Facteurs humains: comment construire une culture solide en matière de cybersécurité

Selon le Global Risks Report du Forum économique mondial, 95 % de toutes les atteintes à la cybersécurité ont été attribuées à des erreurs humaines en 2022. 

Même si vos collègues représentent la plus grande menace pour votre organisation, comment leur reprocher quelque chose qu’ils ne savaient pas ou ne comprenaient pas?

L’erreur humaine est un acte involontaire qui survient souvent en raison d’un manque de connaissances. Le facteur humain est la manière dont une organisation, une culture, un emploi et un individu se combinent pour apporter ces connaissances aux gens et améliorer leur fiabilité au travail. Dans cette optique, il importe de concentrer notre attention sur le facteur humain, en particulier en ce qui concerne la cybersécurité. 

Télétravail et risques de cybersécurité: le facteur humain

Beaucoup d’entreprises ont dû s’adapter au télétravail et au travail hybride. Cette façon de travailler a apporté de nombreux avantages, notamment une hausse de la flexibilité et de la productivité. Cependant, elle a également placé nos collègues face à des défis sans précédent en matière de cybersécurité.

• Le télétravail peut avoir les conséquences suivantes: 
• un environnement plus détendu qui rend les collègues moins vigilants
• une augmentation des distractions qui affectent le niveau d’attention
• un va-et-vient entre les appareils personnels et professionnels, les uns pouvant infecter les autres
• une utilisation non sécurisée du réseau

S’approprier le facteur humain peut permettre aux professionnels de l’informatique d’identifier les moyens d’aider leurs collègues à faire face aux menaces et de favoriser une culture résiliente de la cybersécurité.

Qu’est-ce que la culture de la cybersécurité?

Une bonne culture de la cybersécurité se développe lorsque tous les employés comprennent comment travailler de la manière la plus sécurisée possible.

Le facteur humain est la meilleure défense contre les cyberattaques, mais aussi le maillon le plus faible de la cybersécurité. Ce sont les gens, et non la technologie, qui créent une culture efficace de la cybersécurité. La première ligne de défense devrait être assurée par des employés qui ont les connaissances, l’instinct et l’attention nécessaires pour régler les questions de sécurité. C’est le rôle des services informatiques de s’assurer que les collaborateurs ont suffisamment de connaissances de la sécurité pour garantir la résilience de l’entreprise.

6 étapes pour une culture solide de la cybersécurité

Si une culture d’entreprise n’est pas à la hauteur, le facteur humain peut devenir un risque important dans la cybersécurité. Donnez à vos équipes la confiance nécessaire pour bâtir une culture résiliente de la cybersécurité en six étapes simples.

1. Évitez le jargon technique

Le jargon technique peut vous aliéner ceux qui ont du mal à le comprendre. Lorsque vous formez vos collègues aux meilleures pratiques en matière de cybersécurité, faites simple. 

Communiquez avec vos collègues en dehors du service informatique en utilisant une langue facile à comprendre. Les comptables, les designers et les équipes de restauration ne comprennent peut-être pas le concept de rançongiciel, de cheval de Troie, de ver informatique ou de malware. Mais ils comprendront l’idée qu’un mauvais logiciel est souvent envoyé dans un faux e-mail pour infecter les systèmes informatiques.

Ne compliquez pas excessivement le message. Les subtilités des algorithmes de chiffrement par blocs ou du filtrage de sortie n’aideront pas vos équipes à adopter une culture positive de la cybersécurité. Elles ne feront que semer la confusion et perdre vos collègues face aux questions de cybersécurité. 

Dites à vos équipes ce qu’elles doivent savoir pour adopter une méthode de travail plus cybersécurisée et prendre des mesures si nécessaire pour prévenir une cyberattaque.

2. Partagez une check-list de cybersécurité

Une check-list à laquelle tous les membres de votre organisation ont accès créera de bonnes habitudes en matière de cybersécurité.

Indiquez clairement dans un document facile à comprendre les mesures proactives que chacun doit prendre, quand et comment, afin de réduire le risque de cyberattaque.

Voici quelques exemples de ce que vous pourriez inclure à une check-list de cybersécurité:

• Installez une protection antivirus et vérifiez les mises à jour toutes les deux semaines
• Sauvegardez les fichiers dans le cloud une fois par semaine
• Verrouillez tous les écrans des ordinateurs portables et des appareils lorsque vous travaillez dans un espace de coworking
• Utilisez toujours un VPN
• Utilisez des mots de passe uniques et forts pour chaque compte et appareil
• Changez de mot de passe tous les mois
• Appliquez une approche confiance zéro à tous les e-mails
• Utilisez la protection par mot de passe et les salles d’attente pour les réunions virtuelles
• Désactivez le Bluetooth et le partage de fichiers lorsqu’ils ne sont pas nécessaires

Il est important d’être conscient des menaces au niveau du réseau, de l’appareil et de la sortie. L’utilisation d’une check-list peut assurer cette triple approche de la sécurité [local offices to link to similar or relevant content] et protéger vos données et vos actifs.

