Nous sommes en octobre, ce qui signifie que de nombreuses entreprises célèbrent le Mois de la sensibilisation à la cybersécurité ( ) en suivant le même rituel habituel : les employés se connectent à des portails, visionnent des vidéos animées ou des présentations PowerPoint, puis répondent à des quiz sur les e-mails de hameçonnage. Ces protocoles ont pour but de renforcer la sécurité des réseaux et des données.
Et la réalité ? Cela ne fonctionne pas.
Des études montrent que cette approche courante est insuffisante, et les experts recommandent une refonte en profondeur du processus de formation — axée sur le développement des compétences et l’engagement continu — afin d’améliorer la détection et le signalement des tentatives de hameçonnage de type « » (de plus en plus souvent basées sur l’IA), des attaques de type « business email compromise », ainsi que d’autres activités suspectes.
Une étude récente menée par l' , au sein de l'UC San Diego Health ( ), a clairement mis en cause l'ancienne approche. Près de 20 000 employés ont reçu huit séries d'e-mails de hameçonnage simulés sur une période de huit mois. Certaines personnes qui ont mordu à l'hameçon et cliqué sur un lien de hameçonnage intégré ont été redirigées vers un support de formation anti-hameçonnage et informées qu'elles avaient été victimes d'un e-mail de hameçonnage simulé, tandis que d'autres, appartenant au groupe témoin, ont été redirigées vers une page d'erreur 404 (erreur « Page introuvable »). Après avoir procédé à un nouveau test visant à vérifier si les employés cliqueraient à nouveau sur des liens de hameçonnage, le taux d'échec des employés « formés » n'était que de 1,7 % inférieur à celui des employés n'ayant reçu aucune formation.
Une explication ? La plupart des gens ont fermé les pages de formation quelques secondes après les avoir reçues. Plus d'un tiers n'y a même pas jeté un coup d'œil.
« Il s'avère que beaucoup de gens ne consacrent pas suffisamment de temps à la formation », a déclaré Ariana Mirian, co-auteure et actuellement chercheuse senior en sécurité chez Censys. « En substance, la page s’est ouverte et ils l’ont fermée, ce qui laisse supposer qu’ils ne suivaient pas réellement la formation. »
Formation à la sécurité des salariés : la cause profonde (et l'historique) du problème
Cette approche n'a pratiquement pas évolué en deux décennies, alors même que le volume des e-mails, la sophistication des escroqueries et la technologie sous-jacente ont tous connu une augmentation spectaculaire.
«C’est comme si chaque organisation se voyait remettre une boîte de pilules dont on lui aurait dit qu’elles résoudraient ses problèmes de hameçonnage. » « Ils continuent à les prendre, mais… ils ne diagnostiquent pas vraiment le problème. »Arun Vishwanath, consultant en sécurité et auteur du guide anti-hameçonnage intitulé « The Weakest Link »
En 2007, les élèves officiers de West Point qui avaient suivi des cours sur le hameçonnage étaient toujours tout aussi susceptibles de se faire piéger par des escroqueries quelques jours plus tard. En 2009, des chercheurs de Carnegie Mellon ont constaté que les conseils anti-hameçonnage envoyés par e-mail étaient ignorés, tandis que les leçons intégrées n'avaient qu'un effet légèrement supérieur. Par ailleurs, en 2022, l’étude « » de l’Institut national des normes et des technologies (NIST) a conclu que la plupart des programmes de sensibilisation « ne parviennent pas à générer des améliorations significatives et durables en matière de comportements sécuritaires ».
Il convient notamment de noter que le NIST a contribué à ancrer les pratiques mêmes qu'il critiquait. Ses recommandations incitent les organisations à mettre en place des programmes de sensibilisation et préconisent la réalisation de simulations d'hameçonnage suivies d'une formation. De nombreux responsables de la sécurité des systèmes d’information (RSSI) se confient systématiquement à ces recommandations, partant du principe que le NIST est le mieux placé pour juger, alors même que les attaques par hameçonnage ont augmenté de 202 % au cours du second semestre de 2024 et que des éléments indiquent que ces méthodes présentent des failles.
