Poser le débat comme un curseur entre sécurité et confort conduit à des décisions fausses. Une friction mal placée ne réduit pas la sécurité d'un cran : elle produit du contournement, et le contournement ouvre un chemin que personne ne surveille. Le critère d'arbitrage n'est pas « combien de friction acceptons-nous », mais « cette friction est-elle proportionnée à l'impact de l'action, ou à la peur de celui qui décide ».
La friction ne disparaît pas, elle se déplace
Une exigence perçue comme absurde ne produit pas de refus frontal, mais une adaptation, presque toujours moins contrôlée que le parcours qu'elle remplace.
- Compte partagé : une équipe de nuit contourne une authentification individuelle jugée trop lente en travaillant sous un compte commun, ce qui supprime toute imputabilité.
- Dérogation permanente : une exemption accordée pour trois semaines pendant une migration reste active trois ans, sans propriétaire ni date de réexamen.
- Session maintenue ouverte : une reconnexion trop fréquente pousse les utilisateurs à ne jamais verrouiller leur poste, ce qui déplace le risque vers le vol de session.
- Appel au support : un parcours de réinitialisation exigeant devient un appel à un technicien qui, lui, n'applique aucune preuve technique — le chemin le plus faible devient le chemin normal.
- Validation informelle : une double approbation trop lourde se règle par un message dans une messagerie instantanée, exactement le canal qu'un attaquant sait imiter.
Aucune de ces cinq adaptations n'apparaît dans un tableau de bord de sécurité. Elles se lisent ailleurs : volume d'appels au support, nombre de dérogations en vigueur, durée moyenne des sessions. Ces trois mesures sont les meilleurs indicateurs de friction mal placée dont dispose une direction.
Le critère d'arbitrage
Une exigence supplémentaire se justifie par les propriétés de l'action, pas par le niveau d'anxiété du moment. Quatre propriétés suffisent, dans cet ordre.
- Réversibilité : peut-on annuler l'action après coup, et dans quel délai ? Un virement exécuté et un export de fichier ne se rattrapent pas ; une modification de champ interne se corrige.
- Effet externe : l'action fait-elle sortir de la valeur ou de la donnée du périmètre de l'entreprise ? C'est la propriété qui sépare une consultation d'un transfert.
- Portée : l'action touche-t-elle un enregistrement ou l'ensemble d'une base ? La même fonctionnalité peut relever de deux niveaux selon le volume traité.
- Modification de la confiance : l'action change-t-elle les règles qui protègent les actions suivantes ? Ajouter un facteur, modifier un RIB enregistré, changer une adresse de contact ou élever des privilèges appartiennent à cette catégorie, souvent sous-protégée.
Le critère explicite se formule alors en une phrase : la friction est justifiée quand l'action est irréversible, produit un effet hors du système, s'applique à grande échelle ou modifie les règles de confiance. Elle n'est pas justifiée par la fréquence de l'action, par l'ancienneté du compte, ni par le sentiment que « ce périmètre est sensible » sans que l'une des quatre propriétés soit établie.
Corollaire négligé : une action fréquente et à fort impact ne doit pas être exonérée, elle doit être outillée. Pour un opérateur qui valide des dizaines de paiements par jour, l'arbitrage porte sur le coût unitaire du mécanisme retenu et sur la possibilité de traiter un lot comme une seule action.
La grille par niveau d'action
Chaque niveau hérite des exigences du précédent. La colonne des erreurs compte autant que celle des exigences : c'est là que naît le contournement.
