Points clés
- Les comportements à risque les plus fréquents ne sont pas spectaculaires : réutilisation de mots de passe, partage de credentials, bypass des contrôles pour gagner du temps, et BYOD non géré.
- Ces comportements sont rationnels du point de vue individuel — ils permettent de travailler plus vite ou plus confortablement — mais produisent des risques collectifs disproportionnés.
- Réduire les comportements à risque exige de comprendre pourquoi ils surviennent et de rendre les comportements sécurisés aussi pratiques que les comportements risqués.
- Les mesures qui rendent la sécurité plus contraignante que les alternatives non sécurisées génèrent du shadow IT et des contournements — aggravant les risques.
Les comportements à risque les plus fréquents en entreprise sont souvent les plus banals : l'employé qui utilise le même mot de passe depuis cinq ans, le manager qui partage ses credentials avec son assistante pour qu'elle gère ses emails pendant ses absences, le développeur qui désactive temporairement un contrôle de sécurité "juste pour ce test" et oublie de le réactiver, l'équipe commerciale qui travaille sur les données clients depuis des appareils personnels non gérés.
Ces comportements ne résultent pas d'une malveillance ou d'une ignorance totale des risques. Ils résultent d'un arbitrage quotidien entre efficacité immédiate et sécurité à long terme — un arbitrage que les individus résolvent systématiquement en faveur de l'efficacité immédiate en l'absence d'un cadre organisationnel qui les oriente autrement.
La réutilisation de mots de passe et la faiblesse des credentials
La réutilisation de mots de passe est le comportement à risque le plus universellement répandu malgré des années de sensibilisation. Sa persistance s'explique simplement : gérer des dizaines de mots de passe différents et complexes sans outil est cognitivement impossible. La solution — déployer des gestionnaires de mots de passe pour tous les employés et les former à les utiliser — est connue mais sous-adoptée, souvent pour des raisons de coût perçu ou de résistance au changement.
Les organisations qui ont déployé des gestionnaires de mots de passe et rendu leur utilisation obligatoire pour les accès professionnels documentent des réductions significatives des incidents liés à la compromission de credentials — souvent l'un des investissements à plus fort ROI dans leur programme de sécurité.
Le partage de credentials : pratique courante, risque sérieux
Le partage de credentials entre collègues — pour permettre la continuité du travail pendant les absences, pour faciliter la collaboration, ou simplement par habitude — est une pratique répandue dont les conséquences sécuritaires sont profondes : elle rend l'imputabilité impossible (qui a fait quoi ?), elle multiplie la surface d'exposition d'un credential unique, et elle survit aux départs (l'ex-collègue connaît toujours le mot de passe partagé).
Les solutions techniques — délégation d'accès, comptes de service, accès temporaires — existent et permettent de résoudre les cas d'usage légitimes du partage sans ses risques. Leur déploiement nécessite une compréhension des cas d'usage réels des équipes — ce qui exige une collaboration entre IT et utilisateurs que les organisations les plus efficaces ont formalisée.
Le bypass des contrôles de sécurité pour gagner du temps
Les contrôles de sécurité perçus comme trop contraignants sont contournés — c'est une réalité documentée dans toutes les industries. Un processus de validation qui prend 48 heures sera contourné par l'employé sous pression qui a besoin d'accès en urgence. Une politique de mise à jour qui exige un redémarrage pendant les heures de travail sera ignorée par les équipes en production continue. Ces contournements ne sont pas des anomalies — ce sont des adaptations rationnelles à des processus mal conçus.
La conception des contrôles de sécurité doit intégrer les contraintes opérationnelles réelles des utilisateurs. Un contrôle contournable à 100% n'offre aucune protection — c'est une fausse sécurité plus dangereuse que l'absence de contrôle car elle donne une illusion de protection.
Le BYOD et le shadow IT : l'exposition non gouvernée
L'utilisation d'appareils personnels pour les activités professionnelles (BYOD) et le recours à des outils non approuvés pour résoudre des problèmes immédiats (shadow IT) créent une exposition non gouvernée que les équipes IT ne peuvent pas détecter ou protéger. Ces comportements se développent lorsque les outils officiels sont jugés insuffisants ou trop contraignants — signal que les politiques IT ne sont pas alignées avec les besoins opérationnels réels des équipes.
Études de cas
Uber 2022 — Credentials partagés et absence de MFA
La compromission d'Uber en 2022 a mis en évidence plusieurs comportements à risque institutionnalisés : des credentials d'un sous-traitant stockés dans un script PowerShell accessible dans un partage réseau interne, des accès administrateurs partagés entre plusieurs personnes, et une procédure MFA contournable via une attaque de MFA fatigue. Ces comportements — tous rationnels du point de vue de chaque acteur cherchant à travailler efficacement — ont collectivement créé la fenêtre d'opportunité que l'attaquant a exploitée pour compromettre l'ensemble du réseau.
Secteur hospitalier — Shadow IT et exposition des données patients
Des audits de sécurité conduits dans des hôpitaux français ont documenté l'utilisation généralisée d'outils de messagerie grand public (WhatsApp, Messenger) pour l'échange d'informations médicales entre professionnels de santé, en contournement des messageries sécurisées officielles jugées trop lentes ou peu pratiques. Cette pratique de shadow IT médical, répandue dans toute l'Europe, crée une exposition des données patients sur des plateformes non conformes au RGPD et non soumises aux politiques de sécurité de l'établissement.