« Les RSSI se conforment aux recommandations du NIST et à d’autres normes, car ils n’ont pas le temps de faire grand-chose d’autre », a déclaré Arun Vishwanath, consultant en sécurité et auteur de * * () et de *The Weakest Link: How to Diagnose, Detect, and Defend Users from Phishing* () (). « C’est comme si chaque organisation se voyait remettre une boîte de comprimés dont on lui a dit qu’elle résoudrait ses problèmes de hameçonnage. » Ils continuent à les prescrire, mais ce faisant, ils ne diagnostiquent pas vraiment le problème. Ils ne peuvent donc en aucun cas résoudre ce problème. « Sans diagnostic, vous ne faites que généraliser le problème. »
Vishwanath estime que les chercheurs, les fournisseurs et les organisations doivent consacrer davantage de temps à l'étude de les raisons pour lesquelles les internautes cliquent en premier lieu. Ses recherches mettent en évidence les habitudes, les raccourcis d' et ainsi qu'une confiance mal placée comme causes profondes. Les gens gèrent leurs e-mails de manière automatique, se fient à des repères visuels rapides tels que des logos ou des noms familiers, et refoulent souvent leurs soupçons lorsqu'ils sont distraits.
« Si l'on ne s'attaque pas à ces comportements sous-jacents, la formation ne changera jamais les résultats », a-t-il déclaré.
Employee security training 2,0 goes beyond compliance theater
Pour remédier en partie à ces comportements, il faut notamment repenser la formation elle-même, ce qui était précisément l'objectif d'une récente étude de MITRE intitulée « » ( ).
Rédigé par les chercheurs Deanna Caputo, Lura Danley et Nathaniel Ratcliff, cet article publié dans la revue « 2024 » s'est penché sur les « sollicitations malveillantes », une forme sophistiquée d'ingénierie sociale qui consiste à utiliser des conversations banales pour obtenir des informations sensibles. Les salariés ont été répartis en deux groupes : l'un a suivi une formation traditionnelle axée sur la sensibilisation, tandis que l'autre a participé à un nouveau modèle axé sur les compétences. Au lieu d'utiliser des diapositives, le groupe de perfectionnement s'est entraîné à repérer des conversations suspectes dans des situations réalistes et a reçu des commentaires. Il s'est avéré que la formation professionnelle avait permis d'améliorer la détection et le signalement de ces cas, et que ces effets se sont maintenus pendant au moins un an.
La manière dont la formation est dispensée a son importance. Ces dernières années, les entreprises spécialisées dans la formation à la sécurité ont cherché à se démarquer en produisant des vidéos de formation plus captivantes, dotées d’une narration et d’effets spéciaux dignes d’un film de Netflix. La question de la « fréquence » est également importante, a déclaré Lance Spitzner, directeur de la formation en cybersécurité du personnel au SANS Institute.
« L'erreur la plus courante, c'est lorsque les organisations organisent une formation une fois par an et pensent que cela suffit », a-t-il déclaré. « Ça ne marche pas. »
Ce qui fonctionne, a-t-il déclaré, c'est un engagement continu. Court, simple, sur la durée. Podcasts, infographies, micro-vidéos, simulations d'hameçonnage. « Cela doit faire partie intégrante de la culture », a déclaré M. Spitzner.
« Une seule fois ne suffit pas » : les nouvelles règles relatives à la formation à la sécurité des salariés
La formation doit également refléter la réalité du travail quotidien, où les employés ont souvent des préoccupations plus urgentes que le respect de mesures de sécurité raisonnables, a averti M. Spitzner.
« J'ai un client qui reçoit entre 400 et 500 e-mails chaque semaine », a déclaré M. Vishwanath. « Lui demander de passer en revue tous ces e-mails et de repérer chaque tentative d'hameçonnage, c'est beaucoup lui demander. »
Les clics accidentels sont inévitables et ne devraient jamais donner lieu à une sanction. Dans certaines organisations, c'est le cas. Un programme efficace, rétorque M. Spitzner, favorise la transparence, considère les erreurs comme des occasions d’apprendre et fait des employés des partenaires dans la gestion de l de défense.
