La formation à la sensibilisation à la sécurité est une méthode de prévention des cybermenaces dont les entreprises de services financiers peuvent tirer profit. Voici une exploration des principales raisons d’utiliser cette forme de formation si vous êtes une organisation de services financiers.

Le secteur des services financiers a connu une transformation numérique massive ces dernières années. Le secteur adopte les nouvelles technologies pour garantir une meilleure expérience client et optimiser les opérations.

Cependant, la transformation numérique a fait du secteur une cible pour les cybercriminels : une enquête sur la cybersécurité menée en 2020 auprès des RSSI et des DSI du secteur des services financiers a révélé que 65 % des grandes organisations financières avaient subi une cyberattaque au cours des 12 mois précédents. Un autre rapport, émanant cette fois de Boston Consulting, a révélé que le secteur financier avait subi jusqu’à 300 fois plus de cyberattaques que les autres secteurs.

Formation de sensibilisation à la sécurité pour les services financiers

Le pirate informatique ne réside plus dans la cave de ses parents, vêtu d’un sweat à capuche. Au contraire, des gangs de pirates sophistiqués, financièrement motivés, parfois parrainés par des États, rendent la cybercriminalité accessible à tous.

Les modèles commerciaux qui fournissent des outils de piratage en tant que service sont facilement et bon marché sur le dark web. Ces outils, associés aux compétences de plus en plus pointues des cybercriminels en matière d’ingénierie sociale, ont provoqué un tsunami de cyberattaques. Ajoutez à cela le travail à distance ou à domicile et vous comprendrez que les planètes de la cybermenace sont alignées.

Le Covid-19 a ouvert les yeux des organisations du monde entier, car les escroqueries qui ont profité de la peur entourant la pandémie ont proliféré. Les escroqueries visant les employés ont utilisé des techniques d’hameçonnage basées sur les thèmes de la Covid-19 pour voler des identifiants de connexion ou des données personnelles, ou pour amener un employé à installer un logiciel malveillant (y compris un rançongiciel). Alors que le paysage du travail évolue, les tactiques d’hameçonnage et d’ingénierie sociale restent un choix clé des cybercriminels désireux de nuire.

Les résultats de l’ingénierie sociale et du phishing sont coûteux. Selon un rapport de Sophos datant de 2021, les entreprises de services financiers de taille moyenne dépensent environ 2 millions de dollars pour se remettre d’une attaque par ransomware, ce qui est supérieur à la moyenne mondiale de 1,85 million de dollars. Le rapport souligne également que 34 % des organisations de services financiers ont subi une attaque par ransomware en 2020.

La formation à la sensibilisation à la sécurité est une réponse efficace à l’ingénierie sociale utilisée par les pirates informatiques.

Avantages de la formation à la sensibilisation à la sécurité pour les services financiers

Pour empêcher les cybercriminels de profiter des employés en utilisant des techniques d’ingénierie sociale et de phishing, les entreprises peuvent se tourner vers la formation à la sensibilisation à la sécurité. Dans le secteur des services financiers, la mise en place d’un programme de sensibilisation présente cinq avantages majeurs :

Modifier le comportement en matière de sécurité pour passer d’un comportement négatif à un comportement positif

Les fraudeurs, les cybercriminels, les escrocs, quel que soit le nom utilisé pour décrire ces activités néfastes, se concentrent tous sur le comportement humain. La sensibilisation à la sécurité est utilisée pour modifier les mauvais comportements en matière de sécurité afin de créer une approche positive de la sécurité de l’entreprise.

En développant un comportement positif en matière de sécurité, on sensibilise le personnel aux dangers de l’ingénierie sociale. La formation de sensibilisation explore également les erreurs qui peuvent conduire à l’exposition des données : c’est important quand on sait que les conclusions de EC-Council montrent que 64% des pertes de données sont attribuées à des initiés qui « voulaient bien faire ».  

La formation à la sensibilisation à la sécurité sensibilise les employés de toute l’organisation à l’importance de la sécurité. Un programme de formation efficace éduquera le personnel à l’aide d’un contenu interactif et attrayant sur les astuces et les escroqueries en matière de sécurité et proposera des exercices de simulation d’hameçonnage qui apprendront aux employés à repérer les messages d’hameçonnage. Une formation continue et efficace à la sensibilisation à la sécurité crée une boucle de rétroaction positive, encourageant le personnel à faire face aux attaques de sécurité.

