Le Mois de la sensibilisation à la cybersécurité, en Europe et aux États-Unis, s’inscrit dans le cadre d’une vaste initiative visant à aider les internautes à naviguer en toute sécurité sur Internet. Cette initiative a été lancée en 2004 aux États-Unis et en 2012 en Europe. Cette année, la campagne américaine était axée sur le thème « See Yourself in Cyber». En Europe, l’initiative a mis l’accent sur la sensibilisation au hameçonnage et aux ransomwares.
Nous soutenons bien entendu tous les efforts visant à sensibiliser à la cybersécurité. Les personnes constituent le maillon faible des mesures de sécurité d’une organisation. Il est important de leur enseigner les gestes simples qu’elles peuvent accomplir pour se protéger en ligne. Il reste en effet bien plus facile pour un pirate de piéger quelqu’un afin qu’il révèle un mot de passe ou clique sur un lien contenu dans un e-mail que de pénétrer dans un réseau bien protégé. Une bonne sensibilisation à la cybersécurité peut protéger les organisations contre les pertes financières, les sanctions liées au non-respect des réglementations et l’atteinte à leur réputation.
Pourtant, malgré des années d’actions menées dans le cadre d’un « mois de sensibilisation » annuel, l’exploitation du manque de sensibilisation à la cybersécurité reste le principal vecteur d’attaque dans les violations de données.
Le rapport 2022 de Verizon sur les enquêtes relatives aux violations de données a révélé que 82 % des violations survenues l’année précédente impliquaient des techniques d’ingénierie sociale et que les taux de clics liés au hameçonnage continuaient d’augmenter. Une fois que les attaquants ont pris pied dans le système, ils peuvent mettre en place des canaux de commande et de contrôle, se déplacer latéralement pour identifier les données ciblées, chiffrer des données en vue d’exiger une rançon, ou voler des informations sensibles.
Le « Mois » de la sensibilisation à la cybersécurité ?
Donc oui, nous soutenons le Mois de la sensibilisation à la cybersécurité. Il attire l’attention nécessaire sur un problème que nous nous efforçons de résoudre depuis des années. Il pourrait inciter certaines organisations à faire leurs premiers pas pour améliorer la sensibilisation de leur personnel à la sécurité ou à renforcer leurs programmes existants. Nous nous opposons simplement à ce que la sensibilisation à la cybersécurité soit considérée comme un événement annuel.
L’apprentissage n’est pas un processus ponctuel. On n’apprend pas à parler une nouvelle langue ou à jouer d’un instrument de musique en s’y consacrant une seule fois par an. Il en va de même pour la détection et la prévention des menaces liées à la cybersécurité. Apprendre à maîtriser l’une ou l’autre de ces compétences demande du temps et de la pratique.
Lorsque les sessions de formation sont organisées une ou deux fois par an dans le seul but de satisfaire aux exigences de conformité, les participants ne retiennent pas les connaissances acquises. La célèbre courbe d’oubli d’Ebbinghaus montre que les participants oublient plus de 75 % du contenu d’une formation dès la première semaine. Au bout d’un mois, ils n’en retiennent plus que 21 %.
Sensibiliser les salariés
L’enseignement est un processus, et non un événement ponctuel. Cela vaut également pour la sensibilisation à la cybersécurité. Des études montrent que la pente descendante de la courbe de l’oubli peut être atténuée grâce à un renforcement régulier des cours. Ces rappels ne doivent pas nécessairement reprendre l’intégralité des informations abordées en cours. L’objectif est d’amener l’apprenant à continuer de réfléchir à la matière et à la mettre en pratique.
Instaurer une culture de sensibilisation à la cybersécurité
Le « mois » de la sensibilisation à la cybersécurité peut sembler n’être qu’un coup de pub. Un programme efficace de sensibilisation à la cybersécurité doit être mis en œuvre tout au long de l’année, à l’aide d’une variété d’outils et de techniques.
Les modules de formation en ligne font certes partie intégrante de tout programme efficace, mais les équipes doivent renforcer régulièrement ces acquis à l’aide de rappels, de simulations d’hameçonnage, de micro-formations, d’économiseurs d’écran et d’affiches. Ces modules doivent être adaptés aux différentes menaces auxquelles l’organisation est confrontée.
La formation destinée aux équipes financières doit être adaptée aux menaces spécifiques au sein du service. Les services informatiques doivent rester vigilants face au vol d’identifiants privilégiés. Tout le monde doit bénéficier d’une formation continue sur les attaques par hameçonnage et par ransomware.
Un programme de sensibilisation à la cybersécurité constitue un élément important d’une évaluation globale des risques. Les responsables de ces programmes doivent être en mesure de suivre les progrès réalisés grâce à des rapports et de mettre en place des mesures correctives là où des risques persistent au sein de l’organisation. Si des personnes ou des équipes obtiennent de mauvais résultats à la formation, une formation de rattrapage doit être automatiquement programmée.
Surtout, les organisations qui s’engagent en faveur de la sensibilisation à la cybersécurité et à la sécurité en ligne reconnaissent la nécessité d’un soutien de la part de la direction. Des messages réguliers émanant directement de la haute direction sur la nécessité d’adopter de bonnes pratiques en matière de cybersécurité – et sur les raisons pour lesquelles cela constitue une priorité pour l’entreprise – contribuent à instaurer une culture de la sécurité durable.