Cessez de bombarder vos collaborateurs de messages : comment mieux cibler les formations à la sensibilisation à la sécurité

Table des matières

• Pourquoi le renforcement de la formation devient la norme
• Le coût du surentraînement des employés
• Pourquoi une activité accrue ne garantit pas une réduction des risques
• À quoi ressemble une sensibilisation ciblée à la sécurité
• Six façons de rendre la sensibilisation à la sécurité plus pertinente
• Comment MetaCompliance contribue à rendre la sensibilisation à la sécurité plus ciblée
• Foire aux questions

Les équipes chargées de la sécurité s’efforcent depuis des années de résoudre un problème épineux : comment faire en sorte que la cybersécurité reste une priorité alors que les collaborateurs ont déjà d’innombrables autres priorités qui accaparent leur attention ?

Pour de nombreuses organisations, la solution réside dans la fréquence. Davantage de formations, davantage de rappels, davantage de simulations d’hameçonnage et davantage de campagnes de sensibilisation créent davantage d’occasions de renforcer les comportements sécuritaires.

Nos dernières recherches suggèrent que les organisations pourraient déjà atteindre les limites de cette approche. Les collaborateurs reçoivent désormais des contenus de sensibilisation à la sécurité en moyenne six à sept fois par mois, mais 75 % des RSSI estiment toujours que les collaborateurs ne comprennent pas pleinement leur rôle dans la prévention des incidents de sécurité. Parallèlement, les trois quarts des RSSI affirment que la pertinence prime sur la fréquence lorsqu’il s’agit d’influencer les comportements sécurisés par le biais de la formation.

Lorsque chaque collaborateur reçoit globalement la même formation, quels que soient son rôle, son comportement ou son niveau de risque, augmenter le volume de formation peut rapidement s’avérer contre-productif. Les collaborateurs se désintéressent, les équipes de sécurité consacrent du temps à des activités qui peuvent avoir peu d’impact, et les organisations ont du mal à déterminer si leur investissement réduit réellement les risques.

Un programme de sensibilisation à la sécurité abouti ne consiste donc pas à multiplier les formations, mais à rendre celles-ci plus pertinentes par rapport aux personnes, aux comportements et aux risques qui comptent le plus.

Pourquoi multiplier les formations devient la norme

La plupart des équipes de sécurité ne cherchent pas délibérément à submerger les employés. Les programmes très chargés résultent souvent d’une succession de décisions individuelles raisonnables qui s’accumulent progressivement.

Une nouvelle menace apparaît, et un nouveau module de formation est ajouté au programme. Une campagne de hameçonnage met en évidence une faille, et une nouvelle simulation est programmée. Une exigence réglementaire doit être prise en compte, et un nouveau module obligatoire est ajouté. Le Mois de la sensibilisation à la cybersécurité arrive, et une nouvelle campagne vient s’ajouter au calendrier.

Chaque activité a une raison d’être légitime, mais, prises dans leur ensemble, elles constituent un programme fortement axé sur la mise en œuvre.

Notre étude « Rethinking Human Cyber Risk » a révélé que, bien que les collaborateurs reçoivent des contenus de sensibilisation à la sécurité six à sept fois par mois, aucune des organisations interrogées n’a indiqué diffuser ces contenus de manière dynamique en fonction des menaces actuelles ou des signaux de risque en temps réel. Dans de nombreux cas, les programmes restent généraux et vagues, conçus pour couvrir l’ensemble des risques plutôt que de cibler les risques individuels.

La fréquence devient ainsi un levier facile à actionner. Si une organisation n’est pas convaincue que ses employés modifient leur comportement, le lancement d’une nouvelle campagne donne l’impression qu’une mesure est prise. Le problème est que l’employé qui adopte systématiquement un comportement sûr peut faire l’objet de la même intervention que celui qui présente de manière répétée des signes de risque accru.

Le coût de la formation excessive des salariés

La conséquence la plus évidente d’une communication excessive en matière de sécurité est la lassitude vis-à-vis de la formation. Les employés disposent d’une capacité d’attention limitée ; ainsi, lorsque les messages de sensibilisation leur semblent, à maintes reprises, trop génériques ou sans rapport avec leur travail, ils ont davantage tendance à les ignorer. Une notification relative à la formation devient une tâche supplémentaire à accomplir, tandis qu’un message de sécurité n’est qu’un e-mail de plus qui vient encombrer une boîte de réception déjà saturée.

