Les grands piratages attirent toute l’attention. L’été dernier, c’était Barack Obama, Joe Biden, Elon Musk et Bill Gates. Les pirates informatiques ont saisi le contrôle de leurs comptes Twitter et ont fini par compenser plus de 100 000 USD dans une escroquerie, en se faisant passer pour ces chiffres publics et en sollicitant de l’argent auprès d’autres utilisateurs de Twitter.
Faites les gros titres sur ce braquage high-tech et il s’avère que c’est un con de très vieille école. L’un des pirates aurait utilisé l’ ingénierie sociale pour tromper un employé du service informatique de Twitter en lui remettant les informations de connexion pour accéder au portail principal du service client de l’entreprise.
De telles attaques d’ingénierie sociale tirent parti de la culpabilité humaine. Comme les scènes d’un film d’Ocean , les pirates informatiques demandent de l’aide à suffisamment d’employés peu méfiants, ce qui les oblige à partager des informations sensibles de l’entreprise. C’est un jeu de chiffres. Il y a de fortes chances que quelqu’un finisse par se conformer.
C’est en partie pourquoi près de 55 % des chefs d’entreprise dans une enquête récente ont déclaré qu’ils considéraient les employés comme leur plus grande menace de sécurité, encore plus que les pirates eux-mêmes (29 %) et bien plus que les initiés malveillants (20 %). Il ne s’agit pas de statistiques insignifiantes. Les entreprises savent que les employés peuvent être imprudents, facilement trompés et parfois hostiles. C’est un problème de plus en plus difficile, en particulier à l’ère de la COVID-19, et de nombreuses organisations, voire la plupart, ne savent pas comment le surmonter.
Avec un tiers des travailleurs américains qui travaillent toujours à distance, et avec des cyberattaques et des enquêtes spectaculaires, les experts affirment que la manière la plus efficace de protéger les organisations est de traiter les risques des employés en les impliquant dans les efforts de cybersécurité, les transformant en militants pour la cause.
« Cela doit être le point de départ », déclare Lance Spitzner, directrice et formatrice en cybersécurité pour le SANS Institute de Chicago. « Déterminez les comportements humains et les risques que vous devez gérer, puis identifiez ceux à hiérarchiser. »
Ce ne sera pas facile. Il faut un engagement culturel pour créer un changement et inciter les dirigeants de la salle du conseil d’administration aux bureaux extérieurs à montrer leur volonté de participer. Il faut investir dans les outils et la technologie pour permettre aux employés de faire mieux. Et cela nécessite un certain type de formation. Ce n’est pas le rythme constant des cours de formation sur la sécurité ou la participation forcée ennuyeuse. Il faut une formation en sécurité gamifiée qui maintient l’engagement des travailleurs et les inclut dans le processus.
« Déterminez les comportements humains et les risques que vous devez gérer, puis identifiez ceux qui doivent être prioritaires. »Lance Spitzner, directrice et formatrice en cybersécurité pour SANS Institute
« Vous devez également consacrer un responsable à temps plein à la sensibilisation et à la formation à la cybersécurité », déclare Spitzner. « Quelqu’un qui est un bon communicateur et qui aime travailler avec les gens. Vous avez besoin d’une personne qui puisse rendre le sujet complexe accessible à tous. »
Après avoir élaboré un plan solide et nommé un leader et une équipe solides pour l’exécuter, les experts conseillent de se concentrer sur trois domaines clés : créer une culture de cybersécurité, stimuler la formation et la sensibilisation, et générer l’engagement des employés grâce à de meilleures expériences de cybersécurité.
Créer des champions de la sécurité
Avec une culture de cybersécurité en place, la réduction des risques humains a tendance à progresser plus naturellement. En effet, la sensibilisation et les comportements en matière de sécurité deviennent rapidement un élément transparent des opérations quotidiennes.
