[79% des RSSI souhaitent adopter une approche plus stratégique de la gestion des cyberrisques humains. Lire le rapport.

Table des matières

Les programmes de sensibilisation à la sécurité ont traditionnellement suivi un calendrier assez prévisible. Il y a une formation annuelle pour aborder les principes fondamentaux, des simulations de hameçonnage à intervalles réguliers et des campagnes tout au long de l’année pour renforcer les thèmes importants ou tenir les collaborateurs informés des menaces émergentes.

Bien sûr, les collaborateurs ont besoin de rappels réguliers pour garder la cybersécurité à l’esprit et rafraîchir leurs connaissances, mais le fait de trop s’en tenir à un calendrier peut créer un décalage entre le moment où la formation a lieu et celui où les collaborateurs doivent réellement mettre en pratique ce qu’ils ont appris.

Les cyberrisques n’attendent pas le prochain module de formation : ils surgissent au beau milieu d’une journée de travail bien remplie, lorsqu’un employé reçoit un e-mail de hameçonnage convaincant alors qu’il tente de se frayer un chemin dans une boîte de réception débordante. Il peut s’agir d’une demande de paiement inattendue ou d’un message urgent qui semble provenir d’un supérieur hiérarchique. C’est dans ces moments-là que les collaborateurs doivent identifier le risque et prendre la bonne décision, souvent en l’espace de quelques secondes.

Il se peut que quelqu’un ait abordé ce scénario précis lors d’une formation quelques mois plus tôt, mais dans quelle mesure s’en souviendra-t-il lorsqu’il sera occupé, distrait ou sous pression ?

Pour les responsables de la sécurité, cela fait du choix du moment un élément essentiel du débat sur la pertinence de la formation. Nous savons déjà que les collaborateurs sont plus enclins à s’impliquer dans les formations à la sécurité lorsque celles-ci reflètent les risques auxquels ils sont confrontés dans leur travail quotidien. La question suivante est de savoir si l’on peut rendre cette formation encore plus utile en la dispensant au moment même où elle est nécessaire.

Notre Repenser le risque cyber lié au facteur humain rDes études indiquent que les RSSI y voient une réelle opportunité. Les trois quarts d’entre eux affirment que la pertinence prime sur la fréquence lorsqu’il s’agit d’encourager des comportements sécurisés par le biais de formations de sensibilisation à la sécurité, tandis que 83 % estiment qu’ils pourraient réduire plus rapidement les risques cyberliés au facteur humain s’ils disposaient de meilleurs moyens pour déterminer en priorité qui a besoin de quelle intervention, et à quel moment.

Pourquoi une formation plus poussée ne signifie pas toujours une réduction des risques

On pourrait facilement penser que multiplier les actions de sensibilisation à la sécurité conduira à de meilleurs comportements en matière de sécurité. Davantage de formations, davantage de simulations et davantage de communications signifient que les employés sont exposés à davantage de messages relatifs à la sécurité ; cela ne devrait-il pas, par conséquent, se traduire par une réduction des risques ?

Malheureusement, ce n’est pas aussi simple que cela. Nos recherches ont montré que les collaborateurs reçoivent désormais des contenus de sensibilisation à la sécurité en moyenne six à sept fois par mois ; pourtant, 81 % des RSSI affirment que ces formations restent inefficaces, car elles sont trop génériques pour que les collaborateurs s’y identifient personnellement.

Lorsque l’on réfléchit aux différents profils et fonctions au sein d’une organisation, on comprend aisément comment cela se produit. Une personne travaillant au service financier peut passer sa journée à traiter des factures, des demandes de paiement et des e-mails provenant de la direction, ce qui rend l’usurpation d’identité et la compromission des e-mails professionnels particulièrement pertinentes. Un collaborateur des ressources humaines gère des informations sensibles sur les salariés, tandis que les développeurs et les employés disposant d’un accès privilégié sont confrontés à un ensemble de risques tout à fait différent.

