Réduire les risques liés à la cybersécurité grâce à des stratégies centrées sur l'humain

La dimension « l’humain au cœur du système » est un élément fondamental à prendre en compte lors de l’élaboration d’une stratégie efficace visant à minimiser les risques liés à la cybersécurité. Cependant, cette affirmation recouvre de nombreux aspects, car nos collaborateurs jouent un rôle essentiel dans la réussite de notre organisation ; plutôt que de rejeter la faute sur qui que ce soit, nous devons distinguer les actes malveillants des erreurs accidentelles, en détectant les premiers et en prévenant les secondes.

Grâce à une formation ciblée à la sensibilisation à la sécurité, il est possible d’atténuer les facteurs humains à l’origine des défaillances humaines. Voici comment et pourquoi les risques liés à la cybersécurité peuvent être gérés grâce à une prise de conscience en matière de sécurité.

Pourquoi les facteurs humains sont à l’origine des risques liés à la cybersécurité

Le facteur humain dans les risques liés à la cybersécurité est généralement qualifié de « menace interne ». Ces « initiés » peuvent être des salariés ou des personnes extérieures à l’entreprise, telles que des consultants. Le simple fait que ces initiés fassent partie intégrante des processus d’une organisation et utilisent les ressources informatiques avec autorisation rend difficile la gestion des défaillances humaines qui sont à l’origine des risques liés à la cybersécurité.

Les risques liés à la cybersécurité provenant de l’intérieur constituent un problème majeur : un rapport de 2020 sur les menaces internes, publié par Cyber Security Insiders, souligne que 68 % des organisations se sentent « modérément à extrêmement vulnérables » face aux menaces internes. Cela n’a rien de surprenant lorsque l’on examine certains titres d’actualités de dernière minute concernant des cyberattaques de l’année dernière, comme le piratage de Twitter en 2020, au cours duquel des comptes Twitter très en vue, dont celui de Barack Obama, ont été piratés et utilisés pour inciter les utilisateurs de Twitter à effectuer des transactions illicites en bitcoins. Les pertes sont estimées à environ 180 millions de dollars (129 millions de livres sterling) et le cours de l’action Twitter a chuté de 4 %. Ce piratage a consisté à mener des attaques de spear-phishing contre des employés de Twitter et à dérober des identifiants privilégiés.

Les cybercriminels exploitent les facteurs humains pour obtenir un accès non autorisé, voler des identifiants et infecter les systèmes informatiques et les terminaux avec des logiciels malveillants tels que les ransomwares. Sans l’effet « l’humain dans la machine », la cybercriminalité serait bien plus difficile à mettre en œuvre.

Les facteurs humains à l’origine des erreurs humaines

Selon une étude d’IBM, les trois principaux domaines sur lesquels il convient de se concentrer lors de l’élaboration de stratégies de sécurité visant à atténuer les risques liés à la cybersécurité sont les suivants :

1. Hameçonnage

1. Analyser et exploiter

1. Utilisation non autorisée d’identifiants

Ces trois vecteurs comportent tous un élément lié au facteur humain à un moment donné de la chaîne d’attaque.

Hameçonnage et hameçonnage ciblé (spear-phishing) – facteurs humains : cela nécessite qu’une personne cible clique sur un lien ou ouvre une pièce jointe infectée pour déclencher la chaîne d’infection. Souvent, l’hameçonnage est utilisé pour cibler des utilisateurs privilégiés (hameçonnage ciblé) afin de récupérer leurs identifiants. Les utilisateurs privilégiés ont accès à des ressources plus importantes : le vol d’identifiants privilégiés est le Saint Graal du piratage. C’est là qu’intervient un facteur humain, tel que la réponse automatisée consistant à cliquer.

Analyse et exploitation – erreur humaine : les pirates informatiques exploitent tout ce qui leur facilite la tâche, et la possibilité d’analyser automatiquement les vulnérabilités constitue un vecteur utile pour l’infection par des logiciels malveillants. Les composants des systèmes informatiques, tels que les serveurs web, les bases de données et les applications cloud, peuvent se retrouver mal configurés si l’impact d’une sécurité insuffisante n’est pas pleinement compris. Les applications et composants Web non sécurisés entraînent des failles de sécurité que les pirates peuvent exploiter. Dans ce cas, l’erreur humaine est à l’origine d’un risque de cybersécurité.

Utilisation non autorisée d’identifiants – défaillance humaine et facteurs humains : le vol d’identifiants entraîne un accès non autorisé aux systèmes et ressources informatiques. Voici quelques exemples d’utilisation non autorisée d’identifiants :

- Espionnage par-dessus l’épaule : les identifiants sont volés lorsqu’une personne malveillante observe quelqu’un saisir son mot de passe.

