Ce ne sont pas le genre de commentaires auxquels on s'attendrait de la part des employés à propos d'une vidéo de formation obligatoire sur la sensibilisation à la sécurité.
« C'est amusant et passionnant !!! »
« Une narration remarquable. »
« Intense. »
Les commentaires élogieux ont afflué à propos d'une série de films produite par Living Security, l'un des principaux créateurs de contenus consacrés à la gestion des risques liés aux personnes. «Born Secure : Training Grounds », qui s’apparente davantage à la franchise « Bourne » qu’à un tutoriel d’entreprise ennuyeux, suit les aventures de Jacob Webb, un simple employé de bureau devenu cyber-agent d’élite, recruté à la manière de « Matrix »par une équipe de super-hackers éthiques opérant dans l’ombre. Dans la bande-annonce de la série, sur fond de musique inquiétante, on voit Jacob jeter un regard méfiant vers une caméra de surveillance. Quelqu’un court, une chaise se renverse, des drones vrombissent au-dessus de leurs têtes, et Jacob jaillit d’une porte de sécurité pour se retrouver ébloui par le soleil.
On est bien loin de ces présentations PowerPoint ennuyeuses à mourir qui ont davantage tendance à faire lever les yeux au ciel qu’à entraîner de réels changements dans les comportements au bureau.
Selon , 97 % des organisations, , la sensibilisation à la sécurité et la formation reposent trop souvent sur des contenus utilisés pour le simple plaisir de les présenter, et cette méthode ne fonctionne pas, affirme Drew Rose, fondateur, directeur de la sécurité (CSO) et responsable du développement stratégique chez Living Security. « C'était juste pour cocher une case », explique Rose. L'employé a réalisé la mission, mais son intervention s'est limitée à cela. Non seulement ces sessions menées sans conviction sont ennuyeuses — et donc inefficaces, selon les analystes —, mais elles ne s'appuient pas non plus sur des indicateurs permettant de déterminer si les participants ont réellement appris quelque chose.
« L’apprentissage et le développement sont particulièrement efficaces lorsqu’ils s’appuient sur des simulations de crise continues, captivantes et ancrées dans la réalité », explique Bec McKeown, directrice des sciences humaines chez Immersive Labs, un centre de formation basé au Royaume-Uni et disposant de bureaux à Boston, qui évalue et mesure les capacités en matière de cybersécurité ainsi que la résilience du personnel.
L'objectif est que, en rendant ces contenus pédagogiques ludiques et interactifs, les employeurs incitent leurs collaborateurs à discuter de la session de formation lors de leurs pauses-café et les encouragent à prendre la cybersécurité plus au sérieux.
Les êtres humains constituent le maillon faible
Il est depuis longtemps admis que les êtres humains constituent le maillon faible de la cyberdéfense d’une organisation, mais une formation adaptée peut contribuer à remédier à cette situation : en renforçant la sensibilisation et la vigilance face aux risques potentiels, en améliorant le moral et en permettant aux collaborateurs de mieux comprendre le rôle qu’ils jouent dans la stratégie globale de cybersécurité de leur organisation.
«L’apprentissage et le développement sont particulièrement efficaces lorsqu’ils s’appuient sur des simulations de crise continues, captivantes et ancrées dans la réalité. »Bec McKeown, directrice des sciences humaines chez Immersive Labs
« Les entreprises prennent de plus en plus conscience que leurs outils et leurs technologies ne suffisent plus à garantir leur résilience ; les compétences des individus et des équipes sont tout aussi importantes », déclare le Dr John Blythe, psychologue agréé et directeur du département de psychologie des professionnels de la cybersécurité chez Immersive Labs. « De nombreux employés se lassent des présentations ennuyeuses, tandis que d’autres sont épuisés par ces formations en ligne sans intérêt qu’ils parcourent en cliquant, sans rien retenir malgré des heures de cours. »
Et le problème, semble-t-il, commence plus tôt que vous ne le pensez.
Les employés sont souvent réticents à l'idée de suivre des formations de sensibilisation à la sécurité avant même d'avoir assisté à ces présentations rébarbatives et à ces cours en ligne. Tout commence par le fossé qui sépare les collaborateurs issus du secteur technologique de ceux qui ne le sont pas au sein de l'entreprise.
Rose admet que certains acteurs du monde de la technologie ont tendance à considérer leurs collègues non issus de ce milieu comme moins avertis et moins informés. Si les collaborateurs non spécialisés dans l'informatique ne se sentent pas respectés, ils seront moins enclins à faire appel aux équipes informatiques et de sécurité en cas de problème.
Les experts estiment que, les utilisateurs finaux ayant un impact considérable sur les risques de l'entreprise, il convient de redoubler d'efforts pour renforcer les liens entre les équipes techniques et non techniques. Dans cette optique, les dirigeants d'entreprise se tournent vers des techniques telles que la gamification et les concours offrant des lots très attractifs, afin de rapprocher les deux parties, d'améliorer la communication et, à long terme, de mieux maîtriser les risques.
Ces dirigeants examinent également le contenu de leurs formations d'un œil plus critique, délaissant les présentations PowerPoint au profit de contenus qui auraient davantage leur place sur, disons, Netflix.
Allons au cinéma !
Selon Perry Carpenter, évangéliste en chef et directeur de la stratégie chez KnowBe4’s , les vidéos de formation à la sensibilisation à la sécurité ont un double objectif. Les responsables de la sécurité ont besoin d'un produit qui renforce les liens entre leur équipe et les employés, ce qui passe par le fait de montrer aux collaborateurs que vous vous souciez de leurs intérêts. Vous souhaitez également établir un lien avec eux sur le plan humain et émotionnel, car cela vous permet d'améliorer les chances de meilleure mémorisation des informations.
