Cybersécurité : investissez le facteur humain !
Pour Olfeo, il est grand temps de transformer le facteur humain en un maillon fort de la chaîne de sécurité. Et l’exemple doit venir d’en haut.
Cela fait trop longtemps que sensibiliser l’utilisateur final a été négligé dans les politiques de sécurité des entreprises comme des collectivités publiques, estime Olfeo, éditeur spécialisé en cybersécurité. Il faut aujourd’hui engager un véritable changement de mentalité : la direction IT ne doit plus vouloir bloquer ni occulter le facteur humain par la technologie, mais plutôt l’accompagner, le faire évoluer si elle veut le transformer en un maillon plus fort de sa chaîne de sécurité.
«Une erreur courante lorsqu’une organisation souhaite engager une démarche de sensibilisation est de continuer à considérer l’utilisateur comme un problème, explique Alexandre Souillé, CEO, Olfeo. Dans ce cas, les messages resteront anxiogènes et donc mal perçus par les utilisateurs finaux. Au contraire, si l’on veut créer une culture de la sécurité qui soit réellement positive, il est indispensable de considérer l’utilisateur final comme un composant essentiel de la performance de la chaîne de sécurité en lui diffusant par exemple des messages pertinents et adaptés au contexte de ses usages informatiques.»
Alexandre Souillé (Olfeo) : «L’exemple doit venir d’en haut si l’on veut que la prise de conscience autour de la sécurité soit un vrai sujet dans l’entreprise !»
C’était à Bruxelles, dans l’Atomium, au cours du Eat & Learn de Cyber Security Management. Pour Olfeo, spécialiste du filtrage de contenu, les projets de sécurité web et filtrage ne sont plus à considérer sur les seuls aspects techniques et fonctionnels dans la mesure où leur mise en œuvre associe de nombreux autres critères : droit pénal, droit civil, droit du travail, mais aussi culture et management. De là, l’importance du facteur humain.
L’entreprise… le lieu idéal pour apprendre
Techniquement, plutôt que proposer une solution globale, Olfeo a construit des jeux de catégories spécifiques répondant aux usages des collaborateurs -les catégories proposées permettent de construire aisément des politiques d’accès pour assurer une bonne régulation. Mieux : comme chaque pays dispose de lois qui lui sont particulières, Olfeo a fait le choix de collaborer avec cinq cabinets d’avocats internationaux -dont un belge et un luxembourgeois- afin de délimiter précisément les périmètres légaux et illégaux et d’en assurer la veille.
«Beaucoup d’entreprises considèrent encore que ‘ça n’arrive qu’aux autres, alors que faire évoluer les comportements demande du temps, poursuit Alexandre Souillé. Les entreprises doivent prendre conscience qu’elles sont le lieu idéal pour apprendre à mieux réagir face aux cyber-menaces, sur le plan personnel et professionnel. Mais une formation n’est pas toujours suffisante pour faire changer les comportements de manière durable, il faut diffuser continuellement des bonnes pratique, notamment grâce à des interactions intelligentes avec les utilisateurs, intégrées directement dans les outils de protection…»
Une implication de la direction générale
C’est précisément ce que propose Olfeo -distribué en Belgique et au Luxembourg par Cyber Security Management. Lorsque les utilisateurs comprennent mieux les risques encourus, ils sont plus à même de détecter des comportements suspects ou d’adopter une plus grande prudence face à un site web d’apparence officielle qui les solliciterait.
«Pour cela, il est fondamental d’associer à la fois la communication sur les risques encours avec les bonnes pratiques en termes de réaction si l’on veut créer une prise de conscience», insiste Alexandre Souillé.
Mais pour que cette nouvelle synergie interservices soit réellement efficace, il doit obligatoirement y avoir une implication de la direction générale dans la démarche. «L’exemple doit venir d’en haut si l’on veut que la prise de conscience autour de la sécurité soit un vrai sujet dans l’entreprise !»
Le facteur humain… et les 7 péchés capitaux
Si la recherche du sentiment de sécurité est inhérente à la nature humaine, elle peut parfois être en décalage total avec la réalité et tout le monde ne dispose pas d’un sixième sens pour pressentir le danger, d’autant plus en matière de cybersécurité !
Les cybercriminels le savent et exploitent désormais la plupart des sept péchés capitaux dans leurs attaques ! La peur, le stress, la convoitise, la paresse… font partie des plans d’attaque avec toujours cet objectif d’aller vite pour ne pas laisser le temps au sixième sens ou aux équipes informatiques de réagir. La demande est extrêmement pressante, on doit répondre dans l’urgence et les attaquants créent le stress nécessaire…
Les victimes sont toujours démunies face à la sophistication des attaques et aux approches psychologiques utilisées. Après un clic dans un email de phishing, un utilisateur peut recevoir un coup de téléphone et le cyber criminel peut essayer de le manipuler en jouant sur la peur et la responsabilité : «si vous ne le faites pas, votre chef vous en tiendra responsable…», la culpabilité : «Vous ne voulez pas m’aider ? Je pensais que vous étiez quelqu’un de bien…» ou encore la cupidité : «Si vous m’aidez, vous en retirez un grand bénéfice…».