Selon Spitzner, l’une des habitudes les plus importantes, mais les moins pratiques, que les organisations doivent adopter est de former et de sensibiliser en permanence. Ils doivent essayer d’atteindre un rythme d’activité constant pour promouvoir une bonne hygiène de cybersécurité. La confusion peut aider : les organisations plus actives et plus prospères intercalent les programmes éducatifs avec des campagnes créatives, explique-t-il.
Par exemple, l’équipe de formation à la sécurité d’un fabricant multinational de boissons travaille avec les responsables régionaux des communications, du marketing et des ventes de l’entreprise pour personnaliser les récits de cybersécurité en fonction des besoins locaux. Il s’agit notamment des pratiques culturelles et des incidents de cybersécurité. Par conséquent, si une région particulière avait une série d’attaques d’hameçonnage essayant de tromper les employés en cliquant sur des liens liés à des vacances culturelles imminentes, l’équipe de sensibilisation à la sécurité pourrait passer plus de temps à fournir des communications numériques pour aider les employés à reconnaître et à contrer ces attaques.
En outre, la société de boissons intronise des « champions » (ou des défenseurs des employés) sur chaque territoire pour encourager ses près de 30 000 employés mondiaux à participer à des programmes de cybersécurité. Selon les champions, les experts en sécurité comme Spitzner, ont tendance à être l’un des outils les plus rentables de la ceinture d’une entreprise, et ils jouissent d’une crédibilité considérable auprès de leurs collègues. Il s’agit notamment de campagnes de formation et de sensibilisation à la sécurité basées sur des activités amusantes, telles que des jeux virtuels et des défis où les employés peuvent répondre à un questionnaire sur les meilleures pratiques de cybersécurité pour avoir la chance de gagner un prix modeste. La société de boissons a constaté que l’ajout de prix pour ses propres produits entraînait une augmentation exponentielle du nombre de réponses au jeu.
Chez le plus grand assureur de Suisse, Zurich Insurance Group, Janet Roberts est responsable mondiale du programme d’éducation et de sensibilisation à la sécurité de la société. Elle offre également à ses employés un régime régulier d’exercices de gamification, d’apprentissage en ligne, de conseils et de courtes vidéos interactives. Cela a été un succès, car l’équipe de Roberts n’en fait pas trop. Ils fournissent des informations dans des morsels rapides et de petite taille au lieu de forcer les gens à suivre des sessions de formation d’une heure.
« Les gens ignorent les informations ; ils ne prennent pas toujours le temps de les lire entièrement », déclare Roberts. « C’est encore plus vrai maintenant, car de plus en plus de personnes travaillent à distance et ont des enfants, des chiens et toutes ces autres distractions. Vous devez donc vous assurer que vous avez 30 secondes à une minute pour leur transmettre un concept. Vous ne pouvez pas penser que parce qu’ils sont assis à la maison, ils ont toutes sortes de temps. Vos informations doivent être rapides et faciles à utiliser. »
Puis entraînez-vous à nouveau
Trop d’organisations font le contraire : elles submergent les employés d’informations techniques et non séquentielles. « L’une des erreurs les plus courantes commises par les professionnels de la sécurité est d’inonder les employés d’informations », déclare Spitzner. « Les employés trouvent déjà la sécurité déroutante, intimidante et effrayante. Donc, à un moment donné, l’employé abandonne, décide qu’il ne s’en soucie pas ou cesse d’écouter. La réalité de notre travail est que nous devons rendre la sécurité aussi simple que possible. »
Pour ce faire, il suggère des extraits d’informations ciblés et digestibles sur des sujets clés et percutants plutôt que de faire bouillir l’océan. Une micro-vidéo de formation, par exemple, sur la manière de contrer la menace croissante des rançongiciels. Ou un quiz amusant sur les moyens de repérer une tentative d’hameçonnage avancée.
