E‑Concept, prestataire en gestion des identités et des accès (IAM, MFA, SSO) pour les entreprises de l'Orne, de la Sarthe et de Normandie
Authentification multifacteur, authentification unique et suivi des comptes de l'arrivée au départ : nous protégeons les comptes de vos collaborateurs sans compliquer leur connexion quotidienne.
- Déploiement progressif service par service
- Accompagnement des utilisateurs inclus
- Techniciens basés à Alençon et L'Aigle
Pourquoi le vol de compte est devenu la première menace pour les entreprises
En 2025, le piratage de compte est devenu la première menace signalée par les entreprises et les associations françaises, devant l'hameçonnage et la fraude au virement, et loin devant le rançongiciel.
Un courriel bien imité et une fausse page de connexion Microsoft suffisent à obtenir un mot de passe. L'attaquant se connecte ensuite avec le bon identifiant : aucun antivirus ne se déclenche et aucun pare-feu ne bloque, puisque la connexion paraît légitime. La protection consiste à faire en sorte qu'un mot de passe volé ne suffise plus à entrer.
des demandes d'assistance des entreprises et associations concernent un piratage de compte, première menace devant l'hameçonnage et la fraude au virement.
IAM, MFA, SSO : ce que recouvrent ces sigles, en français courant
L'IAM, ou gestion des identités et des accès, regroupe les règles qui déterminent qui peut accéder à quoi dans votre entreprise, et comment ces autorisations évoluent quand une personne change de poste ou s'en va.
Le MFA, ou authentification multifacteur, exige une seconde preuve d'identité en plus du mot de passe, le plus souvent une validation sur le téléphone du collaborateur. Le SSO, ou authentification unique, permet de se connecter une seule fois pour accéder à toutes les applications autorisées.
Les deux notions se complètent : le SSO réduit le nombre de mots de passe à retenir, le MFA protège ce point d'entrée unique. Une double validation demandée huit fois par jour pousse les équipes à chercher des contournements ; associée au SSO, elle reste supportable au quotidien.
MFA et SSOà retenir
Le SSO simplifie la connexion, le MFA la sécurise : déployés ensemble, ils protègent les comptes sans alourdir le travail de vos collaborateurs.
Les sigles en une phrase
| Sigle | Nom complet | Ce que c'est |
|---|---|---|
| IAM | Identity and Access Management | Les règles qui définissent qui accède à quoi, et comment cela évolue dans le temps. |
| MFA | Multi-Factor Authentication | Une seconde preuve d'identité en plus du mot de passe, le plus souvent sur le téléphone. |
| 2FA | Two-Factor Authentication | La forme la plus courante de MFA, limitée à deux facteurs ; les deux termes sont souvent confondus. |
| SSO | Single Sign-On | Une seule connexion donne accès à toutes les applications autorisées. |
| Accès conditionnel | Conditional Access | Des règles qui adaptent l'exigence de connexion au contexte : lieu, appareil, horaire. |
| Provisioning | Cycle de vie des comptes | La création, la modification et la suppression des comptes au rythme des mouvements de personnel. |
Ce que comprend la sécurisation de vos identités et de vos accès
Six volets, déployés dans cet ordre parce qu'il correspond au rapport entre l'effort demandé et le risque supprimé. Les deux premiers écartent déjà l'essentiel de la menace.
-
Volet 01
Authentification multifacteur : la protection prioritaire
Un mot de passe volé devient inutilisable sans la seconde preuve, détenue par votre collaborateur. Nous déployons le MFA d'abord sur la messagerie, Microsoft 365, les accès distants et les logiciels métier qui le permettent, en commençant par la direction, la comptabilité et les administrateurs, qui concentrent le risque financier.
En pratiqueLa validation par SMS reste contournable ; une application d'authentification ou une clé physique protège nettement mieux.
