Sensibilisation à la sécurité et développement d’une culture de la sécurité
Une formation annuelle à la conformité dont personne ne se souvient une semaine plus tard n’est pas une sensibilisation à la sécurité, c’est simplement un poste budgétaire destiné à l’auditeur. Les organisations qui parviennent réellement à réduire leur exposition aux risques liés au facteur humain ne sont pas celles qui disposent des vidéos de formation les plus sophistiquées, mais celles où les collaborateurs se sentent en confiance pour signaler « Je crois que j’ai cliqué sur un lien dangereux » sans se faire réprimander, et où la formation reflète les méthodes spécifiques utilisées pour cibler leurs collaborateurs.
Je conçois le travail de sensibilisation en deux niveaux. Le premier constitue la base : s’assurer que les personnes sont capables de reconnaître une tentative d’hameçonnage, de comprendre l’importance de l’authentification multifactorielle (MFA), de savoir comment réagir face à une pièce jointe suspecte et de savoir qui contacter. Cette partie est nécessaire, mais ce n’est pas là que s’opère la véritable réduction des risques. Le deuxième niveau concerne la culture d’entreprise : il s’agit de savoir si les collaborateurs considèrent la sécurité comme une mesure que le service informatique leur impose ou comme un enjeu dont ils font partie intégrante, s’ils se sentent en sécurité lorsqu’ils signalent une erreur, et si la direction traite visiblement la sécurité comme une véritable priorité plutôt que comme une simple diapositive dans une présentation destinée à l’ensemble du personnel.
Mon approche
Je commence par déterminer où se situe réellement votre exposition au risque, sans partir du principe que les risques sont identiques pour toutes les entreprises. Pour un cabinet d’avocats, le principal vecteur de risque humain est généralement l’usurpation d’identité par e-mail professionnel visant les virements bancaires et les comptes fiduciaires des clients. Pour un cabinet médical, il s’agit généralement de hameçonnage visant les identifiants d’accès aux dossiers médicaux électroniques. J’élabore des scénarios et des contenus de formation en fonction de ce qui est réellement susceptible de vous toucher, je réalise des simulations de hameçonnage réalistes qui reflètent ces menaces, et je vérifie si les comportements évoluent réellement, et pas seulement si les personnes ont suivi un module de formation.
Je prête également attention à la structure des incitations. Si une personne est publiquement humiliée pour avoir mordu à un hameçonnage simulé, elle cessera de signaler les véritables tentatives. Je préfère mettre en place un programme où le premier réflexe, dès qu’un élément semble suspect, est de le transmettre au service de sécurité, plutôt que d’espérer en silence que le problème disparaisse de lui-même.
À qui s'adresse ce document ?
Si votre formation actuelle consiste en une vidéo diffusée une fois par an que personne ne regarde au-delà du premier écran, si vous avez frôlé la catastrophe lors d’une tentative de hameçonnage et que vous souhaitez connaître votre niveau réel d’exposition, ou si un assureur ou un auditeur vous demande en quoi consiste réellement votre programme de sensibilisation au-delà d’une simple case à cocher, cela mérite que nous en discutions.
N’hésitez pas à me faire part des points faibles de votre équipe, ou de ceux que vous soupçonnez.