Le comportement individuel ajoute une dimension supplémentaire. Un employé peut très bien être capable de repérer les e-mails suspects, mais avoir des difficultés dans d’autres domaines liés à la sécurité, tandis qu’un autre peut se faire piéger à plusieurs reprises par le même type de technique de hameçonnage. Dispenser exactement la même formation aux deux personnes au même moment peut sembler pratique, mais il y a de fortes chances qu’une partie de cette formation ne leur semble pas particulièrement utile.

Un meilleur ciblage permet aux équipes de sécurité d’être beaucoup plus sélectives. Qui a réellement besoin d’aide ? En quoi ont-ils besoin d’aide ? Et à quel moment cette aide serait-elle la plus utile ? Répondre à ces questions permet d’optimiser chaque module de formation sans alourdir constamment la charge de travail des collaborateurs en y ajoutant sans cesse du contenu.

Profiter pleinement de l’instant présent

Prenons l’exemple d’une simulation d’hameçonnage. Un collaborateur clique sur un lien sur lequel il n’aurait pas dû cliquer, ce qui fournit à l’équipe de sécurité une indication utile sur les domaines dans lesquels il pourrait avoir besoin d’un accompagnement supplémentaire. Cela constitue une opportunité d’apprentissage très précieuse, car le scénario est encore frais dans l’esprit de ce collaborateur.

Si vous faites suivre cette expérience, peu de temps après, par une formation adaptée, le lien entre les deux s’en trouve considérablement renforcé. L’employé peut alors identifier les signes avant-coureurs qu’il n’avait pas remarqués, comprendre pourquoi l’e-mail était suspect et apprendre comment il pourrait agir différemment la prochaine fois. Ce contexte peut rendre l’apprentissageparu bien plus utile que d’aborder la même technique de hameçonnage plusieurs mois plus tard dans le cadre d’un module de formation général.

C’est là qu’interviennent les mesures d’accompagnement au quotidien. Les indicateurs comportementaux et de risque peuvent aider les organisations à repérer les occasions d’apporter un soutien supplémentaire au moment le plus opportun, plutôt que d’attendre la prochaine activité prévue dans le calendrier de sensibilisation.

Un échec lors d’une simulation d’hameçonnage, par exemple, pourrait donner lieu à une brève formation portant sur la technique à laquelle le salarié vient d’être confronté. Une équipe ciblée par un type particulier d’attaque pourrait bénéficier d’une formation spécialement conçue pour faire face à cette menace, tandis que les salariés adoptant de manière récurrente des comportements à risque pourraient bénéficier d’un accompagnement supplémentaire ou d’un renforcement de leurs connaissances.

Bien sûr, personne ne souhaite que les collaborateurs reçoivent une notification de formation chaque fois qu’ils commettent une action suscitant un signal de risque ; ce serait le moyen le plus sûr d’aggraver encore davantage la lassitude vis-à-vis de la formation. L’intérêt réside dans l’utilisation des informations dont vous disposez déjà sur vos collaborateurs pour prendre des décisions plus éclairées quant au moment où une intervention serait réellement utile et à la forme que celle-ci devrait prendre.

Un meilleur ciblage passe par une meilleure visibilité

Pour que tout cela fonctionne, les équipes de sécurité doivent savoir où se concentrent les risques cyberliés au facteur humain au sein de l’organisation, et c’est un domaine dans lequel beaucoup d’entre elles rencontrent encore des difficultés.

Notre étude a révélé que 76 % des RSSI n’ont pas une vision claire des interventions les plus efficaces en fonction des différents rôles ou profils de risque. Pourtant, 81 % d’entre eux s’accordent à dire qu’un meilleur ciblage est la clé pour améliorer la sensibilisation à la sécurité, ce qui met en évidence un écart significatif entre les objectifs des organisations et la visibilité dont elles disposent aujourd’hui.

Pour renforcer cette visibilité, il faut analyser l’ensemble des différents indicateurs déjà générés par les collaborateurs et les programmes de sécurité. Les résultats des simulations d’hameçonnage, les activités de formation ainsi que d’autres indicateurs comportementaux ou liés à la sécurité peuvent tous contribuer à dresser un tableau plus précis des sources de risque, des groupes susceptibles d’avoir besoin d’un accompagnement accru et de l’évolution de cette situation au fil du temps.