-
Volet 02
Authentification unique : moins de mots de passe, mieux protégés
Un collaborateur qui gère quinze mots de passe en réutilise souvent trois et les note quelque part. Avec le SSO, une connexion unique et sécurisée ouvre toutes les applications autorisées : vos équipes gagnent du temps chaque matin et la fermeture d'un compte devient immédiate.
En pratiquePour les logiciels métier et les sites de fournisseurs qui ne se raccordent pas au SSO, un gestionnaire de mots de passe prend le relais.
-
Volet 03
Cycle de vie des comptes : arrivée, changement de poste, départ
Un compte accumule des droits au fil des changements de fonction, sans jamais en perdre, et reste souvent actif après un départ. Nous mettons en place une procédure écrite et adaptée à votre organisation pour chaque arrivée, mobilité interne et départ, avec une revue régulière des comptes actifs.
Constat fréquentLa revue des comptes révèle presque toujours des accès oubliés : anciens salariés, stagiaires, prestataires.
-
Volet 04
Comptes administrateurs : les protéger en priorité
Un compte administrateur compromis donne accès à toute l'entreprise. Les tâches courantes se font avec un compte standard, l'administration avec un compte séparé ; les droits élevés sont limités au strict nécessaire ; un compte de secours protégé par une clé physique est conservé à l'écart.
En pratiqueCes mesures demandent de la rigueur, pas d'investissement : elles évitent que plus personne ne puisse administrer le système après un incident.
-
Volet 05
Accès conditionnel : adapter l'exigence au contexte
Un poste connu, dans vos locaux, en semaine, ne présente pas le même risque qu'un appareil inconnu qui se connecte depuis l'étranger un dimanche matin. L'accès conditionnel demande une validation supplémentaire, bloque ou alerte selon le contexte, et repère les signes d'un compte détourné.
Constat fréquentLes auteurs de fraude au virement créent presque toujours une règle de redirection discrète dans la boîte mail piratée.
-
Volet 06
Adoption : préparer les équipes avant d'activer
Activer le MFA prend quelques minutes ; le faire accepter par trente personnes demande davantage. Nous avançons service par service, avec une communication préparée avec vous, une aide à l'inscription et une procédure pour les téléphones perdus ou changés.
En pratiqueUn déploiement imposé du jour au lendemain bloque les collaborateurs un lundi matin et finit souvent par un retour en arrière.
Une fraude au virement, sans et avec authentification multifacteur
Le déroulé habituel d'une fraude au virement, à partir d'un faux courriel Microsoft reçu par la comptabilité.
Sans authentification multifacteur
- Lundi
La responsable comptable reçoit un courriel qui imite Microsoft et l'invite à confirmer son mot de passe sur une page identique à l'originale.
- Le même jour
L'attaquant se connecte à sa boîte mail et crée une règle qui archive tous les messages contenant certains mots-clés.
- Trois semaines
Il lit les échanges avec les fournisseurs : montants habituels, ton employé, prénoms.
- Le jour J
Il intervient dans une conversation en cours pour annoncer un changement de coordonnées bancaires. Le virement part, et il est rarement récupérable.
Avec authentification multifacteur
- Lundi
Le même courriel arrive, et la responsable comptable saisit ses identifiants.
- Quelques minutes après
L'attaquant tente de se connecter : sans le second facteur, la boîte mail reste fermée.
- Aussitôt
La tentative de connexion déclenche une alerte.
- Le jour même
La responsable signale le courriel, son mot de passe est changé. L'affaire s'arrête là.
Avec le MFA, les identifiants volés ne suffisent plus à ouvrir la boîte mail : la fraude s'arrête dès la tentative de connexion.
Pourquoi confier la gestion de vos identités et de vos accès à E‑Concept dans l'Orne ?
Ce projet touche à l'organisation autant qu'à la technique : qui fait quoi, qui remplace qui pendant les congés, pourquoi trois personnes partagent le même accès. Une solution théoriquement parfaite qui ne tient pas une semaine dans un atelier ne sert à rien.