Nos recherches permettent d’expliquer pourquoi. 81 % des responsables de la sécurité des systèmes d’information (RSSI) affirment que les formations de sensibilisation à la sécurité échouent car elles sont trop génériques pour que les participants s’y reconnaissent personnellement.

Cela représente également un coût pour l’organisation. La création, la gestion et la mise en œuvre de campagnes de sensibilisation nécessitent des moyens budgétaires et des ressources en personnel au sein de l’équipe de sécurité. De plus, 77 % des RSSI déclarent qu’on attend d’eux qu’ils justifient le retour sur investissement de manière plus rigoureuse pour les initiatives liées aux risques cybernétiques d’ordre humain que pour les contrôles techniques. Pourtant, seuls 39 % d’entre eux se sentent pleinement à l’aise pour expliquer la valeur des initiatives de sensibilisation à la sécurité à leur conseil d’administration ou à leur direction générale.

Lorsque des ressources sont mobilisées pour former à plusieurs reprises des employés présentant un faible risque aux côtés de ceux qui ont réellement besoin d’une intervention, il devient plus difficile de démontrer la valeur de ces efforts. Une approche plus ciblée offre aux responsables de la sécurité la possibilité de mieux tirer parti tant de l’attention des employés que des investissements en matière de sécurité.

Pourquoi une activité plus intense ne garantit pas une réduction des risques

L’une des raisons pour lesquelles le volume de formation reste élevé tient au fait que les actions de sensibilisation sont relativement faciles à mesurer. Les taux d’achèvement des formations permettent de montrer que 98 % des salariés ont suivi un module jusqu’au bout, les simulations d’hameçonnage fournissent un taux de clics, et les tableaux de bord des campagnes indiquent le nombre de personnes ayant reçu un message de sensibilisation.

Nos recherches ont révélé que 70 % des RSSI indiquent que leurs systèmes s’appuient sur des indicateurs d’activité de ce type. Cependant, 74 % d’entre eux affirment que leurs rapports actuels sur les cyberrisques, établis par des équipes humaines, génèrent des tableaux de bord qui ne fournissent pas suffisamment d’informations pour prendre de meilleures décisions, tandis que 89 % ne sont pas en mesure d’établir avec certitude un lien entre leurs actions de sensibilisation et la réduction du nombre d’incidents ou de quasi-incidents.

Cela crée un cercle vicieux. Les organisations peuvent constater que la formation a bien eu lieu, mais elles ont moins de visibilité sur la question de savoir si elle a modifié les comportements ou réduit les risques. En l’absence de ces informations, le recours à des actions de sensibilisation peut devenir la réponse par défaut.

Pour mettre fin à cela Dans ce cycle, les équipes de sécurité doivent ne pas se limiter à évaluer le volume de formation qu’elles dispensent, mais se faire une idée plus précise des domaines dans lesquels leur intervention aura le plus d’impact.

À quoi ressemble une sensibilisation ciblée à la sécurité ?

Une approche plus ciblée commence par reconnaître que les employés ne présentent pas tous les mêmes niveaux ni les mêmes types de risques liés à la cybersécurité.

Prenons l’exemple de deux employés. L’un travaille au service financier, a accès aux systèmes de paiement et a récemment été confronté à un e-mail de hameçonnage simulé sous la forme d’une facture. L’autre occupe un poste avec un accès limité aux systèmes sensibles et signale régulièrement des tentatives de hameçonnage simulées.

Envoyer à ces deux collaborateurs un autre module de formation générique sur le hameçonnage peut certes répondre à une exigence de formation, mais cela ne constitue pas une utilisation particulièrement efficace du temps de chacun d’entre eux.

Les mesures adaptées pourraient prendre des formes très différentes. L’employé du service financier pourrait bénéficier d’une formation immédiate sur la fraude à la facturation, ainsi que de simulations d’hameçonnage reflétant les demandes de paiement auxquelles il est régulièrement confronté. Le deuxième employé pourrait n’avoir besoin que de peu de mesures supplémentaires en dehors du programme de sensibilisation de base de l’entreprise.

Le poste occupé, le service d’appartenance, les droits d’accès, le comportement antérieur et d’autres indicateurs de risque peuvent tous aider les organisations à prendre ces décisions de manière plus éclairée.

