Une interview de Gaëlle TILLOY, Avocate à la Cour, spécialiste des nouvelles technologies et des données personnelles et Marc SCHMITT, Consultant senior cybersécurité chez SASETY, partenaire de Silverfort.

Qu’est-ce que la MFA ?

Gaëlle TILLOY : L’authentification multifacteur, ou MFA, est une méthode de sécurité qui vise à renforcer la protection des systèmes informatiques en combinant plusieurs éléments permettant de vérifier l’identité d’un utilisateur. Contrairement à une authentification classique reposant sur un simple mot de passe, la MFA exige au minimum deux facteurs distincts parmi les trois suivants :

1) un facteur de connaissance (ex. : mot de passe, code),

2) un facteur de possession (ex. : téléphone, jeton),

3) un facteur d’inhérence (ex. : empreinte digitale, reconnaissance faciale).

Cette approche permet de rendre les accès illicites beaucoup plus difficiles, même en cas de compromission d’un des facteurs. La MFA s’inscrit ainsi dans une stratégie de défense en profondeur, attendue aujourd’hui dans de nombreux contextes sensibles.

Pourquoi la CNIL a-t-elle publié une recommandation spécifique sur la MFA ?

Gaëlle TILLOY : La CNIL a constaté que les mots de passe seuls ne suffisent plus à assurer un niveau de sécurité adapté face à l’explosion des cyberattaques. Le RGPD impose de garantir un niveau de sécurité proportionné au risque. Dans cette logique, la MFA apparaît comme une mesure de base incontournable dans certains contextes. La recommandation du 20 mars 2025 permet de clarifier les attentes réglementaires, tout en guidant les organismes sur les modalités concrètes d’implémentation.

Marc SCHMITT : Dans notre activité chez SASETY, nous avons constaté à quel point les entreprises sont en demande d’un cadre clair. La recommandation de la CNIL est précieuse pour définir une ligne directrice. Nous avons choisi de nous appuyer sur la solution Silverfort, qui permet de déployer la MFA même sur des environnements existants, sans nécessiter de refonte applicative. Silverfort apporte une couverture large et cohérente, compatible avec les attentes du RGPD et des normes sectorielles telles que NIS2 ou DORA.

Dans quels cas l’activation de la MFA est-elle requise selon la CNIL ?

Gaëlle TILLOY : Le recours à la MFA doit être guidé par le niveau de risque. Il n’est pas recommandé de l’appliquer de manière systématique et indiscriminée. Cependant, certains cas exigent un niveau de sécurité renforcé : les traitements de données sensibles (santé, données financières…), les accès à distance ou aux interfaces d’administration. La CNIL rappelle ici le principe de proportionnalité inscrit dans le RGPD.

Marc SCHMITT : La force de Silverfort, c’est de proposer à la fois des règles statiques, par exemple imposer la MFA pour les accès aux serveurs Tier 0 et des règles dynamiques. Celles-ci s’activent en fonction du contexte : détection d’un nouveau terminal, comportement inhabituel, changement de localisation, etc. Cette capacité à orchestrer la MFA de façon intelligente est une réponse directe aux attentes exprimées par la CNIL.

Quels sont les grands principes du RGPD à respecter dans un projet de MFA ?

Gaëlle TILLOY : La mise en place de la MFA est un traitement de données personnelles. À ce titre, elle doit respecter l’ensemble des obligations du RGPD, notamment :

• La définition d’une base légale claire, généralement l’intérêt légitime ;
• La minimisation des données : inutile de collecter un numéro de téléphone si une autre solution est possible ;
• Une conservation limitée des données d’authentification ;
• Et le respect des droits des personnes concernées, notamment l’information, l’accès, ou l’opposition.

Marc SCHMITT : Silverfort est conforme à ces principes. La solution fonctionne sans base d’identité propre, s’appuie sur l’existant (Active Directory, LDAP…) et ne collecte que les métadonnées nécessaires à l’analyse des accès. Les paramètres de conservation sont ajustables. Nous aidons aussi nos clients à documenter leur conformité, ce qui est aujourd’hui essentiel, notamment pour anticiper les audits dans le cadre de NIS2 ou DORA.

Comment qualifier les acteurs impliqués dans une solution de MFA ?

Gaëlle TILLOY : La qualification des parties, responsable de traitement ou sous-traitant, dépend de leur rôle dans le traitement des données. Le responsable définit les finalités et les moyens essentiels du traitement. Le sous-traitant agit pour le compte du responsable. Cette distinction est importante pour déterminer les obligations contractuelles et documentaires à respecter.

