Gestion des risques cyberliés au facteur humain : la défaillance interfonctionnelle dont personne ne parle

Lorsqu’un incident de cybersécurité se produit, la réaction des entreprises est généralement immédiate. Les équipes de sécurité enquêtent sur ce qui s’est passé, la direction cherche des explications, les ressources humaines communiquent avec les salariés, le service informatique s’efforce de maîtriser le problème et les équipes chargées de la conformité commencent à examiner les éventuelles implications réglementaires.

Pendant un court moment, tout le monde se concentre sur le même objectif. Puis l’incident est passé, les priorités changent et chaque service reprend ses propres responsabilités. La sensibilisation à la sécurité redevient l’affaire de l’équipe de sécurité, les RH se concentrent sur les initiatives liées au personnel, le service informatique revient à ses projets d’infrastructure et les dirigeants de l’entreprise passent à la priorité stratégique suivante.

Ce cycle se répète chaque jour au sein de différentes organisations, et c’est l’une des principales raisons pour lesquelles le risque cyber lié au facteur humain reste si difficile à réduire.

Notre rapport « Repenser le risque cyber lié au facteur humain » , fondé sur une enquête menée auprès de 200 RSSI au Royaume-Uni, en France, en Allemagne et en Suède, a révélé que, bien que les organisations reconnaissent globalement l’importance de la gestion des risques cyberliés au facteur humain, la responsabilité de cette gestion est rarement partagée de manière significative. L’amélioration de la collaboration interfonctionnelle entre les services de sécurité, des ressources humaines, informatiques et de conformité est apparue comme une priorité absolue pour 22 % des RSSI. Cependant, la mise en œuvre de cette collaboration n’est pas aisée. Un sur quatre (25 %) a indiqué que des priorités métier concurrentes continuaient de limiter le temps et les investissements disponibles pour les initiatives liées aux risques humains, tandis que 21 % ont mis en avant les capacités limitées des équipes et 16 % ont identifié le manque d’intérêt de la direction comme un obstacle persistant au progrès.

Cela signifie que le risque cyberlié au facteur humain se trouve dans une situation délicate : bien qu’il existe bel et bien, aucune fonction ne s’en charge de bout en bout. On attend des équipes de sécurité qu’elles réduisent ce risque, mais bon nombre des facteurs qui influencent le comportement des collaborateurs — de l’intégration et de la culture d’entreprise aux pratiques de gestion et aux processus métier — relèvent d’autres services au sein de l’organisation.

Tant que ce décalage ne sera pas comblé, les programmes de sensibilisation continueront de fonctionner en décalage par rapport au mode de fonctionnement des entreprises, ce qui rendra d’autant plus difficile la mise en œuvre du changement de comportement à long terme que les organisations recherchent pour atténuer les risques liés à la cybersécurité.

Pourquoi les risques liés aux personnes passent-ils entre les mailles du filet ?

Les risques techniques liés à la cybersécurité sont généralement attribués à des responsables bien identifiés. Qu’il s’agisse de la gestion des identités et des accès, de la gestion des vulnérabilités ou de l’application des correctifs, il existe généralement une équipe désignée chargée de gérer ce risque, s’appuyant sur des processus bien établis, des responsabilités clairement définies et des résultats mesurables. Chacun sait à qui incombe la responsabilité du problème et comment le succès est évalué.

Le risque lié au facteur humain fonctionne différemment. Les équipes de sécurité peuvent assurer leur mission, mais elles ne maîtrisent pas la plupart des facteurs qui influencent le comportement quotidien des collaborateurs.

Bon nombre des facteurs qui influencent le risque cybernétique chez l’entreprise relèvent de domaines autres que celui de la sécurité. Les ressources humaines définissent la manière dont les nouveaux collaborateurs sont sensibilisés aux exigences en matière de sécurité, par le biais de l’intégration et de la formation continue ; le service informatique conçoit les systèmes, les outils et les contrôles d’accès sur lesquels les collaborateurs s’appuient au quotidien ; les responsables influencent les comportements grâce à des échanges réguliers avec leurs équipes ; et la direction détermine quelles initiatives bénéficient d’investissements, d’une attention particulière et d’un soutien à long terme.

