Face aux cyberattaques provenant de toutes parts — États-nations, hacktivistes, groupes criminels —, les organisations doivent utiliser tous les outils à leur disposition pour se protéger à la suite de l'invasion russe de l'Ukraine. Cela inclut leur personnel.
Même si les organisations disposent d’outils valant des millions de dollars, il suffit parfois qu’une seule personne clique sur un lien ou utilise un appareil non mis à jour pour que tout leur système tombe en panne.
C'est ainsi qu'en Arizona, nous avons opéré un changement radical.
Le vieil adage reste d'actualité : mieux vaut prévenir que guérir. Lorsque j'ai contribué à définir la stratégie de cybersécurité de l'État de l'Arizona, l'une des premières mesures prises par l'État a consisté à dispenser chaque année à l'ensemble des fonctionnaires de l'État une formation en cybersécurité, portant sur les notions fondamentales et la sensibilisation à ce sujet.
Ils ont appris les principes fondamentaux d'une bonne hygiène de sécurité informatique . On leur a appris à réfléchir avant de cliquer sur un lien inconnu. Ils ont appris comment éviter de devenir la prochaine victime d'une attaque de hameçonnage de type « » .
Grâce à ce type de préparation, nous avons porté les effectifs de notre équipe de sécurité à l'ensemble des 36 000 fonctionnaires de l'État. Ils faisaient tous partie de l'équipe chargée de la cybersécurité. Ils étaient tous chargés d'assurer la protection contre les cyberattaques.
Élargir la notion de sécurité
En Arizona, la sécurité imprégnait l'ensemble de la culture du gouvernement de l'État . Nous ne voulions plus que l'équipe de sécurité soit ce groupe si secret qui travaillait à huis clos. Nous souhaitions que les fonctionnaires comprennent que nous étions leurs partenaires.
«La sécurité imprégnait toute la culture administrative de l’État. » « Nous ne voulions plus que l'équipe de sécurité soit ce groupe si secret. »
Si jamais ils avaient une question, nous voulions être le premier service auquel les employés penseraient à s'adresser. Même s'ils hésitaient à signaler un incident, nous examinions tout élément suspect et veillions à ce que les employés ne mettent pas l'ensemble du réseau en danger.
L'Arizona n'est pas le seul État à agir ainsi. Je constate que d'autres États commencent eux aussi à mettre en place une formation complète à la cybersécurité pour l'ensemble de leur personnel.
La force d'une organisation dépend de son maillon le plus faible. Que l'on développe une application, que l'on gère la paie ou que l'on rédige
un contrat, il faut toujours garder à l'esprit les raisons pour lesquelles on pourrait être la
cible d'une attaque. Ils doivent savoir comment des personnes mal intentionnées pourraient tenter de les exploiter.
La formation des salariés contribue à renforcer la sécurité au sein des organisations
En Arizona, les formations à la cybersécurité sont devenues aussi courantes que les formations contre le harcèlement. Nous avons également vérifié si les participants avaient suivi la formation jusqu'au bout. Et s'ils ne le faisaient pas, ils risquaient d'être déconnectés du réseau. C'est dire à quel point c'était important.
«[Cela] est remonté jusqu’au niveau de la direction. » Si les personnes concernées ne suivaient pas cette formation, leur accès et leurs droits d'accès pourraient leur être retirés. »
Et cela s'est répercuté jusqu'au niveau de la direction. Même si une personne était très occupée et occupait un poste important, la cybersécurité revêtait également une grande importance. Si les personnes concernées ne suivaient pas la formation, leur accès et leurs droits d'accès pourraient
leur être retirés.
Plutôt que de nous limiter à une simple formation annuelle, nous avons également examiné différentes façons de diffuser ces mêmes messages. Par exemple, nous avons fourni de courtes vidéos pouvant être diffusées lors d'un événement d'équipe.
En fin de compte, nous avons compris que la formation à la cybersécurité ne doit pas se limiter à une solution ponctuelle. Il doit être conçu de manière à ce que la sécurité soit une priorité absolue pour tout le monde, à tout moment.
