Il ne s’agit pas du type d’évaluations que vous vous attendez à entendre de la part des employés au sujet d’une vidéo de formation obligatoire sur la sensibilisation à la sécurité.
« Amusant et passionnant ! ! ! »
« Excellente narration. »
« Intense. »
De tels commentaires positifs ont été intégrés pour une série de films produite par Living Security, un fabricant de contenu de gestion des risques humains de premier plan. Plus de franchise Bourne que d’ennuyeux tutoriel d’entreprise, « Born Secure : Training Grounds » suit les aventures de Jacob Webb, un cyber-opérateur de bureau ordinaire devenu un ouvrier d’élite, recruté de manière matricielle par une équipe de super-hackers éthiques cachés. Dans la bande-annonce de la série, en tant que battants musicaux menaçants, nous voyons Jacob regarder une caméra de sécurité de manière suspecte. Quelqu’un court, une chaise se renverse, des drones tourbillonnent au-dessus de la tête et Jacob sort d’une porte de sécurité pour entrer dans le soleil aveuglant.
C’est un cri loin de la snoozefest PowerPoint typique qui est plus susceptible d’attirer des regards que tout changement réel dans le comportement au bureau.
Mis en œuvre par 97 % des organisations, la formation à la sensibilisation à la sécurité utilise trop souvent du contenu pour le bien du contenu, et cette méthode ne fonctionne pas, déclare Drew Rose, fondateur, directeur de la sécurité et responsable du développement stratégique chez Living Security. « C’était juste de cocher une case », dit Rose. L’employé a effectué l’affectation, mais c’était l’étendue de l’engagement. Ces sessions de performance ne sont pas seulement ennuyeuses, et donc inefficaces, déclarent les analystes, mais elles manquent également de mesures pour déterminer si les participants ont réellement appris quelque chose.
« L’apprentissage et le développement sont plus efficaces lorsqu’ils sont offerts par le biais de simulations de crise continues et engageantes en situation réelle », explique Bec McKeown, directeur des sciences humaines chez Immersive Labs, un centre de formation basé au Royaume-Uni et disposant de bureaux à Boston, qui teste et mesure les cybercapacités et la résilience de la main-d’œuvre.
L’espoir est qu’en rendant ce contenu éducatif divertissant et interactif, les employeurs amèneront les membres du personnel à parler de la session de formation autour du watercooler et les encourageront à prendre la cybersécurité plus au sérieux.
Les humains sont le maillon le plus faible
Il est depuis longtemps admis que les humains sont le maillon le plus faible de la cyberdéfense d’une organisation, mais le bon type de formation peut aider à résoudre cela : en renforçant la sensibilisation et la vigilance envers les risques potentiels, en améliorant le moral et en rendant les employés plus intelligents sur leur rôle dans la posture globale de cybersécurité de leur organisation.
« L’apprentissage et le développement sont plus efficaces lorsqu’ils sont offerts par le biais de simulations de crise continues et attrayantes en situation réelle. »Bec McKeown, directeur des sciences humaines, Immersive Labs
« Les entreprises réalisent de plus en plus que leurs outils et leur technologie ne sont plus suffisants pour assurer la résilience ; les capacités des individus et des équipes sont tout aussi importantes », déclare le Dr John Blythe, psychologue agréé et directeur de la psychologie de la cyber-effectif chez Immersive Labs. « De nombreux employés ressentent de la fatigue à cause de présentations sèches, tandis que d’autres sont épuisés par les cours d’apprentissage en ligne fatigués sur lesquels ils cliquent, n’apprenant rien malgré des heures d’enseignement. »
Et le problème, semble-t-il, commence plus tôt que vous ne le pensez.
Les travailleurs sont souvent découragés par la formation à la sensibilisation à la sécurité avant même de voir ces présentations et cours d’apprentissage en ligne à sec. Cela commence par la déconnexion entre les employés technologiques et non technologiques de l’entreprise.
Il y a une tendance pour certains dans le monde technologique à traiter les collègues non technologiques comme moins avertis et conscients, admet Rose. Si les employés non technologiques ne se sentent pas respectés, ils sont moins susceptibles de contacter les équipes informatiques et de sécurité en cas de problème.
Étant donné que les utilisateurs finaux ont un impact énorme sur le risque d’entreprise, il doit y avoir plus d’efforts pour établir des relations entre la technologie et la non-technologie, déclarent les experts. Dans cette optique, les chefs d’entreprise se tournent vers des techniques telles que la gamification et les concours avec un excellent échange de prix, comme moyen de rassembler les deux parties, d’améliorer la communication et, à long terme, d’atténuer plus efficacement les risques.
Ces leaders examinent également leur contenu de formation avec un œil plus discerné, abandonnant les PowerPoint en faveur de contenu qui pourrait sembler plus à l’aise sur Netflix.
Allons voir les films !
L’objectif d’une bonne formation à la sensibilisation à la sécurité est double, déclare Perry Carpenter, évangéliste en chef et directeur de la stratégie chez KnowBe4’s . Les responsables de la sécurité ont besoin d’un produit qui s’appuiera sur la relation entre leur équipe et leurs employés, et cela est fait en montrant aux travailleurs que vous vous souciez de leurs intérêts. Vous souhaitez également vous engager avec eux au niveau humain et émotionnel, car lorsque vous le faites, vous améliorez le potentiel d’une plus grande rétention des informations.
