, l’écart révèle deux faiblesses plus profondes que le paramètre lui-même :
- un changement fait sans validation : quelqu’un a modifié une règle de sécurité dans son coin, pour de bonnes raisons techniques, mais sans décision ni trace ;
- l’absence de contrôle dans la durée : une fois la règle en place, personne ne vérifiait qu’elle le restait.
C’est le cœur de notre façon d’auditer : une mesure de sécurité n’a de valeur que si elle est appliquée, et si l’on vérifie régulièrement qu’elle l’est toujours. Mieux vaut une règle simple, tenue et contrôlée, qu’un beau document que la réalité a quitté depuis longtemps.
Et si la technique impose vraiment 14 caractères ? Alors c’est une décision à prendre en connaissance de cause, avec une mesure qui compense (la double authentification, par exemple), puis une politique mise à jour. Pas un réglage discret.
À vous de jouer
Trois questions à vous poser, ou à poser à votre prestataire :
- Nos paramètres de sécurité importants (mots de passe, double authentification, verrouillage des sessions) sont-ils vérifiés régulièrement, ou seulement le jour de leur mise en place ?
- Un changement de configuration peut-il être fait sans être validé ni noté quelque part ?
- Quand une règle doit être assouplie pour une raison technique, qui décide, et notre politique est-elle mise à jour en conséquence ?
La moralité du livre : la politique de mot de passe n’est pas un vœu pieux, c’est un paramètre à surveiller comme le lait sur le feu.
Pour aller plus loin : cette anecdote et plus de trente autres sont à retrouver dans « Audit-moi si tu peux ».
Chronique adaptée de notre livre « Audit-moi si tu peux : Chroniques (presque) véridiques de l’audit ISO 27001 » (KyNeo, 2026). Préparée avec l’aide d’une intelligence artificielle et validée par KyNeo.