Nos techniciens d'Alençon et de L'Aigle administrent déjà l'environnement Microsoft 365 de nombreuses structures ornaises. Nous commençons par les comptes qui concentrent le risque, avançons par étapes et préparons vos équipes avant chaque nouvelle contrainte.
17 ans
auprès des entreprises ornaises
2 agences
Alençon et L'Aigle
600
spécialistes du réseau Alliance du Numérique
Quand engager le chantier ?
Dès la détection du besoin
Vous ne savez pas combien de comptes actifs existent dans votre entreprise, ni à qui ils appartiennent.
Pour l'échéance Microsoft
Le MFA est obligatoire pour administrer les services cloud de Microsoft, et la période de report est close depuis juillet 2026.
Après un incident
Boîte mail détournée, message envoyé à votre insu, virement suspect : il faut reprendre le contrôle des accès et vérifier les règles des boîtes.
Au changement de prestataire
Récupérer la liste des comptes administrateurs et couper les accès de l'ancien prestataire.
Lors d'un départ
Surtout s'il est conflictuel : la coupure doit être immédiate et complète, messagerie, accès distants, logiciels métier et comptes partagés compris.
Une fois par an
Une revue des comptes actifs et des droits révèle presque toujours des accès oubliés.
Face à une exigence externe
Questionnaire d'assureur cyber, directive NIS2, RGPD, cahier des charges d'un donneur d'ordre : la maîtrise des accès figure en tête de tous les référentiels.
Comment se déroule la mise en place, étape par étape
Six étapes, un déploiement progressif et aucun collaborateur bloqué un lundi matin.
Inventaire des comptes
Recensement des comptes, de leurs droits et de leur dernière utilisation dans Microsoft 365, sur vos serveurs et dans vos logiciels métier. Les comptes orphelins et les droits excessifs apparaissent dès cette étape.
Cartographie des usages
Qui a besoin de quoi, qui remplace qui, quels accès sont partagés et pourquoi : ce travail se fait avec vous.
Plan de déploiement
Les comptes à privilèges et les fonctions exposées, direction, comptabilité, achats, passent en premier. Le calendrier est établi service par service et communiqué à l'avance.
Préparation des équipes
Message d'annonce préparé avec vous, mode d'emploi illustré, assistance sur les créneaux de bascule et procédure écrite pour les téléphones perdus ou changés.
Activation progressive
MFA puis authentification unique, service par service, avec une période de tolérance. L'accès conditionnel est ajouté une fois les usages stabilisés.
Revue périodique
Contrôle régulier des comptes actifs, des droits et des méthodes d'authentification, lors de vos points de suivi.
Un inventaire pour savoir combien de comptes actifs existent dans votre entreprise
L'écart avec le nombre de salariés est souvent important : anciens collaborateurs, stagiaires, prestataires, comptes de test. Un inventaire rapide de vos comptes Microsoft 365 et de vos accès fait le point et vérifie que vos comptes les plus sensibles sont protégés par une double authentification. Nos équipes d'Alençon et de L'Aigle se déplacent dans tout le département.
- Inventaire des comptes en préalable
- Déploiement progressif, service par service
- Accompagnement des utilisateurs inclus
Nos autres services de cybersécurité
La gestion des accès protège les comptes ; ces services sécurisent les postes, le réseau, la messagerie et les usages. La même équipe d'Alençon et de L'Aigle les déploie et les suit.
Toute notre offre de cybersécuritéAudit de sécurité informatique
Six domaines contrôlés, un rapport lisible par un dirigeant et une feuille de route chiffrée remise dans tous les cas.
Antivirus, EDR et SOC managé
Surveillance du comportement des postes, isolement automatique d'une machine infectée et alertes traitées hors heures de bureau.
Pare-feu et sécurité réseau
Pare-feu administré, segmentation du réseau, détection d'intrusion et accès distants sécurisés pour le télétravail.