Nos recherches ont révélé que 83 % des RSSI estiment qu’ils pourraient réduire plus rapidement les risques cyberliés au facteur humain s’ils disposaient de meilleurs moyens pour déterminer en priorité qui a besoin de quelle intervention et à quel moment. Pourtant, 76 % d’entre eux indiquent qu’il est actuellement difficile de savoir quelles interventions sont les plus efficaces pour les différents rôles ou profils de risque.

Le défi consiste donc à traduire ce principe en un programme de sensibilisation à la sécurité capable de s’adapter aux différents niveaux de risque sans alourdir la charge de travail des équipes de sécurité.

Six façons de rendre la sensibilisation à la sécurité plus pertinente

S’éloigner d’une approche globale de sensibilisation à la sécurité ne signifie pas pour autant renoncer à des formations régulières ni repartir de zéro pour élaborer un programme complet. Les organisations ont toujours besoin d’actions de sensibilisation de base pour communiquer leurs politiques, respecter les exigences réglementaires et définir des attentes communes en matière de sécurité.

L’opportunité consiste à renforcer l’intelligence et la pertinence de ce fondement.

1. Commencez par le poste et l’exposition aux risques : Les risques auxquels un collaborateur est exposé dépendent fortement de ses fonctions. Les équipes financières peuvent être la cible de fraudes à la facturation et d’attaques par usurpation d’e-mails professionnels. Les administrateurs informatiques peuvent disposer d’un accès privilégié qui rend les identifiants compromis particulièrement précieux, tandis que les cadres supérieurs constituent des cibles de choix pour l’usurpation d’identité et les techniques sophistiquées d’ingénierie sociale. Les formations à la sécurité peuvent tenir compte de ces différences. Plutôt que de proposer des scénarios identiques à tous les employés, les organisations peuvent s’appuyer sur le poste, le service et les droits d’accès pour déterminer quelles menaces méritent une attention particulière.

2. Utiliser le comportement pour identifier les personnes nécessitant davantage de soutien : le rôle d’un individu peut donner aux équipes de sécurité des indications sur son niveau d’exposition, mais son comportement peut apporter une dimension supplémentaire. Les résultats des simulations d’hameçonnage, le comportement en matière de signalement, les formations antérieures et d’autres indicateurs de risque peuvent aider à identifier les cas où une intervention supplémentaire pourrait s’avérer utile. Un collaborateur qui interagit de manière répétée avec des tentatives de phishing simulées peut avoir besoin d’un accompagnement différent de celui d’une personne qui les identifie et les signale systématiquement. Cela permet aux organisations de cibler la formation là où elle est la plus susceptible de réduire les risques, tout en évitant de dispenser des formations supplémentaires inutiles aux collaborateurs qui adoptent déjà un comportement sécurisé.

3. Veillez à ce que les simulations de hameçonnage reflètent des environnements réels : un e-mail de hameçonnage générique permet de vérifier si un collaborateur reconnaît les signes avant-coureurs habituels, mais la pertinence est bien plus grande lorsqu’une simulation reflète les demandes que cette personne pourrait réellement recevoir. Pour un collaborateur du service financier, il peut s’agir d’une demande de paiement ou d’une facture. Pour les RH, cela peut concerner un CV ou une communication relative aux avantages sociaux. Les cadres supérieurs peuvent être confrontés à des scénarios impliquant des demandes urgentes ou une usurpation d’identité. Rendre les simulations plus représentatives de situations réelles aide les employés à s’entraîner à prendre des décisions sécurisées dans un contexte qu’ils reconnaissent, plutôt que de considérer les exercices de hameçonnage comme distincts de leurs responsabilités quotidiennes.

4. Intervenir plus près du point de risque : Le moment choisi peut être tout aussi important que le contenu. Si un collaborateur adopte aujourd’hui un comportement à risque, attendre plusieurs semaines la prochaine campagne de sensibilisation prévue risque de faire perdre une grande partie du contexte qui rendait initialement cet apprentissage pertinent. Dans la mesure du possible, les organisations peuvent utiliser des signaux comportementaux et de risque pour déclencher une formation au moment même où elle est nécessaire. Cela peut se traduire par un accompagnement supplémentaire à la suite d’une simulation d’hameçonnage, par du contenu ciblé en réponse à une menace émergente ou par une intervention lorsqu’un schéma de risque particulier apparaît. Les employés peuvent ainsi plus facilement faire le lien entre la formation et la situation à laquelle elle est censée répondre.

