Les fuites de données causées par des initiés se sont considérablement aggravées pendant la pandémie, alors que presque tout le monde travaillait depuis son domicile dans des conditions de sécurité moindre. Aujourd'hui, alors qu'une économie en difficulté entraîne des licenciements massifs, les entreprises pourraient être confrontées à une menace encore plus grave : celle que d'anciens salariés conservent des mots de passe et des données sensibles d' , ou — pire encore — lancent des cyberattaques contre leurs anciens employeurs.
Les licenciements récents, notamment dans le secteur des hautes technologies, sont stupéfiants : Alphabet, la société mère de Google, a supprimé 12 000 postes ; Amazon en a supprimé 18 000 ; Dell en a supprimé 6 650 ; IBM en a supprimé 3 900 ; Microsoft en a supprimé 10 000 ; et SAP a licencié 2 800 personnes.
« Nous n’avons pas connu de vagues de licenciements d’une telle ampleur depuis la fin de la Grande Récession, vers 2009 », déclare John Dooney, conseiller en expertise au sein de la Society for Human Resource Management (SHRM). « Il sera intéressant de voir comment les employeurs géreront les menaces ou les problèmes découlant de ces licenciements. »
Ce n'est pas comme si chaque salarié licencié était suffisamment en colère pour conserver ses mots de passe ou des données de l'entreprise dans le cadre d'un plan malveillant visant à se venger ultérieurement. En réalité, la plupart des salariés licenciés trouvent rapidement et discrètement un nouvel emploi. Et dans le secteur des hautes technologies, près d' , soit quatre sur 10, ont réussi à trouver un nouvel emploi dans le mois qui a suivi le début de leurs recherches, selon une récente enquête menée par ZipRecruiter.
Cela dit, les entreprises s'exposent à de graves conséquences lorsqu'elles procèdent à des licenciements si elles n'ont pas placé la cybersécurité au cœur de leurs plans et pratiques d'intégration et de départ des collaborateurs.
« L’une des plus grandes erreurs commises par de nombreuses entreprises en matière de RH [ressources humaines] est de ne pas tenir compte des implications en matière de cybersécurité liées au recrutement et au licenciement de collaborateurs, jusqu’à ce qu’il soit trop tard », affirme Kyle Dewar, directeur de la gestion technique des comptes chez Tanium. « Le plus souvent, les salariés emportent simplement des documents sans grande importance, comme des modèles ou des présentations, qu’ils aimeraient utiliser dans le cadre de leur prochain emploi. » Mais il suffit d’un seul voleur vendant des droits de propriété intellectuelle [PI] ou d’un ancien salarié mécontent qui pirate le réseau d’une entreprise pour nuire à celle-ci. « Malheureusement, avec les licenciements collectifs auxquels nous assistons ces derniers temps, cela arrive de plus en plus souvent. »
En effet, environ un tiers des employeurs disposant de plans de départ inefficaces déclarent avoir été confrontés, au cours de l’année écoulée, à des cas d’anciens salariés ayant emporté des données confidentielles (29 %), piraté leurs réseaux (28 %) ou piraté les systèmes d’administration de leurs sites web (32 %), comme l’a révélé une enquête menée par « » et « Beyond Identity » (s’ouvre dans un nouvel onglet) . Un quart de ces entreprises ont subi une atteinte à leur réputation à la suite de cela.
Pour éviter de telles difficultés, les experts recommandent de définir les droits d'accès dont bénéficieront les employés aux données et aux ressources du réseau pendant la durée de leur contrat, les modalités de contrôle et d'application de ces droits, ainsi que les dispositions applicables en cas de cessation d'emploi.