Chacune de ces fonctions joue un rôle important dans la réduction des risques pour les personnes, mais elles poursuivent souvent des objectifs différents et évaluent leur réussite selon des critères distincts. De ce fait, la sensibilisation à la sécurité peut devenir un programme isolé, géré presque exclusivement par l’équipe de sécurité, plutôt que de s’inscrire dans une stratégie organisationnelle plus large visant à favoriser des comportements sécuritaires.

Ce décalage s’est reflété tout au long de notre étude. Alors que 22 % des RSSI ont identifié l’amélioration de la collaboration entre les services de sécurité, des ressources humaines, informatiques et de conformité comme une priorité absolue, ils ont également mis en avant les obstacles concrets qui s’y opposent. Un quart (25 %) d’entre eux ont indiqué que des priorités commerciales concurrentes continuaient de limiter le temps et les investissements disponibles pour les initiatives liées aux risques humains ; 21 % supplémentaires ont mis en avant les capacités limitées de leurs équipes, et 16 % ont cité le manque d’intérêt du conseil d’administration comme un défi majeur.

Cela ne signifie nullement que les organisations ne consacrent pas de temps ni d’efforts à la réduction des risques cyberliés au facteur humain. Cela met plutôt en évidence à quel point il est difficile de progresser lorsque les équipes chargées d’influencer le comportement des collaborateurs ne partagent pas les mêmes objectifs ou n’évaluent pas la réussite de la même manière.

Lorsque tout le monde se sent responsable des risques liés au capital humain, personne n’en est réellement responsable

On entend souvent dire que la cybersécurité relève de la responsabilité de chacun, et à première vue, il est difficile de contester cette affirmation. Chaque collaborateur a un rôle à jouer dans la protection de l’entreprise, qu’il s’agisse de signaler un e-mail suspect, de traiter les informations sensibles de manière appropriée ou de respecter les procédures établies lors de la validation de paiements ou de l’octroi d’accès.

La difficulté réside dans le fait que le partage des responsabilités n’entraîne pas automatiquement un partage de la responsabilité.

Si chacun a un rôle à jouer, il n’en reste pas moins que quelqu’un doit coordonner la manière dont les comportements sécuritaires sont développés, renforcés et évalués à l’échelle de l’organisation. Qui détermine si les programmes de sensibilisation font évoluer les comportements ? Qui identifie les domaines où un soutien supplémentaire est nécessaire ? Qui rassemble les données permettant de déterminer si le risque humain augmente ou diminue au fil du temps ?

En l’absence de réponses claires à ces questions, la responsabilité peut rapidement se disperser. On attend souvent des équipes de sécurité qu’elles réduisent les risques cyberliés au facteur humain et on leur demande des comptes lorsque des incidents se produisent, alors que bon nombre des facteurs qui influencent le comportement des collaborateurs échappent à leur contrôle. Elles ne peuvent pas, à elles seules, façonner les programmes d’intégration, déterminer les priorités de la direction ou ancrer des comportements sécuritaires dans chaque processus métier.

Un RSSI que nous avons interrogé dans le cadre de notre étude a parfaitement résumé ce défi : « Ce n’est pas au RSSI d’accepter le risque, mais à l’entreprise. »

Cette observation va droit au cœur du problème. Le risque cyber lié au facteur humain ne relève pas de la seule responsabilité du service de sécurité ; il s’agit d’un risque métier qui touche plusieurs services, plusieurs processus et toutes les étapes du cycle de vie des collaborateurs. Tant que les organisations ne le reconnaîtront pas comme une responsabilité opérationnelle partagée, les équipes de sécurité continueront d’assumer cette responsabilité sans disposer de l’influence nécessaire pour mener à bien un changement significatif à l’échelle de l’organisation.

Pourquoi le soutien du conseil d’administration n’est pas synonyme d’alignement du conseil d’administration

Obtenir le soutien de la direction pour les initiatives liées aux risques cybernétiques liés aux ressources humaines ne constitue généralement pas le plus grand défi ; c’est plutôt le fait de conserver ce soutien sur le long terme qui l’est.