| Niveau | Exemples | Preuve proportionnée | Erreur fréquente |
|---|---|---|---|
| N0 — consultation | tableau de bord, annuaire interne, documentation | session authentifiée valide | redemander une preuve à chaque écran, ce qui banalise la demande |
| N1 — modification réversible | mise à jour d'une fiche, création d'un brouillon | session valide et journalisation nominative | exiger une preuve forte, puis n'en garder aucune trace exploitable |
| N2 — modification de confiance | changement de RIB, ajout d'un facteur, modification d'une adresse de contact | preuve indépendante du canal utilisé pour la demande | valider avec le même canal que celui qui a servi à demander le changement |
| N3 — sortie de valeur ou de donnée | virement, export massif, envoi vers un tiers | preuve liée à l'opération, non rejouable, avec les paramètres affichés | valider une session, pas l'opération, puis considérer l'opération comme approuvée |
| N4 — administration et privilèges | création de compte, élévation de droits, accès aux sauvegardes | preuve renforcée, deux personnes distinctes, journal séparé | compte d'administration nominatif en théorie, partagé en pratique |
Le niveau N2 est le plus souvent sous-protégé alors qu'il conditionne tous les autres : qui modifie les règles de confiance n'a plus besoin d'attaquer les actions suivantes. Le niveau N0 est celui où la friction inutile s'accumule, et chaque demande superflue dégrade l'attention portée aux demandes légitimes. Le niveau N3 concentre l'erreur de conception la plus courante : authentifier l'ouverture de session, puis considérer les opérations suivantes comme couvertes.
Mesurer le coût de la friction avant d'arbitrer
Un arbitrage se tient mal si un seul côté est chiffré. Le coût de la sécurité fait l'objet d'un devis, celui de la friction reste implicite — d'où des décisions systématiquement biaisées. Quatre mesures suffisent à équilibrer la discussion, et toutes existent déjà dans l'entreprise.
Le volume d'appels au support pour un problème d'accès donne le coût direct. Le taux d'abandon sur les parcours exposés à des clients donne le coût commercial. Le temps opérateur par opération, mesuré sur un échantillon d'une journée, donne le coût métier. Le nombre de dérogations accordées donne le coût de gouvernance : le volume de risque déjà accepté sans décision formelle.
Ces quatre mesures se collectent en une semaine et changent la réunion : on compare un coût de mise en œuvre à un coût d'usage, sur un périmètre défini, au lieu d'opposer des intuitions.
Trois pièges qui subsistent après un bon arbitrage
Une friction bien placée reste inefficace si elle n'est pas explicable. Qui comprend pourquoi une opération à effet externe demande une preuve supplémentaire accepte l'exigence ; qui subit une demande sans logique apparente cherche le contournement, et le trouve. La justification doit apparaître au moment de la demande, pas dans une charte signée à l'embauche.
Une friction bien placée reste contournable par le parcours de secours. Une preuve solide sur l'opération courante, doublée d'une récupération fondée sur quelques informations personnelles, déplace simplement la cible. Le parcours dégradé s'arbitre en même temps que le parcours nominal.
Enfin, la méthode ne traite pas le cas de l'utilisateur légitime manipulé. Une exigence proportionnée établit qu'une personne autorisée a validé l'opération ; elle ne dit rien de la raison pour laquelle elle l'a validée. C'est le terrain des approches qui cherchent à établir une intention humaine consciente plutôt qu'un secret détenu, et celui où une règle organisationnelle — délai de rétractation, contre-appel sur un canal indépendant — reste nécessaire.
FAQ
Comment justifier une friction supplémentaire devant une direction métier ?
En la rattachant à l'impact de l'action, pas au risque en général, et en présentant le coût d'usage mesuré plutôt qu'estimé. Une demande limitée aux opérations irréversibles se défend ; une demande uniforme sur tous les écrans se négocie mal, et à juste titre.
Faut-il supprimer toute friction sur les actions de consultation ?
Pas toute, mais toute friction répétitive et sans conséquence sur la décision. Une preuve demandée sans effet visible entraîne un réflexe d'acceptation automatique, et ce réflexe est exactement ce que les attaques par sollicitations répétées exploitent.
Cette méthode s'applique-t-elle aux accès techniques et aux comptes de service ?
Le critère reste valable, mais la preuve change de nature : un compte de service ne peut pas répondre à une sollicitation. L'arbitrage porte alors sur la rotation des secrets, le cloisonnement et la journalisation, avec la même exigence de proportionnalité à l'impact.
Aller plus loin : pilier : authentification cognitive · placer les déclencheurs d'élévation au bon moment · présenter le risque à un comité de direction · le parcours de réinitialisation au support