Pour garantir la sécurité des tirs, il faut commencer par recruter judicieusement
La première étape consiste, pour les responsables des ressources humaines et de l'informatique, à établir des politiques d'utilisation acceptable (AUP) dans le cadre de l'ensemble des documents d'intégration que les nouveaux collaborateurs signent avant de prendre leurs fonctions, conseille Rajan Koo, directeur de la relation client et responsable du programme i3 chez DTEX Systems, une entreprise spécialisée dans la gestion des menaces internes. En acceptant légalement les conditions d'utilisation (AUP), les employés s'engagent à respecter les règles relatives à l'utilisation sécurisée des ordinateurs et des ressources réseau de l'entreprise. Ils reconnaissent également qu’ils savent que leur employeur pourrait surveiller de manière anonyme leur activité en ligne pendant leurs heures de travail, dans le cadre des mesures visant à identifier tout comportement numérique suspect ou malveillant.
«L’une des plus grandes erreurs commises par les entreprises en matière de ressources humaines est de ne pas tenir compte des implications en matière de cybersécurité liées au recrutement et au licenciement de collaborateurs, jusqu’à ce qu’il soit trop tard. »Kyle Dewar, directeur de la gestion technique des comptes chez Tanium
Koo précise que rien de tout cela ne doit être communiqué de manière froide ou autoritaire. Les dirigeants devraient plutôt expliquer en toute sincérité que, même si l'entreprise fait confiance à ses collaborateurs, elle se doit néanmoins de tout mettre en œuvre pour protéger les données financières et les dossiers clients confidentiels, pour des raisons juridiques et réglementaires. « S'il est bien transmis, ce message peut favoriser le respect des règles tout en dissuadant les comportements inappropriés, même après un licenciement », ajoute M. Koo.
Les entreprises ne devraient pas prétendre surveiller l'activité si ce n'est pas le cas. Les employés ne sont pas stupides ; ils finiront par se rendre compte que personne ne les surveille et pourraient alors se sentir libres de détourner des données de l'entreprise sans autorisation, surtout s'ils envisagent de démissionner ou s'ils pressentent des licenciements imminents.
[Lire aussi : Pourquoi les employés enfreignent les politiques de cybersécurité]
En effet, une enquête menée par Cyberhaven et publiée sur révèle que les employés sont 68,7 % plus susceptibles de détourner des données ou des mots de passe avant de démissionner. De même, l'enquête a révélé que les salariés licenciés ont 23,1 % plus de chances de soustraire des données la veille de leur licenciement et 109,3 % plus de chances de le faire le jour même de leur licenciement.
Détecter les risques liés aux initiés
Selon les experts, les entreprises devraient se méfier de ce type d'activités, car celles-ci pourraient indiquer qu'un salarié est en train de voler des secrets d'affaires.
Exemple concret : Anthony Levandowski, ingénieur spécialisé dans les véhicules autonomes, condamné (puis gracié par l’ ), qui a quitté Google il y a plusieurs années pour créer sa propre entreprise, Otto (rachetée par la suite par Uber), et qui a été accusé d’avoir emporté avec lui des fichiers confidentiels d’ s sur les voitures autonomes . Un comportement numérique inhabituel pourrait également indiquer que des salariés téléchargent les coordonnées des clients pour développer leurs propres activités. Ou bien cela pourrait indiquer qu' des employés désabusés accumulent des mots de passe afin d'espionner les communications internes, de détruire des informations de l'entreprise ou de lancer des cyberattaques à l'avenir.
Il existe de nombreux outils d' , de visibilité en temps réel, de contrôle et de correction destinés à aider les entreprises à surveiller et à lutter contre ce type d'activité numérique. Par exemple, certaines solutions de sécurité des terminaux proposées par permettent de protéger les entreprises contre les menaces internes (ou celles provenant de personnes sur le point de quitter l'entreprise) et les attaques « zero-day ». Ils permettent également d'identifier et de combler les failles de sécurité qui auraient pu, autrement, passer inaperçues. De plus, certains de ces produits génèrent des pistes d'audit permettant de retracer le parcours des données volées, en particulier celles relevant de la propriété intellectuelle.