Lorsqu’un incident de sécurité se produit, les risques cybernétiques liés au facteur humain deviennent rapidement une priorité pour le conseil d’administration. Les dirigeants souhaitent comprendre ce qui s’est passé, savoir si cela pourrait se reproduire et connaître les mesures mises en œuvre pour réduire le risque qu’un tel incident se reproduise. Les budgets sont réexaminés, les programmes de sensibilisation font l’objet d’une attention renouvelée et la sécurité devient une priorité immédiate pour l’entreprise.

La difficulté réside dans le fait que ce niveau d’engagement est souvent de courte durée. Nos recherches ont révélé que 79 % des RSSI estiment que l’intérêt du conseil d’administration pour les programmes de sensibilisation à la sécurité s’estompe une fois que l’impact immédiat d’un incident s’est dissipé. À mesure que d’autres priorités stratégiques viennent accaparer l’attention, les discussions autour des risques cyberliés au facteur humain se font plus rares, jusqu’à ce qu’un nouvel incident les remette au centre des préoccupations.

Cette approche par à-coups rend difficile la mise en place d’un changement de comportement durable. Changer la façon dont les gens pensent et agissent ne se fait pas en l’espace de quelques semaines à la suite d’un incident ; cela nécessite un soutien constant de la part de la direction, un renforcement cohérent et un engagement commun de l’ensemble de l’organisation.

Il devient d’autant plus difficile de maintenir cette dynamique lorsque les responsables de la sécurité ont du mal à démontrer l’intérêt de leurs programmes de sensibilisation. En effet, seuls 39 % des RSSI se sentent pleinement à l’aise pour expliquer l’intérêt des initiatives de sensibilisation à la sécurité à leur conseil d’administration ou à leur équipe de direction.

Une partie du problème réside dans la manière dont de nombreuses organisations mesurent leur réussite. Les rapports se concentrent souvent sur des indicateurs tels que les taux de suivi des formations ou les résultats des simulations de hameçonnage, car ceux-ci sont faciles à collecter et simples à présenter. Si ces chiffres démontrent que des actions de sensibilisation à la sécurité ont bien eu lieu, ils ne permettent guère de déterminer si les collaborateurs prennent de meilleures décisions en matière de sécurité ni si le risque cyber lié au facteur humain diminue globalement.

Sans ces éléments probants, il devient beaucoup plus difficile pour les RSSI de démontrer le retour sur investissement, de justifier le maintien du financement et de faire en sorte que la cybersécurité reste une priorité stratégique pour l’entreprise, plutôt qu’un sujet qui ne retient l’attention qu’une fois qu’un incident s’est produit.

À quoi ressemble un bon alignement ?

Les organisations qui enregistrent les progrès les plus significatifs n’y parviennent pas simplement en encourageant les services à collaborer plus étroitement. Elles mettent plutôt en place une approche commune de la gestion des risques cyberliés au facteur humain, dans laquelle chaque service comprend le rôle qu’il joue pour influencer le comportement des collaborateurs et réduire les risques.

Les équipes de sécurité continuent d’assumer la responsabilité d’identifier les risques comportementaux, de mettre en œuvre des interventions ciblées et de fournir les informations nécessaires pour comprendre où le risque augmente ou s’atténue. Ces informations servent ensuite de base aux mesures prises à l’échelle de l’ensemble de l’organisation, plutôt que de rester confinées au sein du service de sécurité.

Les Ressources humaines renforcent ces efforts en intégrant la sécurité à toutes les étapes du cycle de vie des collaborateurs, de l’intégration et des formations obligatoires jusqu’aux communications et au développement continus. Le service informatique complète cette démarche en concevant des systèmes qui font des comportements sécurisés l’option la plus simple, grâce à des paramètres par défaut sécurisés, des contrôles d’accès adaptés et des processus bien conçus visant à réduire les risques inutiles d’erreur humaine.

Les responsables ont également un rôle important à jouer, car ils sont souvent les mieux placés pour encourager les comportements sécuritaires dans le cadre du travail quotidien. Qu’il s’agisse de traiter des informations sensibles sur les clients, de valider des paiements aux fournisseurs ou d’utiliser des outils d’IA, des échanges réguliers avec les responsables hiérarchiques peuvent aider les collaborateurs à identifier les situations à haut risque, à poser des questions lorsqu’une situation leur semble inhabituelle et à respecter les procédures établies avant de prendre des décisions importantes.