«Nous avons entendu parler d’employés qui changent d’emploi mais qui s’abonnent chez nous uniquement pour pouvoir continuer à suivre les épisodes. »Perry Carpenter, responsable de la promotion et de la stratégie, KnowBe4
Afin de créer de meilleurs supports de sensibilisation à la sécurité, des entreprises spécialisées dans ce domaine, telles que KnowBe4 et Living Security, se sont intéressées à la manière dont les employés occupent leur temps libre et au type de contenus qu’ils consultent. Spoiler : Les gens aiment regarder des films et dévorer des séries télévisées. Il n'y avait aucune raison pour que les films de formation à la sensibilisation à la sécurité ne puissent pas reproduire ce même type de divertissement.
S'inspirant de séries telles que « » de Showtime (Homeland ) et « 24 » de Fox (), KnowBe4 a développé « The Inside Man », une série de plusieurs saisons qui adopte un format épisodique classique, avec des personnages récurrents et des intrigues articulées autour de différents risques liés à la sécurité. La saison 4 a mis en scène une attaque par ransomware contre une entreprise internationale d'énergie ainsi que les déboires d'un influenceur mondial victime d'un deepfake. La bande-annonce de « » pour la saison 5 a été dévoilée en janvier.
Ninjio, une entreprise spécialisée dans la formation à la sécurité et basée à Westlake Village, en Californie, a opté pour l'animation. Cette société produit des vidéos d' , d'une durée de trois à quatre minutes et de style anime, disponibles sur , abordant des sujets aussi variés que les attaques par usurpation de compte professionnel ou encore la protection des mots de passe. Ces vidéos sont écrites par des scénaristes hollywoodiens ayant à leur actif des séries telles que « CSI : NY » et « Hawaii Five-0 » .
[Read also: The top cybersecurity trends for 2023]
Les vidéos de Living Security, quant à elles, ont de quoi plaire à presque tout le monde. Vous aimez les émissions de téléréalité ? Dans ce cas, vous aimerez peut-être «The Cyber Race, », un hommage à la série à succès primée aux Emmy Awards Amazing Race, dans laquelle des duos de globe-trotters partent à la recherche d’indices et relèvent des défis liés à l’identité numérique, au hameçonnage et à d’autres questions de sécurité. Les passionnés d’émissions culinaires pourront s’initier à la cybersécurité tout en préparant de nouvelles recettes grâce à «Cyber Kitchen ». On y trouve également des parodies d’émissions de fin de soirée, de films à succès, de sitcoms, ainsi qu’un documentaire de type « true crime » d’une crédibilité troublante, intitulé « » ( ), qui enseigne aux téléspectateurs les signes permettant de repérer les menaces internes .
Une formation à la sensibilisation à la sécurité commence par une bonne histoire
Les experts en comportement organisationnel ne cessent de vanter depuis longtemps le pouvoir de la narration comme moyen efficace de mobiliser les parties prenantes. Les psychologues ont constaté que les enseignements intégrés dans une histoire bien racontée sont retenus plus longtemps et avec plus de précision que ceux tirés de faits et de chiffres. Par ailleurs, des chercheurs de l'université Johns Hopkins ont récemment mis en avant le récit comme moyen d'inciter les patients atteints de cancer, de diabète et d'hypertension à modifier leur comportement.
«La formation à la sensibilisation passe d’un modèle axé sur la question « Qu’est-ce que la sécurité ? » à un modèle axé sur la question « Pourquoi la sécurité est-elle importante ? ». »Drew Rose, fondateur, directeur de la sécurité (CSO) et responsable du développement stratégique chez Living Security
Selon ses défenseurs, si ce film de formation cinématographique est efficace, c'est parce que les utilisateurs ne le considèrent pas comme une perte de temps. C'est l'occasion de regarder quelque chose dans le cadre de votre travail qui soit divertissant. Les téléspectateurs pourraient même s'y attacher.
« Nous recevons des e-mails d’équipes de sécurité nous indiquant que leurs collaborateurs réclament le prochain épisode ou la prochaine saison », explique KnowBe4’s Carpenter. « Nous avons entendu parler d’employés qui changent de travail mais qui s’abonnent chez nous uniquement pour pouvoir continuer à suivre les épisodes. »
Mme Rose, de Living Security, considère le passage aux films cinématographiques comme une évolution logique dans le domaine de la formation à la sensibilisation à la sécurité.
« La formation à la sensibilisation passe d’un modèle axé sur la question “Qu’est-ce que la sécurité ?” à un modèle axé sur la question “Pourquoi la sécurité est-elle importante ?” », explique Rose. Tout le monde sait ce que sont (hameçonnage), et (ransomware) . Selon lui, ces films montrent de manière plus détaillée l'impact des incidents cybernétiques sur une organisation. Elles illustrent également l'évolution du secteur, qui est passé du concept de « formation à la sensibilisation à la sécurité » à celui de « gestion des risques liés au facteur humain ». Les employés sont sensibilisés aux questions de sécurité. Il est désormais temps de gérer leurs risques.
Selon M. Carpenter, c'est ainsi que les responsables des entreprises et de la sécurité peuvent influencer non seulement le comportement des employés, mais aussi la culture d'entreprise dans son ensemble.
Ainsi, même si ces films ne seront pas en lice pour les Oscars cette semaine ni pour les Emmys plus tard dans l'année, ils contribueront grandement à assurer la sécurité de votre organisation. Et cela vaut bien mieux que n'importe quel trophée.