[Read also: The top cybersecurity trends for 2023]
« C'est important car de nombreuses entreprises ne se rendent compte qu'elles ont perdu des droits de propriété intellectuelle que bien des années plus tard, lorsque ceux-ci se retrouvent intégrés dans le produit d'un concurrent sous forme d'offre commerciale », explique M. Koo. « Une piste d'audit vous permet de remonter dans le temps et de voir quelles données ont été transférées, d'où elles provenaient, qui y a eu accès et où elles ont été envoyées. »
Se préparer pour le « Jour J »
Selon les experts, l'idéal serait que, lorsque des salariés démissionnent ou reçoivent leur lettre de licenciement, des processus d'intégration et de départ bien pensés aident les entreprises à limiter les pertes de données ou les actes de piratage. Il reste toutefois plusieurs mesures à prendre le jour du départ, ou « jour J », afin de réduire au minimum les risques à long terme.
«Permettre aux employés de conserver certains éléments sur lesquels ils ont travaillé peut leur apporter un certain soulagement et une consolation au moment de leur départ. »John Dooney, conseiller en gestion des connaissances, Society for Human Resource Management
L'un des aspects les plus importants — et les plus négligés — est le suivant : la compassion compte. Veillez à ce que les salariés soient informés de leur licenciement en premier lieu par des personnes faisant preuve d'empathie, plutôt que par un message électronique, en leur coupant l'accès au réseau sans explication ou en les laissant découvrir leur sort dans la presse. Un tel comportement insensible de la part d’ pourrait inciter certains anciens employés lésés à voler des actifs numériques ou à lancer de futures cyberattaques.
Dans un récent article de blog, Catherine Marinis-Yaqub, directrice chez Control Risks Crisis and Security Consulting, recommande aux entreprises de prendre également quelques autres précautions, notamment :
- Bloquer tout accès aux ressources numériques de l'entreprise, notamment aux boîtes mail, aux applications, à , aux services cloud, au réseau de l'entreprise et à toute autre source de données, ainsi qu'aux appareils mobiles appartenant à l'entreprise. Là encore, cela devrait coïncider avec le moment où les salariés sont informés de leur licenciement, ou avoir lieu immédiatement après.
- Récupérer l'ensemble des appareils, équipements et biens fournis par l'entreprise et remis aux salariés, tels que les ordinateurs portables, les disques durs, les clés USB, les téléphones portables, les cartes de crédit d'entreprise, les badges, les cartes d'accès et les cartes de stationnement.
- Suppression des données de l'entreprise sur les appareils électroniques appartenant aux salariés.
- « Il convient de mener un entretien de départ en présence d’un responsable de la sécurité ou de la gestion des risques afin d’« aborder les risques liés au départ des collaborateurs pour l’organisation et de rappeler à ces derniers leur obligation de protéger les les actifs critiques de l’entreprise, ainsi que leurs clauses de non-concurrence », suggère Mme Marinis-Yaqub. Si cela ne peut pas se faire en direct, précise-t-elle, les entreprises devraient aborder ces points essentiels dans les communications écrites adressées à leurs salariés.
- Mettre en place des mesures de sécurité supplémentaires sur les sites physiques lorsque des salariés sur le point de quitter l'entreprise sont attendus sur place pour leurs derniers jours de travail, et éventuellement les accompagner hors du site afin d'éviter tout préjudice aux personnes, aux données ou aux installations.
Sur ce dernier point, M. Dooney, de la SHRM, estime que les équipes des ressources humaines devraient atténuer le traumatisme psychologique lié au fait d'être escorté hors des locaux.
« Les employeurs peuvent se montrer serviables et rassurants en indiquant à leurs salariés qu’ils auront le temps de revenir chercher leurs effets personnels et les documents que l’entreprise les autorise à conserver », explique-t-il. « Évidemment, il ne s’agira pas des coordonnées des clients ni de rien de ce genre. » « Mais le fait de permettre aux salariés de conserver certains éléments sur lesquels ils ont travaillé peut leur apporter un peu de réconfort et de consolation au moment de leur départ. »