Marc SCHMITT : La solution Silverfort peut être déployée dans différents modèles : On-Premise, SaaS ou hybride. Cela permet de s’adapter aux exigences du client et de bien délimiter les responsabilités entre les acteurs. Nous aidons les clients à intégrer ces questions dans leurs analyses d’impact et dans les contrats avec leurs prestataires.

Quelles précautions faut-il prendre concernant la biométrie ?

Gaëlle TILLOY : Le recours à la biométrie, qui repose sur des données sensibles, nécessite un cadre strict : consentement explicite, finalité déterminée, sécurité renforcée. Il ne peut s’agir d’un usage par défaut ou massif, et des alternatives doivent toujours être envisagées.

Marc SCHMITT : Silverfort permet d’intégrer de nombreux facteurs d’authentification, dont les classiques comme TOTP ou FIDO2. Cela permet de proposer une MFA robuste, sans recourir à des méthodes plus intrusives sauf en cas de stricte nécessité.

Comment garantir la sécurité de la MFA elle-même ?

Gaëlle TILLOY : La CNIL renvoie aux recommandations de l’ANSSI, notamment à l’usage de composants qualifiés et à l’authentification via un canal sécurisé. Il est essentiel que les preuves de possession soient dynamiques et que les facteurs utilisés reposent sur des mécanismes éprouvés.

Marc SCHMITT : Silverfort respecte ces exigences techniques. Elle implémente des mécanismes robustes, suit les recommandations ANSSI comme R11 (authentification via canal sécurisé). Cela permet de sécuriser à la fois le processus d’authentification et les données manipulées tout au long du parcours utilisateur.

Quels sont les risques en cas d’absence ou de mauvaise mise en œuvre de la MFA ?

Gaëlle TILLOY : Une absence de MFA dans un contexte à risque peut constituer un manquement à l’obligation de sécurité prévue par le RGPD. En cas d’incident, cela peut conduire à des sanctions, notamment financières, de la part de la CNIL. La responsabilité du responsable de traitement ou du sous-traitant peut également être engagée.

Marc SCHMITT : Du point de vue opérationnel, une mauvaise gestion des accès est l’un des premiers vecteurs d’intrusion. Un mot de passe compromis peut suffire à accéder à des ressources critiques. La MFA permet de réduire considérablement ce risque. Chez SASETY, nous la considérons comme un standard de sécurité indispensable, en particulier pour répondre aux exigences croissantes des régulateurs européens.

Conclusion : en quoi la MFA s’impose-t-elle aujourd’hui comme un standard ?

Gaëlle TILLOY : La MFA est devenue une mesure de sécurité essentielle, car elle apporte une réponse efficace et mesurable aux menaces actuelles. Elle est adaptée, proportionnée et conforme au RGPD si elle est bien mise en œuvre. C’est une étape clé dans la gestion du risque cyber.

Marc SCHMITT : Grâce à des solutions comme Silverfort, la MFA n’est plus un casse-tête technique. Elle devient un levier d’efficacité pour les équipes IT et un gage de conformité pour les directions juridiques et sécurité. Notre rôle chez SASETY est d’accompagner nos clients dans cette transition, de manière pragmatique et opérationnelle.

Pour aller plus loin :

• Recommandation CNIL du 20 mars 2025 sur l’authentification multifacteur.pdf
• Guide ANSSI : Recommandations relatives à l’authentification multifacteur et aux mots de passe
• https://www.cnil.fr/fr/le-controle-dacces-biometrique-sur-les-lieux-de-travail
• https://www.sasety.com/avis-d-expert-comment-proteger-efficacement-ses-identites-et-l-acces-a-ses-ressources-it

Dans un environnement où les cybermenaces évoluent sans cesse, les entreprises doivent répondre à une question décisive : comment sensibiliser efficacement leurs collaborateurs ? La clé réside dans une définition claire et précise des objectifs de sensibilisation. Sans ces bases solides, toute campagne risque de manquer sa cible.

Pourquoi définir des objectifs de sensibilisation à la cybersécurité ?

Avant de lancer une campagne, il est indispensable de se poser la question : qu’attendons-nous de cette action ? Les objectifs de sensibilisation permettent de :

• Orienter les efforts : une direction claire aide à aligner toutes les parties prenantes.
• Mesurer l’impact : des objectifs bien définis facilitent l’évaluation des résultats.
• Engager les collaborateurs : lorsque les équipes comprennent le « pourquoi », leur adhésion est plus forte.