« Nous avons entendu des histoires d’employés qui changent d’emploi, mais qui s’inscrivent avec nous juste pour pouvoir suivre les épisodes. »Perry Carpenter, évangéliste en chef et directeur de la stratégie, KnowBe4
Pour créer de meilleurs supports de sensibilisation à la sécurité, des entreprises de sécurité comme KnowBe4 et Living Security ont remarqué comment les employés passent leur temps libre et le type de contenu dans lequel ils s’engagent. Spoiler : les gens aiment regarder des films et des séries télévisées. Il n’y avait aucune raison pour que les films de formation à la sensibilisation à la sécurité ne puissent pas simuler ce même type de divertissement.
En s’inspirant des modèles de Showtime’s Homeland et Fox’s 24, KnowBe4 a développé « The Inside Man », une série multi-saisons qui suit un format épisodique typique avec un ensemble récurrent de personnages et de lignes qui tournent autour de différents risques de sécurité. La saison 4 a été marquée par une attaque par rançongiciel contre une entreprise énergétique internationale et le travail d’un influenceur mondial dupé par un faux profond. La bande -annonce de la saison 5 a chuté en janvier.
Ninjio, une société de formation à la sécurité basée à Westlake Village, en Californie, a opté pour l’animation. La tenue produit des vidéos animées de trois à quatre minutes sur tout, de la compromission des e-mails professionnels à la protection par mot de passe, écrites par des écrivains hollywoodiens avec des émissions comme CSI : NY et Hawaii Five-0 sur leurs CV.
[Lire également : Les principales tendances en matière de cybersécurité pour 2023]
Les vidéos de Living Security, quant à elles, offrent quelque chose à presque tout le monde. Vous aimez les émissions de réalité ? Ensuite, vous pourrez aimer « La cyber-racine », un hommage à la juggernaut Amazing Race, gagnante des Emmy, avec des paires de globe-trotteurs à la recherche d’indices et répondant à des défis liés à l’identité numérique, au phishing et à d’autres problèmes de sécurité. Les amateurs de cuisine découvriront la cybersécurité tout en préparant de nouvelles recettes avec « Cyber Kitchen ». Il existe également des escroqueries de talk-shows de fin de soirée, des films populaires, des sitcoms et un documentaire de style vrai crime étrangement crédible enseignant aux téléspectateurs les signes de menaces internes.
La formation de sensibilisation à la sécurité commence par une bonne histoire
Les experts en comportement organisationnel ont longtemps salué le pouvoir du storytelling comme un moyen efficace d’impliquer les parties prenantes. Les psychologues ont découvert que les leçons intégrées dans une histoire bien connue sont mémorisées plus longtemps et plus précisément que celles dérivées de faits et de chiffres. Et les chercheurs de l’Université Johns Hopkins ont récemment crédité la narration comme un moyen d’amener les patients atteints de cancer, de diabète et d’hypertension à modifier leur comportement.
« La formation de sensibilisation passe du modèle « Qu’est-ce que la sécurité » à « Pourquoi la sécurité est importante ». »Drew Rose, fondateur, directeur du développement stratégique, Living Security
La raison pour laquelle le film de formation cinématographique fonctionne, disent les défenseurs, est que les utilisateurs ne le voient pas comme une perte de temps. C’est l’occasion de regarder quelque chose pour le travail qui est amusant. Les téléspectateurs peuvent même s’y investir.
« Nous recevons des e-mails des équipes de sécurité indiquant que leurs employés demandent le prochain épisode ou la prochaine saison », déclare KnowBe4’s Carpenter. « Nous avons entendu des histoires d’employés qui changent d’emploi, mais qui s’inscrivent avec nous juste pour pouvoir suivre les épisodes. »
Rose at Living Security voit le passage aux films cinématographiques comme une prochaine étape logique dans la formation à la sensibilisation à la sécurité.
« La formation de sensibilisation passe du modèle « Qu’est-ce que la sécurité » à « Pourquoi est-ce important pour la sécurité » », déclare Rose. Les gens savent ce que sont l’ hameçonnage et les rançongiciels . Ces films, dit-il, montrent plus en détail comment les cyber-incidents affectent une organisation. Ils démontrent également l’évolution du secteur, passant du concept de « formation de sensibilisation à la sécurité » à la « gestion des risques humains ». Les employés sont conscients de la sécurité. Il est maintenant temps de gérer leurs risques.
Ce faisant, déclare Carpenter, les dirigeants d’entreprise et de sécurité peuvent avoir un impact non seulement sur le comportement des employés, mais également sur l’ensemble de la culture du lieu de travail.
Ainsi, même si vous ne verrez pas ces titres pour les prix lors de la cérémonie des Oscars de cette semaine ou de la télédiffusion des Emmys plus tard cette année, ils contribueront grandement à assurer la sécurité de votre organisation. Et c’est mieux que n’importe quel trophée.