« Nous appliquons des correctifs aux ordinateurs tous les mois. Nous devons également corriger les personnes pour maintenir à jour leurs intérêts et habitudes en matière de cybersécurité. »Lance Spitzner, directrice et formatrice en cybersécurité pour SANS Institute
« La chose clé à retenir est que vous souhaitez faire ces choses en continu tout au long de l’année », dit-il. « Ne leur enseignez pas une seule fois et oubliez-les. Nous appliquons des correctifs aux ordinateurs tous les mois. Nous devons également corriger les personnes pour maintenir leur intérêt et leurs habitudes en matière de cybersécurité à jour. »
S’engager grâce à l’expérience
Une autre façon de maintenir l’engagement des employés dans la cybersécurité est d’en faire une expérience positive, plutôt que négative. Frank Dickson, analyste en cybersécurité chez IDC, déclare que de nombreuses entreprises adoptent toujours une approche autoritaire de la cybersécurité. Ils posent la loi sur la politique et la procédure. Ils soulignent que les contrevenants peuvent être punis, voire licenciés. Cela ne crée qu’une relation contradictoire avec les travailleurs qui, de nos jours, ont assez de stress sur leurs assiettes.
« Certaines entreprises se contentent de pirater les gens avec un bâton où, si elles font quelque chose de mal, elles peuvent être obligées de suivre un cours de formation de deux heures sur les rançongiciels ou elles reçoivent des avertissements de spam chaque jour leur rappelant de ne pas répéter ce comportement », déclare Dickson. « Ce que les entreprises doivent garder à l’esprit, c’est qu’elles créent des relations contradictoires avec des personnes qui pourraient être des travailleurs de première ligne et avoir un impact direct sur les revenus. Les cocher n’est pas la solution. »
Roberts est d’accord. « Nous formons et éduquons pour sensibiliser les employés, pour les aider à apprendre afin qu’ils se sentent en confiance pour être une ambassadrice de l’entreprise et des championnes de la sécurité pour nous », déclare-t-elle. « Nous voulons qu’ils participent et qu’ils n’aient pas peur de ce que nous faisons. »
Une façon d’encourager la participation, note Dickson, est de donner aux employés des appareils qui leur fourniront des expériences utilisateur riches, qu’il s’agisse d’ordinateurs portables, de smartphones, de tablettes, de PC ou d’imprimantes. Essayer d’économiser 200 USD sur un ordinateur portable fourni par l’entreprise qui est trop petit pour une utilisation quotidienne encourage uniquement les employés à utiliser leurs appareils personnels, contournant ainsi les mesures de sécurité de l’entreprise.
Une telle attention portée à l’expérience utilisateur, explique Dickson, ne devrait pas être une réflexion après coup, comme c’est le cas dans de nombreuses entreprises. Si les employeurs souhaitent que les employés effectuent leur travail en toute sécurité, les entreprises doivent les activer en toute sécurité avec des appareils et des applications qui les rendent également plus productifs, explique-t-il.
De même, les entreprises peuvent fournir aux employés un accès facile et sécurisé à leurs réseaux d’entreprise. Bien que les noms d’utilisateur et les mots de passe ne soient pas des mécanismes de sécurité efficaces depuis des années, les entreprises continuent de s’y accrocher, exigeant que les employés les mettent à jour tous les 90 jours. En attendant, les réseaux privés virtuels (VPN) continuent de frustrer les travailleurs. Il s’agit de la deuxième raison la plus fréquente (après la récupération du mot de passe) pour laquelle les employés à distance recherchent une assistance informatique, explique Dickson.
Il y a de meilleures alternatives à envisager pour rendre la cybersécurité moins obstruante, note-t-il. Cela inclut l’authentification multifacteur, l’authentification unique, l’ authentification biométrique sans mot de passe et les solutions de gestion des endpoints .
« Si vous souhaitez vraiment impliquer les employés et les transformer en défenseurs de la cybersécurité, vous devez vous assurer qu’ils voient les avantages pour eux », déclare Dickson. « La façon dont vous faites cela est de vous assurer qu’ils ont toujours une expérience utilisateur positive, afin qu’ils voudront participer. »