Les 5 objectifs stratégiques les plus rencontrés

1. Changer la perception de la cybersécurité

Pour beaucoup de collaborateurs, la cybersécurité est perçue comme un sujet technique réservé aux spécialistes. Un excès de confiance dans la protection apportée par l’organisation est également rencontré. Le premier objectif consiste à montrer que chacun a un rôle à jouer.

2. Développer une culture de cybersécurité

L’objectif ici est d’intégrer la cybersécurité dans les valeurs de l’entreprise. Les bonnes pratiques doivent devenir des réflexes, au même titre que les consignes de sécurité physique.

3. Respecter les lois et réglementations

Avec des réglementations comme le RGPD ou la directive NIS2, la conformité est un impératif, mais il ne suffit pas de cocher des cases. L’objectif est de démontrer un engagement sincère, tant auprès des collaborateurs que des régulateurs.

4. Réduire les incidents de sécurité liés aux comportements

Un objectif mesurable consiste à diminuer les erreurs humaines, responsables de la majorité des incidents.

Indicateurs :

• Réduction des clics sur des e-mails de phishing,
• Hausse du signalement des évènements suspects.

5. Renforcer la visibilité du rôle des RSSI

Les communications les plus efficaces sont celles qui sont incarnées. En ce sens, la perception du rôle du RSSI devient un facteur de succès.

Voici quelques étapes pour définir des objectifs de sensibilisation à la cybersécurité :

Étape 1 : analyse des besoins spécifiques de l’organisation

Chaque entreprise a des défis uniques. Commencer par :

• Auditer les pratiques actuelles en cybersécurité,
• Identifier les points faibles dans les comportements des collaborateurs.

Étape 2 : segmentation des objectifs

Éviter les campagnes génériques. Segmenter ses objectifs par groupe cible :

• Nouveaux arrivants : initiation aux bases de la cybersécurité,
• Managers : sensibilisation renforcée sur les responsabilités,
• Équipes techniques : approfondissement des concepts avancés.

Étape 3 : fixer des indicateurs clés de performance (KPIs)

Les KPIs permettent de transformer ses objectifs en métriques tangibles.

Exemples de KPIs :

• Taux de participation à la campagne,
• Pourcentage de bonnes réponses aux quiz à froid,
• Nombre de signalements via des boutons de phishing,
• Évaluation par étude d’impact.

Étape 4 : communiquer les objectifs à toutes les parties prenantes

S’assurer que la direction soutient activement la démarche et que les objectifs sont partagés avec l’ensemble des équipes. Une vidéo de la direction en introduction d’une campagne peut grandement motiver les collaborateurs.

Étape 5 : ajuster les objectifs en continu

Le monde de la cybersécurité évolue constamment. Intégrer un cycle d’amélioration continue pour affiner ses objectifs en fonction des résultats obtenus.

Par Michel GERARD, Président de Conscio Technologies

La fonction financière a besoin d’outils de reporting puissants pour suivre l’évolution de son activité de manière rigoureuse. Une maitrise du DAX, le langage de formules intégré au logiciel Microsoft Power BI, permettrait aux financiers d’être autonomes et de suivre leurs indicateurs les plus fins sans recourir à des prestataires externes.

J’intervenais début 2025 dans une société réalisant plusieurs dizaines de millions d’euros de ventes et j’avais l’occasion de former leur directeur financier sur Power BI, l’outil de reporting le plus utilisé en entreprise. Nous avions décidé de travailler sur leurs données. Nous souhaitions comparer l’objectif de chiffre d’affaires avec le réalisé, par commercial et par mois.

Au delà des concepts basiques liés à la structuration des données (dépivoter les colonnes, ajouter et fusionner les requêtes) qui étaient assimilés avec plus ou moins d’aisance, il est vite apparu que l’enjeu principal était de faire des calculs fins faisant référence à plusieurs périodes. En d’autres termes, il nous fallait obtenir un chiffre d’affaires pour le mois, que nous irions comparer avec l’objectif, au prorata du nombre de jours ouvrés déjà écoulés dans le mois.