Une fois que les équipes de sécurité ont acquis cette compréhension, elles peuvent agir de manière bien plus réfléchie quant aux étapes suivantes. Un groupe présentant un risque plus élevé face à une menace particulière peut bénéficier d’une formation qui y répond directement, tandis que les collaborateurs qui adoptent systématiquement des comportements exemplaires en matière de sécurité pourraient nécessiter moins d’intervention.

Cela offre également aux organisations une meilleure base pour répondre à une question bien plus vaste : le programme de sensibilisation permet-il réellement de réduire les risques ?

Les équipes de sécurité ne manquent certainement pas de données. Les taux de réussite des formations, les clics sur des liens de hameçonnage, les e-mails signalés et bien d’autres indicateurs peuvent tous être suivis et intégrés à un tableau de bord. Le plus difficile est de déterminer ce que ces chiffres révèlent réellement quant à l’évolution du comportement des utilisateurs.

Ce défi est clairement ressorti de notre étude. Près des trois quarts (74 %) des RSSI affirment que leurs rapports actuels sur les risques cyberliés au facteur humain leur fournissent des tableaux de bord qui ne leur permettent pas d’avoir une vision suffisamment claire pour prendre de meilleures décisions. Plus frappant encore, 89 % d’entre eux ne sont pas en mesure d’établir avec certitude un lien entre les actions de sensibilisation et la réduction du nombre d’incidents ou d’incidents évités de justesse.

Des interventions opportunes et ciblées peuvent contribuer à rendre ce lien plus évident. Si un comportement particulier donne lieu à une intervention, les équipes de sécurité peuvent alors analyser ce qui se passe par la suite. Il se peut qu’un collaborateur parvienne mieux à repérer la technique d’hameçonnage avec laquelle il avait auparavant des difficultés, qu’un groupe à haut risque s’améliore au fil de plusieurs simulations ou que les comportements en matière de signalement commencent à évoluer à la suite d’une formation ciblée.

L’analyse de ces tendances au fil du temps permet aux équipes de sécurité de mieux déterminer si une intervention a porté ses fruits et à quels égards elles pourraient devoir adapter leur approche. Elle permet également de consacrer plus facilement leur temps et leur budget aux activités qui ont le plus d’impact.

Cela s’avère particulièrement utile lorsque les RSSI sont amenés à justifier leurs dépenses. Notre étude a révélé que 77 % d’entre eux sont tenus de démontrer le retour sur investissement de manière plus rigoureuse pour les initiatives liées aux risques cybernétiques humains que pour les contrôles techniques. Être en mesure de montrer comment une intervention a influencé les comportements offre aux responsables de la sécurité des arguments bien plus convaincants à présenter au conseil d’administration que les seuls taux de réalisation.

Faire évoluer la sensibilisation à la sécurité sans repartir de zéro

Tout cela peut sembler représenter un changement majeur, mais les organisations n’ont pas besoin de repenser entièrement leurs programmes de sensibilisation à la sécurité. En effet, nos recherches indiquent que la plupart des RSSI préfèrent faire évoluer leurs programmes existants par le biais de projets pilotes et d’améliorations progressives.

Les simulations de hameçonnage peuvent constituer un point de départ concret. Les organisations pourraient commencer par établir un lien entre les résultats des simulations et des actions de formation complémentaires pertinentes, puis évaluer si le comportement des collaborateurs s’améliore par la suite. À partir de là, elles peuvent mettre en place des formations plus spécifiques à chaque fonction, recourir à une évaluation des risques au niveau du groupe pour aider à hiérarchiser les interventions et intégrer un éventail plus large de signaux comportementaux à mesure que leur approche gagne en maturité.

Ces changements peuvent s’opérer progressivement, en s’appuyant sur les actions de formation et de sensibilisation déjà mises en place. Au fil du temps, le programme s’adapte davantage aux réalités vécues par les salariés et aux risques qui apparaissent au sein de l’organisation.