Ajoutez des captures d’écran, des liens ou des didacticiels pour montrer comment mettre en œuvre chaque mesure efficacement. Cet élément visuel fait office de guide pas-à-pas et d’outil de référence. Certains collègues préféreront peut-être cette approche autoguidée.

3. Sensibilisez davantage aux procédures d’urgenceUne check-list est utile pour s’assurer que les employés suivent les meilleures pratiques en matière de cybersécurité. Cependant, même les organisations les plus résilientes peuvent être victimes d’une cyberattaque. Tous les membres de l’équipe doivent savoir quoi faire s’ils soupçonnent que quelque chose ne va pas.

Un exemple courant qui exige des procédures d’urgence est un courriel suspect qui arrive dans la boîte de réception d’un collègue. Les équipes doivent savoir que faire si cela se produit. En cas de doute, les collègues ne doivent jamais hésiter à contacter l’équipe de sécurité de première intervention et ils doivent savoir qui fait partie de cette équipe. Vous pouvez même ajouter un guide des procédures d’urgence à votre check-list de cybersécurité pour conserver toutes les informations au même endroit.

Abordez les points suivants dans votre guide des procédures d’urgence:

• Qui est l’interlocuteur de première intervention?
• Comment les collègues peuvent-ils les contacter?
• Horaires
• Que faire en dehors des horaires

Exemple de procédures d’urgence clés:

• Ne pas cliquer sur des liens suspects
• Ne pas ouvrir de pièces jointes suspectes
• Ne pas les transférer à d’autres
• Ne pas répondre aux e-mails suspects
• Contacter l’équipe de première intervention dès que possible.

4. Effectuez un exercice de mise en situation simple

Même si cela peut sembler anodin, une formation pratique rapide est un moyen efficace d’aider les collègues à réfléchir aux vulnérabilités humaines dans la cybersécurité. Réalisé à l’échelle de l’entreprise, cet exercice testera la compréhension que vos collègues ont des différents problèmes de sécurité, tout en les formant de façon bienveillante.

Des questions bien structurées de type «est-ce que vous…?» aideront vos équipes à:

• autoévaluer leurs habitudes en matière de cybersécurité
• garder la motivation de suivre les politiques de cybersécurité
• penser à la check-list de cybersécurité
• appliquer leurs connaissances aux scénarios de cybersécurité qu’elles sont susceptibles de rencontrer

Vous pouvez concevoir l’exercice de façon à tester des aspects discrets de la cybersécurité, tels que le télétravail.

5. Célébrez les réussites en matière de cybersécurité

Votre culture solide de la cybersécurité doit être une extension de la culture positive de votre organisation. Célébrer les réussites en matière de cybersécurité est un moyen efficace de bâtir une équipe sûre d’elle-même, d’inspirer et de faire en sorte que les collègues se sentent valorisés pour leurs efforts de cybersécurité.

Motivez vos collègues avec des «scores de sécurité» actualisés une fois par semaine. Associez-les à des formations, à des quiz et à la détection des menaces potentielles. Ce type d’incitation renforce les compétences du personnel, qui considère la cybersécurité comme un élément important de la sécurité de votre entreprise.

Une simple affiche sur le tableau d’affichage du bureau, un e-mail hebdomadaire de type newsletter ou un message de mise à jour célébreront les cyber-héros de votre entreprise qui ont sauvé l’entreprise d’une menace potentielle et d’une attaque coûteuse. Cela encourage les autres à observer les processus de cybersécurité et à repérer les menaces de sécurité potentielles.

6. Aborder régulièrement le sujet

FAQ
Quelle est la différence entre l’erreur humaine et le facteur humain?

L’erreur humaine est un acte involontaire qui survient souvent en raison d’un manque de connaissances et qui entraîne un échec. Le facteur humain est la manière dont une organisation, une culture, un emploi et un individu se combinent pour améliorer la fiabilité humaine au travail.

Quelle est l’importance du facteur humain dans la cybersécurité?

Dans la cybersécurité, on parle de facteur humain quand des situations qui débouchent sur un piratage ou une violation de données réussis sont causées par une action humaine.

Pourquoi le facteur humain est-il le maillon le plus faible de la cybersécurité?

Les humains sont faillibles et font des erreurs. Un collègue peut être distrait, stressé, occupé, mécontent ou trop confiant. Ces comportements peuvent conduire à des erreurs, c’est pourquoi le facteur humain sera toujours le maillon le plus faible de la cybersécurité.