C’est donc dans ce contexte que le langage DAX était présenté, calcul après calcul, mesure après mesure. Pour ceux qui l’ignorent, le DAX est un ensemble de fonctions (temporelles, financières, mathématiques …) permettant de réaliser des opérations sur un jeu de données. Chaque calcul DAX porte le nom de « Mesure ».

Au final, en ayant créé quelques mesures dépendant les unes des autres, nous avions réussi à avoir une jauge mesurant l’efficacité du commercial par rapport à son objectif, mais précisément à un instant T dans le mois.Cet exemple devrait être celui de chaque PME, ETI ou structure qui dispose d’un service contrôle de gestion et qui souhaite mesurer l’évolution de son activité, notamment financière.

Le problème, c’est que le DAX n’est pas toujours simple à appréhender.

Les utilisateurs viennent souvent d’Excel, et ils ont donc le réflexe d’appuyer sur F2 pour voir les antécédents d’une formule.
Ils ne connaissent pas le contexte de filtre et celui-ci n’est pas simple à expliquer quand on vient d’Excel. En effet, mettre ALL dans une mesure pour récupérer toutes les valeurs d’une colonne ne tombe pas sous le sens alors que dans Excel on aurait simplement fait référence à la colonne.

D’autre part, le fait que les fonctions soient en anglais, qu’on ne voit pas immédiatement le résultat d’une mesure sauf en l’injectant dans un visuel « carte 123 », le système de parenthèses imbriquées si plusieurs fonctions sont utilisées, et l’indentation nécessaire pour que tout cela soit plus lisible, contribuent à faire du DAX un langage intimidant.

Il est donc nécessaire que les professionnels de la fonction Finance se forment au DAX pour créér et maintenir leurs reportings en autonomie, sans faire appel à des cabinets de conseil ou à des prestataires informatiques. Hélas, une formation en autodidacte ou en e-learning semble être une fausse bonne idée, le langage DAX étant complexe à apprendre.

Une formation en présentiel, en effectifs restreints et basée sur de la pratique semble être une idée plus judicieuse.  Il existe plusieurs organismes spécialisés sur Power BI, dont MYPE est un acteur de référence.

Augustin de la Fouchardiere est le fondateur de MYPE, une société spécialisée sur Microsoft Power BI et le langage DAX pour la fonction financière

Les modèles d’IA les plus récents reposent sur des datacenters massifs, dont la consommation électrique explose.

En 2022, ces infrastructures représentaient déjà 1 % de la demande mondiale d’électricité. À horizon 2026, cette part pourrait atteindre 4 %, dans un contexte où les réseaux électriques sont déjà sous tension. La génération d’images, de textes, ou même de simples prédictions algorithmiques devient un facteur non négligeable de pression sur les systèmes énergétiques.

Le contraste entre les engagements de sobriété affichés par les acteurs du numérique et la réalité des courbes de consommation est frappant.

Plusieurs projets d’implantation de datacenters, comme celui de Marseille, sont aujourd’hui bloqués en raison de l’incapacité locale à répondre à la demande. Et alors que la pression réglementaire commence à se dessiner en Europe (et uniquement en Europe), les grandes entreprises du secteur ont cessé de publier leurs données de consommation détaillées. Cette opacité fragilise toute tentative de pilotage énergétique éclairé.

Par ailleurs, la course à l’IA s’inscrit dans un contexte de forte électrification de l’économie (mobilité, chauffage, industrie), ce qui aggrave le déséquilibre. Les risques d’un recours accru à des sources carbonées, comme le charbon ou le gaz, ne peuvent plus être écartés. Le bilan carbone global des technologies numériques, souvent vanté comme neutre voire bénéfique, est en réalité en dérapage libre.

Des pistes existent pour améliorer l’efficacité des modèles : réduction de leur taille, optimisation des paramètres, ou inspiration biologique (le cerveau humain consomme environ 20 W, là où une carte graphique dédiée à l’IA peut dépasser les 700 W). Mais aujourd’hui, ces avancées sont essentiellement mises au service d’une intensification des usages et d’une modération énergétique.

Nous ne faisons qu’effleurer le coût énergétique réel de l’IA. Au-delà des promesses marketing et tant que la question de la soutenabilité n’est pas traitée de front, le progrès technologique risque de se heurter à un mur physique et politique : celui de l’énergie. Il ne s’agit plus seulement d’optimiser des algorithmes, mais de concevoir une gouvernance énergétique adaptée à une technologie désormais structurante et fortement consommatrice.

Flavien Astraud,  Ingénieur R&D ITS Integra