Les cyberattaques sont si courantes qu’elles font régulièrement la une de l’actualité nationale. Les raisons de l’essor des escroqueries et de la cybercriminalité sont nombreuses. Toutefois, la manipulation et l’ingénierie sociale visant nos collaborateurs et les logiciels qu’ils utilisent constituent souvent le point de départ de ces attaques.
Partout dans le monde, des organisations s’efforcent de mettre en place une culture de la sécurité afin de contrer le facteur humain dans les cyberattaques. Mais si votre organisation doit encore instaurer cette mentalité axée sur la sécurité, et que les menaces et les vulnérabilités exposent de plus en plus votre entreprise à des risques, vous devez vous poser la question suivante : une bonne formation en cybersécurité peut-elle changer une mauvaise culture de la cybersécurité ?
Signes d’une mauvaise culture de la cybersécurité et solutions pour y remédier
Une mauvaise culture de la cybersécurité présente des signes avant-coureurs évidents auxquels il convient d’être attentif. Vous trouverez ci-dessous quelques-uns des plus manifestes, ainsi que certaines mesures permettant de transformer une mauvaise culture de la cybersécurité grâce à des techniques de formation efficaces en la matière :
Que des paroles, pas d’actions
Une culture de la sécurité s’installe à la fois de manière descendante et ascendante. Chacun doit être encouragé à faire partie d’un tout plus vaste, en œuvrant à la réalisation d’un objectif commun où la sécurité est prise au sérieux. Tout le monde, des membres du conseil d’administration au personnel intérimaire, doit comprendre ce que signifie donner la priorité à la sécurité et savoir exactement comment s’y prendre.
Rien ne changera si votre organisation parle de sécurité sans proposer de solutions concrètes pour faire face aux menaces. En expliquant comment se protéger, le personnel sera en mesure de réagir de manière appropriée en cas de tentatives de cyberattaques, telles que des e-mails de hameçonnage ou des manœuvres d’ingénierie sociale.
Comment passer des paroles aux actes: pour passer des paroles aux actes, la direction doit mettre en œuvre des mesures concrètes visant à soutenir les efforts en matière de sécurité. Cela nécessitera une sensibilisation positive et continue à la sécurité au sein de l’ensemble de l’organisation, afin de fournir au personnel les outils nécessaires pour contribuer aux efforts de l’entreprise en matière de sécurité.
Une culture du blâme, et non de la sécurité
La tendance à rejeter la responsabilité sur autrui est une culture toxique et néfaste qui peut rapidement s’installer en cas de cyberattaques, surtout si celles-ci se multiplient. Il est facile de pointer du doigt et de reprocher au personnel des incidents tels que l’ouverture d’un e-mail potentiellement malveillant. Cependant, plus on pointe du doigt, plus le climat général autour des comportements en matière de sécurité se détériore.
De plus, ce comportement consistant à rejeter la faute sur autrui est tout aussi néfaste que de cliquer sur un lien de hameçonnage, car il crée un climat de méfiance et perpétue les mauvaises pratiques en matière de sécurité.
Mettez fin aux accusations mutuelles grâce à une communication ouverte : la recherche de boucs émissaires et les reproches sont les antithèses d’une bonne culture de la cybersécurité. Efforcez-vous plutôt d’instaurer un climat de confiance, dans lequel un collaborateur qui commet une erreur se sente à l’aise pour signaler cet incident. Une bonne culture de la sécurité passe par une bonne communication. Si un collaborateur signale au service informatique une défaillance en matière de sécurité, telle que la divulgation accidentelle de données sensibles, l’équipe peut alors intervenir plus rapidement pour limiter l’exposition des données.
Ignorer ce que les indicateurs vous révèlent
Lorsqu’une culture de la sécurité déraille, le problème se reflète dans les indicateurs de vulnérabilité de l’organisation : le facteur humain en matière de cybersécurité est largement reconnu, comme en témoignent des statistiques alarmantes, notamment le fait que 82 % de toutes les cyberattaques impliquent un élément humain. L’erreur humaine survient lorsque les personnes ne sont pas conscientes de la manière dont leurs actions peuvent entraîner une fuite de données ou mettre une entreprise en danger. Ainsi, si vous constatez une augmentation des violations potentielles ou avérées, cela peut être imputable à des employés ou à d’autres personnes extérieures à l’entreprise.