La direction complète ce tableau en apportant un soutien visible et constant. Plutôt que de ne faire des risques liés aux cyberattaques d’origine humaine une priorité qu’après la survenue d’un incident, les organisations matures les considèrent comme un objectif stratégique permanent, en veillant à ce que les investissements, les rapports et la responsabilisation soient cohérents tout au long de l’année.

Lorsque tous les services de l’organisation œuvrent à la réalisation d’un même objectif, la sensibilisation à la sécurité ne se limite plus à un simple programme de formation isolé. Elle devient l’un des éléments d’une stratégie plus large, soutenue par une implication collective, des indicateurs pertinents et une action coordonnée à l’échelle de l’entreprise.

La gestion des risques liés au personnel nécessite une prise en charge collective

De nombreuses organisations considèrent encore le risque cyberlié au facteur humain comme un problème que les équipes de sécurité doivent résoudre seules.

Les données disponibles semblent indiquer que c’est l’une des principales raisons pour lesquelles il est difficile de progresser.

Le risque humain résulte des activités professionnelles quotidiennes ; il est influencé par la culture d’entreprise, renforcé par les responsables et façonné par les systèmes utilisés par les collaborateurs. La réduction de ce risque nécessite le même niveau de coordination.

Les organisations qui enregistrent les progrès les plus significatifs ne proposent pas nécessairement davantage de formations de sensibilisation que les autres. Elles parviennent à renforcer la cohérence entre les personnes chargées d’influencer les comportements, à mesurer les indicateurs pertinents et à attribuer à chaque partie prenante un rôle clair dans la réduction des risques.

Lorsque le risque cyberlié au facteur humain devient une responsabilité partagée plutôt qu’une simple initiative de sécurité, il est alors beaucoup plus facile de passer des actions de sensibilisation à une réduction mesurable des risques.

Comment MetaCompliance contribue à améliorer la gestion des risques liés aux ressources humaines à l’échelle interfonctionnelle

La gestion des risques cyberliés au facteur humain ne se limite pas à la mise en place de formations de sensibilisation à la sécurité. Elle repose sur la mise en place d’une vision commune, partagée par les services de sécurité, des ressources humaines, de l’informatique, de la gestion des risques et la direction, quant aux domaines où existent des risques comportementaux, aux interventions qui ont le plus d’impact et aux domaines où un soutien supplémentaire est nécessaire.

Notre plateforme de gestion des risques liés au facteur humain aide les organisations à aller au-delà des programmes de sensibilisation standardisés en combinant, au sein d’une même plateforme, des formations personnalisées en matière de sécurité, des analyses comportementales, des simulations d’hameçonnage, des interventions automatisées et des rapports sur les risques liés au facteur humain. Cela permet aux responsables de la sécurité de disposer des éléments concrets dont ils ont besoin pour démontrer les progrès réalisés, hiérarchiser les utilisateurs à haut risque et impliquer les parties prenantes à tous les niveaux de l’entreprise grâce à des résultats significatifs et mesurables.

En aidant les organisations à comprendre, à mesurer et à réduire le risque cyber lié au facteur humain au fil du temps, MetaCompliance permet à la sensibilisation à la sécurité de s’inscrire dans le cadre d’une stratégie d’entreprise coordonnée, plutôt que de rester une initiative de sécurité isolée.

Vous recherchez des conseils pratiques pour réduire les risques cyberliés au facteur humain en harmonisant les efforts des équipes au sein de votre organisation ? Téléchargez notre guide pratique, « À qui incombe la responsabilité des risques cyberliés au facteur humain : cinq principes pour instaurer une responsabilité partagée entre les équipes, pour découvrir comment les services de sécurité, des ressources humaines, de l’informatique, de la gestion des risques et la direction peuvent collaborer afin de mettre en place une approche plus coordonnée de la gestion des risques cyberliés au facteur humain.

Prêt à mettre en place une approche plus cohérente de la gestion des risques cyberliés au facteur humain ? Demandez une démonstration dès aujourd’hui pour découvrir comment MetaCompliance peut aider votre organisation à mesurer, gérer et réduire ces risques à grande échelle.