Le bon message. Le bon moment. Un impact réel.

La sensibilisation à la sécurité doit encore gagner en cohérence. Les collaborateurs ont besoin d’occasions régulières de rafraîchir leurs connaissances, de s’informer sur les nouvelles menaces et de garder la sécurité à l’esprit. Mais les organisations peuvent faire bien plus encore en tirant parti des moments qui séparent ces activités programmées.

Lorsqu’une personne adopte un comportement à risque ou qu’un groupe particulier commence à présenter des signes de risque accru, cela offre l’occasion d’intervenir tant que ce soutien reste pertinent. Grâce à une meilleure visibilité, les équipes de sécurité peuvent identifier ces opportunités et prendre des décisions bien plus éclairées concernant les actions de sensibilisation qu’elles mettent en place.

Cela permet également d’établir un lien beaucoup plus étroit entre les actions de sensibilisation et la gestion globale des risques cybernétiques liés au facteur humain. Les équipes de sécurité peuvent ainsi identifier les zones où les risques se concentrent, décider où concentrer leurs efforts, observer l’évolution des comportements et s’appuyer sur ces résultats pour définir la suite des opérations.

En fin de compte, chaque organisation dispose d’un temps, d’un budget et d’une attention de la part de ses collaborateurs limités. En rendant la formation à la sécurité plus pertinente et mieux adaptée au moment opportun, les équipes de sécurité ont la possibilité d’utiliser ces trois ressources plus efficacement, tout en offrant aux collaborateurs un accompagnement adapté au contexte de leur quotidien professionnel.

Mettre en place une approche plus réactive face aux risques liés au facteur humain dans le domaine de la cybersécurité

MetaCompliance aide les organisations à mettre en place des programmes de sensibilisation à la sécurité axés sur les risques auxquels leurs collaborateurs sont réellement confrontés. Des formations personnalisées formations de sensibilisation à la sécurité, des simulations avancées de hameçonnage, des informations en temps réel informations sur les risques et des interventions automatisées aident les équipes de sécurité à identifier les domaines nécessitant un accompagnement et à proposer des formations adaptées en fonction des risques et des comportements des collaborateurs.

Cela permet aux organisations de mieux cerner les risques cyberliés au facteur humain et de mieux maîtriser leurs réactions, ce qui les aide à mieux exploiter les signaux comportementaux, à cibler plus efficacement leurs interventions et à évaluer l’évolution des risques au fil du temps.

Il ne s’agit là que d’un aspect d’une évolution bien plus large dans la manière dont les organisations appréhendent les risques liés aux cybermenaces humaines. Nos recherches explorent les défis plus larges auxquels sont confrontés les responsables de la sécurité, qu’il s’agisse de rendre les formations plus pertinentes, de déterminer quelles interventions sont efficaces, de mesurer les changements de comportement ou encore de démontrer la valeur de la sensibilisation à la sécurité auprès du conseil d’administration.

Téléchargez notre rapport complet « Repenser le risque cyber lié au facteur humain » » pour découvrir l’ensemble des perspectives de 200 RSSI en France, en Allemagne, en Suède et au Royaume-Uni, ainsi que des conseils pratiques sur la manière dont les organisations peuvent faire évoluer leur approche et mettre en place une stratégie de gestion des risques liés au facteur humain plus ciblée, mesurable et efficace.

FAQ

Qu'entend-on par « interventions au sein du flux de travail » dans le cadre de la sensibilisation à la sécurité ?

Les interventions « au cœur du travail » consistent en une formation ou des conseils ciblés en matière de sécurité, dispensés en réponse au comportement d’un salarié ou à un risque ou à un signal de sécurité pertinent. Par exemple, un collaborateur qui interagit avec une simulation de hameçonnage ou à un signal de sécurité pertinent. Par exemple, un collaborateur qui interagit avec une simulation de hameçonnage pourrait bénéficier d’une formation immédiate sur la technique à laquelle il a rencontrée. Cela permet de lier la formation à la sécurité à un moment concret et pertinent, plutôt que de se reposer uniquement sur des sessions de formation programmées.