Stoppez les escrocs BEC dans leur élan

Les ransomwares font peut-être la une des journaux, mais le Business Email Compromise (BEC) touche davantage d’entreprises. L’Internet Crime Complaint Center (IC3) du FBI de 2020 montre que les BEC touchent quatre fois plus d’entreprises que les ransomwares. Les entreprises de services financiers sont plus exposées au risque de fraude BEC que n’importe quelle autre organisation.

En 2020, BankInfoSecurity a publié un article décrivant plusieurs cas de fraude BEC, dont un impliquant une banque américaine. Dans cette banque, un employé a reçu un courriel d’escrocs se faisant passer pour le PDG de la banque. Le courriel demandait à l’employé d’envoyer d’urgence un virement d’un million de dollars déjà programmé. Le message incluait une modification des détails du compte précisant que cela était « dû à l’épidémie de coronavirus et aux processus et précautions de quarantaine ».

Les escroqueries BEC impliquent souvent une surveillance complexe des employés. Les fraudeurs vont même jusqu’à établir des relations avec les opérateurs des services d’assistance et d’autres services concernés, afin d’obtenir des informations sur les processus de l’entreprise. La formation de sensibilisation à la sécurité enseigne aux employés les signes des escroqueries BEC et les types d’astuces d’ingénierie sociale utilisées par les escrocs.

Contribue à garantir la conformité réglementaire

Les employés font partie intégrante du maintien de la protection des données et de la vie privée. Leurs actions peuvent facilement faire basculer une organisation de services financiers dans la zone de non-conformité. Une simple erreur d’aiguillage d’un courriel peut entraîner une amende. Selon une enquête récente, 58 % des employés ont admis avoir envoyé un courriel à la mauvaise personne.

La formation à la sensibilisation à la sécurité permet d’éviter aux employés de commettre des erreurs. La mise en place d’un programme efficace offrant des mesures et une automatisation de la formation démontre également l’engagement de l’entreprise en matière de sécurité. La mise en place d’une formation de sensibilisation à la sécurité est soit obligatoire, soit fortement encouragée par diverses normes et réglementations, notamment ISO27001 et PCI-DSS, qui contient l’exigence 12 suivante :

« Mettre en œuvre un programme formel de sensibilisation à la sécurité afin de faire connaître à l’ensemble du personnel la politique et les procédures en matière de sécurité des données des titulaires de cartes.

Construire un pare-feu humain

Les mesures de sécurité telles que les contrôles d’accès robustes, les pare-feu, la protection des terminaux et le cryptage sont importantes, mais l’ingénierie sociale est conçue pour contourner les solutions de sécurité traditionnelles. Des employés bien informés et confiants dans la sécurité sont un élément essentiel des mesures de cybersécurité d’une entreprise de services financiers.

En utilisant la formation à la sensibilisation à la sécurité, une entreprise peut construire un « pare-feu humain ». Chaque membre d’une équipe au sein de l’organisation agit alors pour soutenir les autres membres de cette équipe. En organisant régulièrement des formations à la sécurité, le pare-feu humain devient plus fort et plus efficace pour repérer les astuces d’ingénierie sociale.

Renforcer le moral des employés

Un rapport de Carbonite montre l’impact d’une cyberattaque sur les individus : 24 % des employés ont perdu le moral après une attaque. La confiance renforce le moral du personnel. La formation à la sensibilisation à la sécurité est une approche centrée sur les personnes pour sécuriser les actifs d’une organisation. En donnant aux employés les outils nécessaires pour lutter contre la cybercriminalité, une organisation leur donne les moyens de prévenir une cyberattaque. La formation à la sensibilisation à la sécurité contribue non seulement à la sécurité de l’organisation, mais aussi au moral du personnel.

Les organisations de services financiers du monde entier sont une cible de choix pour les cybercriminels et les fraudeurs. La formation du personnel fait partie d’une vision plus large, à 360 degrés, de la protection d’une entreprise contre les ravages de ces attaques malveillantes et sinistres.

Pare-feu humain