- Hameçonnage: inciter une personne à saisir ses identifiants de connexion sur une fausse page de connexion.

- Ingénierie sociale : inciter une personne à divulguer ses identifiants de connexion par téléphone, sur les réseaux sociaux ou par d’autres moyens de communication, tels que les e-mails, les services d’assistance et les SMS.

Dans les trois principaux vecteurs d’attaques informatiques les plus efficaces, le facteur humain et les erreurs humaines jouent un rôle prépondérant. Le risque lié à la cybersécurité repose principalement sur nos collaborateurs et les personnes extérieures à l’entreprise, mais comment pouvons-nous réduire ce risque ?

Meilleures pratiques : comment éviter que les facteurs humains ne se transforment en défaillances humaines ?

Une étude menée par Kaspersky, qui s’est penchée sur le rôle joué par les facteurs humains dans les risques liés à la cybersécurité, a révélé que « le personnel négligent ou mal informé » constitue la deuxième cause la plus fréquente d’une faille de sécurité grave ; l’infection par des logiciels malveillants arrive en première position, mais elle est souvent elle-même due à la négligence ou au manque d’information du personnel. Compte tenu des niveaux élevés de risque liés aux facteurs humains, il est essentiel de réduire les défaillances pour atténuer les risques de sécurité.

Deux domaines se distinguent particulièrement, qui concernent à la fois le personnel négligent et celui qui manque d’informations :

Les décisions imprudentes à l’origine des failles de sécurité: faire de mauvais choix en matière de sécurité, comme mal configurer des systèmes et composants informatiques, ou cliquer sur un lien de hameçonnage sans réfléchir, sont des erreurs humaines qui entraînent une augmentation des risques liés à la cybersécurité. La mauvaise configuration des systèmes et composants informatiques est un exemple de décision imprudente en matière de sécurité. Cliquer sur un lien de hameçonnage en est un autre. Le personnel informatique comme le personnel non informatique est susceptible de prendre des décisions imprudentes entraînant des failles de sécurité. Veiller à ce que l’ensemble du personnel, qu’il soit technique ou non, soit sensibilisé à l’impact de ses choix constitue un moyen fondamental d’atténuer les risques liés à la cybersécurité.

Un personnel mal informé, source de failles de sécurité : si les collaborateurs ne sont pas conscients de leurs actes, comment pourraient-ils en mesurer les conséquences en matière de sécurité ? Les entreprises dispensent régulièrement des formations à leur personnel dans d’autres domaines de l’activité, et cette démarche devrait être étendue à la sensibilisation à la sécurité. La formation du personnel en matière de sécurité comprend la compréhension du fonctionnement du phishing, ainsi que d’autres failles de sécurité courantes, telles que le partage de mots de passe et l’envoi erroné d’e-mails. Il convient de noter que, selon le rapport d’enquête sur les violations de données (DBIR) de Verizon, les envois erronés continuent d’augmenter en tant que forme d’erreur humaine.

Réduire l’impact du facteur humain sur les risques liés à la cybersécurité

L’étude de Kaspersky a mis en évidence un élément crucial de l’erreur humaine en matière de sécurité : la tendance à dissimuler ses erreurs. L’enquête a révélé que, dans 40 % des entreprises, les employés dissimulaient les incidents de sécurité. Ce chiffre devrait tirer la sonnette d’alarme et inciter à renforcer la formation en matière de sécurité. Même lorsque l’employé comprenait les implications d’un incident de sécurité, il se sentait tout de même contraint de dissimuler l’information. Cela soulève la question suivante, à laquelle il y a deux réponses :

Faites de la sécurité une valeur fondamentale : cela peut sembler un cliché, mais si la notion de sécurité est ancrée dans votre culture d’entreprise, vos collaborateurs seront moins susceptibles de se sentir dépassés et effrayés lorsqu’un incident se produit. Une culture de la sécurité se construit grâce à des formations de sensibilisation à la sécurité, qui contribuent à ancrer des habitudes positives en matière de sécurité chez les employés.

Facilitez le signalement des incidents de sécurité : les incidents doivent être signalés afin que le personnel compétent, en fonction du niveau de risque, puisse y remédier. Un système de signalement conçu pour simplifier au maximum la procédure pour les employés rendra cette démarche moins fastidieuse et favorisera ainsi son utilisation.

Les facteurs humains sont à l’origine des défaillances humaines. Grâce à des formations de sensibilisation à la cybersécurité, les organisations peuvent s’attaquer aux comportements humains à l’origine d’erreurs dues à la négligence et de mauvaises décisions, et ainsi réduire les risques liés à la cybersécurité.