« Personne ne devrait être réprimandé », a-t-il déclaré. « Une grande partie de la sensibilisation à la sécurité consiste à instaurer une culture dans laquelle chacun se sent en confiance pour signaler les erreurs, le cas échéant. » « Il ne faut pas adopter une attitude punitive. »
Vous ne devez pas non plus vous contenter uniquement de la formation. Même les employés ayant fait des études peuvent passer à côté de certaines choses. Prenez par exemple ce type submergé par des centaines d'e-mails.
« Aucune formation, quelle qu’elle soit, ne permettra d’alléger cette charge », a déclaré M. Vishwanath. « Il a absolument besoin d'un soutien technique pour réduire les difficultés et la charge cognitive. »
L'aspect technique est essentiel : pourquoi la formation à la sécurité des employés ne se résume pas à une simple formation
La technologie doit aider les employés en leur fournissant des outils tels que l'authentification multifactorielle (MFA) ,, des filtres anti-spam performants et la détection des anomalies.
La formation devrait constituer l'un des maillons d'une stratégie de défense en profondeur, et non son fondement, a-t-il déclaré. Les systèmes doivent être conçus en tenant compte de la faillibilité humaine. Il ne faut pas partir du principe que les employés repéreront toujours la menace, mais plutôt que certains ne la verront pas et que le système limitera les dégâts.
Cette exigence en matière de conception n'a fait que s'accentuer avec l'essor de l'IA générative . Les e-mails de hameçonnage sont désormais rédigés dans un langage fluide, convaincants et peu coûteux à produire en grande quantité. Les attaques se tournent également vers de nouveaux canaux : SMS, appels téléphoniques (, hameçonnage vocal, également appelé « vishing »), voire des voix « deepfake » se faisant passer pour les collègues et les supérieurs hiérarchiques d’un employé.
Le problème lié au Mois de la sensibilisation à la cybersécurité
Qu'en est-il donc du Mois de la sensibilisation à la cybersécurité ? En soi, cette célébration annuelle risque de renforcer la mentalité consistant à se contenter de cocher des cases. On ressort les modules de formation, on met à jour les registres de conformité, et les organisations se rassurent en se disant qu'elles sont désormais mieux protégées. Puis, dès novembre, tout revient à la normale, et la formation à la sécurité ne fait l'objet d'aucun examen approfondi pendant un an.
«L'erreur la plus courante est celle des organisations qui organisent une formation une fois par an et pensent en avoir fini. » Cela ne fonctionne pas. »Lance Spitzner, directeur chargé de la formation en cybersécurité du personnel, SANS Institute
Cette routine ne suffit plus. Les chercheurs préconisent de plus en plus que la formation soit remplacée ou complétée par des approches axées sur les compétences, dispensées de manière continue tout au long de l'année. Ce rappel, organisé toutes les quelques semaines ou tous les quelques mois, permettra aux collaborateurs de s'exercer, de recevoir des retours d'expérience et de consolider leurs acquis. Ils estiment qu'elle doit être continue, dispensée par petites doses et intégrée aux processus de travail quotidiens. Il convient d'encourager les salariés à signaler leurs erreurs, et non de les sanctionner pour celles-ci. Les organisations devraient trouver un équilibre entre la formation du personnel et le renforcement des protections systémiques.
« Ce changement ne se produira que lorsque les cadres réglementaires évolueront », a déclaré M. Vishwanath.
« Tant que le NIST recommandera aux gens de suivre des formations de sensibilisation au hameçonnage, les RSSI continueront à y adhérer », a-t-il déclaré. « C’est plus facile de suivre la liste de contrôle. »
Pour être tout à fait juste envers le NIST, il n'y a rien de mal à utiliser une liste de contrôle en soi. Selon les experts, le véritable défi consiste à s'affranchir de cette mentalité axée sur les listes de contrôle « » et à considérer la sécurité comme une pratique évolutive.
« Une bonne formation est un processus continu. » « C'est une question de culture », a déclaré M. Spitzner. « Ce n’est pas une question de perfection. « Il s'agit de s'améliorer. »