Les indicateurs sont vos alliés : utilisez ceux fournis par les programmes de sensibilisation à la sécurité et les simulations d’hameçonnage pour identifier les points préoccupants. Les indicateurs vous permettent d’adapter la formation afin de la rendre plus efficace. De plus, la formation peut être ajustée en fonction des rôles afin de mettre l’accent sur des domaines de vulnérabilité spécifiques.
Ça entre par une oreille et ça sort par l’autre
Une culture de la sécurité inefficace peut nuire à l’efficacité de la formation en matière de sécurité. Des supports de formation ennuyeux et répétitifs, de type « cours magistral », peuvent rebuter les collaborateurs et compromettre vos chances de mettre en place une culture de la sécurité solide.
L’apprentissage actif se produit lorsque les personnes sont impliquées et parviennent à s’identifier au contenu sur le plan émotionnel. Par exemple, si vous ne proposez pas de contenu de sensibilisation à la sécurité qui a fait ses preuves. Dans ce cas, vous risquez de constater que les informations entrent par une oreille et sortent par l’autre, les collaborateurs oubliant les enseignements essentiels et continuant à adopter des comportements peu sûrs.
Un support pédagogique stimulant fait des merveilles : proposez à vos collaborateurs un support d’apprentissage stimulant qui leur parle. Misez sur la formation « au moment où le besoin s’en fait sentir » afin que vos collaborateurs apprennent au fur et à mesure de leur formation et contribuent à transformer les mauvais comportements en bons. Un support captivant marque les esprits et instaure cet état d’esprit axé sur la sécurité, indispensable pour ancrer une culture de la sécurité.
La formation est déconnectée
Les cultures, quelles qu’elles soient, reposent sur la confiance et la communication. Une mauvaise culture de la sécurité peut s’installer si les collaborateurs n’évoquent pas leurs préoccupations ou leurs problèmes avec leurs supérieurs hiérarchiques. Le problème survient lorsque ces mêmes supérieurs hiérarchiques se sentent déconnectés de la culture de la sécurité. Cela peut se produire lorsque les programmes de formation ne s’adressent pas aux cadres ou lorsque les supports de formation ne sont pas adaptés aux services et aux fonctions spécifiques.
Liens entre les fonctions et les services :
- Établissez des liens et abattez les barrières lors de l’élaboration de programmes de formation à la sécurité en concevant des campagnes adaptées à des rôles spécifiques.
- Veillez à ce que tous les salariés participent à la formation : chaque membre d’une organisation joue un rôle au sein de l’entreprise, et chacun doit s’inscrire dans la culture de la sécurité.
- Utilisez des supports de formation qui favorisent les liens entre la direction et les collaborateurs grâce à des activités de formation collaboratives, telles que des jeux de type « escape room ».
Un manque d’implication
Les cultures s’épanouissent lorsqu’elles impliquent tout le monde. Les êtres humains sont des êtres sociaux, et les comportements prosociaux contribuent à bâtir des communautés solides et coopératives. Si vous n’incluez pas tout le monde dans votre formation à la sensibilisation à la sécurité, des clans se formeront, dont les comportements en matière de sécurité seront moins bons que ceux des personnes ayant suivi la formation. Le manque d’implication de certains aura un impact sur le développement d’une culture et d’une communauté de sécurité cohésives.
Écoutez et apprenez : être à l’écoute de votre personnel peut contribuer à développer un sentiment d’appartenance et de confiance. Adoptez une politique de porte ouverte pour tisser des liens, ce qui permettra d’améliorer les réponses en matière de sécurité. Écoutez et apprenez, impliquez les employés dans la formation à la sensibilisation à la sécurité grâce à des initiatives telles que la semaine annuelle de sensibilisation à la cybersécurité. Une bonne capacité d’écoute constitue une excellente stratégie d’engagement. Elle contribue également à développer un esprit de communauté indispensable à la mise en place d’une culture de la sécurité solide et efficace.
Il existe un proverbe que vous avez sans doute déjà entendu : « L’union fait la force, la division mène à la ruine. » Cette expression résume bien l’importance de travailler ensemble vers un objectif commun ; ce faisant, « le tout devient plus grand que la somme des parties ». La formation à la sensibilisation à la sécurité doit impliquer l’ensemble de la communauté de l’entreprise et tisser des liens fondés sur des expériences et des préoccupations communes. En proposant un programme de formation à la sensibilisation à la sécurité à la fois ludique, captivant et instructif, votre entreprise peut instaurer cette culture de la sécurité, si difficile à atteindre mais pourtant essentielle.