5. Conservez une formation de base, puis élaborez des actions ciblées autour de celle-ci : toutes les formations ne doivent pas nécessairement être personnalisées individuellement. Les organisations ont toujours besoin d’un programme de base couvrant les politiques, les comportements fondamentaux en matière de sécurité, les exigences réglementaires et les menaces qui touchent l’ensemble du personnel. Cela constitue une base de référence. Des interventions ciblées peuvent s’articuler autour de cette base, en apportant un soutien supplémentaire aux collaborateurs, aux fonctions ou aux services pour lesquels les indicateurs de risque montrent que cela sera le plus utile. Cela permet de créer un modèle plus adapté : chacun bénéficie de la formation à la sensibilisation à la sécurité dont il a besoin, sans partir du principe que tout le monde nécessite les mêmes interventions.

6. Mesurez le comportement, et pas seulement l’activité : Les organisations doivent déterminer si le ciblage fait réellement la différence. Les taux d’achèvement, la portée des campagnes et les taux de clics sur les e-mails de hameçonnage sont utiles, mais ils ne donnent qu’une vision partielle de la situation. Les équipes de sécurité doivent également savoir comment les comportements évoluent au fil du temps, où se concentrent les risques et si des interventions spécifiques produisent de meilleurs résultats. Cela implique de relier les actions de sensibilisation aux données sur les risques, plutôt que de considérer chaque campagne isolément. Cette évolution suscite un réel intérêt. 81 % des RSSI s’accordent à dire qu’un meilleur ciblage est la solution, tandis que 80 % d’entre eux seraient prêts à investir davantage dans des contenus de sensibilisation conçus pour des rôles et des profils de risque spécifiques. L’objectif n’est pas nécessairement d’envoyer moins de contenus de sensibilisation à la sécurité aux employés. Il s’agit de s’assurer que les interventions qu’ils reçoivent ont une raison d’être.

Comment MetaCompliance contribue à mieux cibler la sensibilisation à la sécurité

Pour adopter une approche plus ciblée, il ne suffit pas de créer de nouvelles variantes d’un même contenu de formation. Les équipes de sécurité doivent disposer d’une visibilité sur les risques cyberliés au facteur humain, être en mesure de déterminer où ces risques se concentrent et disposer de moyens concrets pour y faire face.

Notre plateforme de gestion des risques liés au personnel regroupe ces fonctionnalités, en associant des solutions adaptatives et formations personnalisées en cybersécurité, des des simulations avancées de hameçonnage, des analyses comportementales, des informations sur les risques en temps réel et des interventions automatisées. Cela aide les organisations à identifier les personnes les plus exposées, à comprendre pourquoi et à leur apporter un soutien ciblé avant que les comportements à risque ne se transforment en incident.

Plutôt que de s’appuyer sur des campagnes généralisées comme principal moyen de gestion des risques liés au facteur humain, les équipes de sécurité peuvent utiliser les informations relatives aux rôles et aux risques pour personnaliser la formation, organiser des simulations de hameçonnage plus pertinentes et automatiser les interventions en fonction des comportements qui comptent. Elles peuvent également se faire une idée plus précise des risques liés au facteur humain au sein de l’ensemble de l’organisation, ce qui leur permet de hiérarchiser leurs ressources et de montrer comment leur programme évolue au fil du temps.

Forts de plus de 20 ans d’expertise en matière de sensibilisation à la cybersécurité et comptant plus de neuf millions d’utilisateurs à travers le monde, nous sommes là pour aider les organisations à s’appuyer sur les programmes de sensibilisation dont elles disposent déjà et à mettre en place une approche plus ciblée et mesurable de la gestion des risques liés au facteur humain.

Vous souhaitez savoir dans quelle direction votre approche actuelle pourrait évoluer ? Téléchargez notre rapport « Repenser le risque cyber humain » » pour découvrir ce que 200 RSSI du Royaume-Uni, de France, d’Allemagne et de Suède nous ont confié concernant l’avenir de la sensibilisation à la sécurité et de la gestion des risques humains.

Ou réservez une démonstration pour découvrir comment l’apprentissage personnalisé, les simulations de hameçonnage, l’analyse comportementale, les informations sur les risques en temps réel et les interventions automatisées peuvent vous aider à cibler les bonnes personnes en leur apportant le soutien adéquat au moment opportun.