Anti-spam et filtrage des e-mails
Pièces jointes analysées, liens vérifiés au clic et détection des usurpations d'identité avant la boîte de réception.
Gestionnaire de mots de passe
Identifiants uniques et chiffrés, partage sans divulgation et retrait immédiat des accès lors d'un départ.
Sensibilisation et formation
Sessions d'une à deux heures sur des cas normands et campagnes d'hameçonnage simulé, sans désigner personne.
Questions fréquentes sur la gestion des identités et des accès
Authentification multifacteur, impact sur les équipes, SMS, obligations Microsoft, téléphone perdu, boîte piratée, durée du déploiement et comptes partagés.
Qu'est-ce que l'authentification multifacteur, concrètement ?
C'est une seconde preuve d'identité demandée en plus du mot de passe, le plus souvent une validation sur le téléphone du collaborateur. Un attaquant qui a volé le mot de passe n'a pas ce téléphone et ne peut pas se connecter. Cette mesure arrête l'essentiel des attaques par vol d'identifiants, première cause d'incident dans les entreprises françaises.
Le MFA va‑t‑il compliquer la vie de mes équipes ?
Beaucoup moins que ne le craignent les dirigeants. Une fois l'appareil enregistré comme fiable, la validation n'est demandée qu'occasionnellement. Associé à l'authentification unique, le dispositif fait même gagner du temps : une connexion le matin au lieu de plusieurs mots de passe dans la journée. La réussite dépend surtout de la préparation des équipes.
Un SMS suffit‑il comme second facteur ?
C'est mieux que rien, mais c'est la méthode la plus faible : un SMS peut être intercepté ou détourné, notamment par une manipulation auprès de l'opérateur. Une application d'authentification protège nettement mieux pour le même usage, et une clé physique offre le niveau le plus élevé, recommandé pour les administrateurs et les fonctions financières.
Microsoft impose‑t‑il le MFA sur Microsoft 365 ?
Oui, pour l'accès aux interfaces d'administration de ses services cloud. La première phase, engagée en octobre 2024, couvre le portail Azure et les centres d'administration Microsoft 365, Entra et Intune. La seconde, applicable depuis le 1er octobre 2025, concerne les outils en ligne de commande et les interfaces de programmation ; sa période de report s'est achevée le 1er juillet 2026.
Que se passe‑t‑il si un collaborateur perd son téléphone ?
Une procédure de secours est prévue dès le déploiement. Selon le cas, une méthode d'authentification de secours est enregistrée à l'avance, ou un administrateur réinitialise l'inscription après avoir vérifié l'identité de la personne. Aucun collaborateur ne reste bloqué, à condition d'avoir prévu ce cas avant qu'il ne se présente.
Ma boîte mail professionnelle a été piratée : que faire en premier ?
Changez immédiatement le mot de passe, activez l'authentification multifacteur, puis vérifiez les règles de la boîte : les auteurs de fraude au virement créent presque toujours une règle qui déplace ou supprime certains messages. Vérifiez aussi les adresses de redirection et l'historique des connexions, et appelez le 02 61 72 10 00 : les premières heures déterminent l'ampleur des dégâts.
Combien de temps faut‑il pour déployer le MFA dans une PME ?
Quelques jours pour l'inventaire et le cadrage, puis un déploiement échelonné sur deux à quatre semaines selon le nombre de collaborateurs et de services. La technique prend quelques heures ; c'est l'accompagnement des utilisateurs qui fixe le calendrier, et cet étalement évite les retours en arrière.
Faut‑il supprimer les comptes partagés entre plusieurs collaborateurs ?
Idéalement oui, car ils empêchent toute traçabilité : après un incident, personne ne peut dire qui a fait quoi. Certains usages les justifient encore, comme une boîte de contact ou un accès fournisseur. Il faut alors les recenser, les protéger par un gestionnaire de mots de passe qui partage l'accès sans révéler le mot de passe, et noter qui en dispose.