Qu'est-ce qui freine la MFA ?

The Authentication Insights Newsletter

Bonjour,


Bienvenue dans l'Authentication Insights Newsletter, où nous partageons des perspectives pratiques sur l'identité et l'authentification dans les environnements Active Directory sur site et hybrides.


Dans cette édition, nous nous pencherons sur un problème en apparence simple : les organisations peuvent affirmer qu'elles « utilisent la MFA », mais la plupart ne l'appliquent pas partout.


Ce fossé laisse des identifiants non protégés, offre des opportunités aux attaquants et donne aux équipes IT un faux sentiment de sécurité.

Où se situe le fossé ?


Interrogez n'importe quelle équipe IT, et la majorité répondra qu'elle a déployé la MFA. Mais creusez davantage et vous entendrez une tout autre histoire : la MFA n'est souvent appliquée qu'à certains comptes, certains utilisateurs ou certains systèmes. Cette couverture partielle crée des angles morts que les attaquants exploitent.


Des violations récentes montrent à quelle fréquence un seul compte non protégé, un point d'accès distant ou une connexion SaaS sans MFA activée suffit à déclencher une compromission.


Alors pourquoi, malgré la reconnaissance généralisée de son importance, la MFA n'est-elle pas appliquée de manière systématique ?

3 raisons pour lesquelles l'adoption de la MFA est à la traîne

  1. La MFA est une technologie imposée par le haut : la MFA a débuté comme mesure de sécurité haut de gamme destinée aux gouvernements et aux grandes entreprises. Cet héritage est toujours présent : de nombreux éditeurs traitent la MFA comme un module complémentaire plutôt que comme une fonctionnalité intégrée et indispensable. Les équipes IT qui souhaitent étendre la MFA universellement, notamment dans les environnements AD sur site, se heurtent souvent à des problèmes de complexité, de middleware et de coûts de licences supplémentaires. Tout cela freine une adoption à grande échelle.

  2. Le biais d'optimisme : la nature humaine est en partie responsable du problème. De nombreuses organisations fonctionnent avec la conviction qu'elles « sont probablement à l'abri ». Un compte non couvert peut ne pas sembler urgent… jusqu'à ce qu'il soit exploité. Les attaquants, eux, sont persistants, automatisés et industrialisés. Il leur suffit d'une seule faille, et une MFA partielle reste une protection partielle.

  3. La résistance des utilisateurs : la MFA introduit des frictions. Les administrateurs IT anticipent la résistance des employés, qui perçoivent la MFA comme une étape supplémentaire ou craignent qu'elle vienne compliquer leurs workflows. Même si cette perception est réelle, elle peut occulter les perturbations bien plus importantes causées par les violations d'identité. Les préoccupations liées à la facilité d'utilisation l'emportent trop souvent sur l'impératif de sécurité.

Combler le fossé


Le constat est clair : si la MFA n'est pas déployée partout, les attaquants trouveront les failles.


À l'avenir, les équipes IT doivent envisager la MFA non pas comme un module complémentaire facultatif, mais comme un contrôle universel qui s'adapte au contexte, aux rôles des utilisateurs et aux techniques d'attaque en constante évolution.


Cela nécessite à la fois l'adhésion de l'organisation et un accompagnement concret.


Former les utilisateurs, rendre la MFA aussi fluide que possible et garantir une couverture de chaque identifiant, de chaque compte, sont autant d'étapes clés vers le Zero Trust.

Éclairages et conseils pratiques


Découvrez des conseils approfondis pour combler les lacunes de la MFA et renforcer votre résilience au quotidien :

À bientôt,
L'équipe Authentication Insights