De nombreux indicateurs au cours des derniers mois ont mis en évidence une augmentation des mandats de retour au bureau cette année, et la directive du président Trump visant à mettre fin aux arrangements de travail à distance dans les agences fédérales devrait alimenter encore plus la tendance, ainsi qu’un pic possible de menaces de cybersécurité.
Les chefs d’entreprise qui poussent le RTO semblent principalement préoccupés par les baisses potentielles de collaboration et de productivité des employés, et bien sûr, par les coûts liés au maintien d’espaces de bureau à moitié vides. En fait, les études suggèrent qu’une politique de cinq jours au bureau ne fait que peu pour stimuler la productivité des employés ou les bénéfices ou les performances du marché boursier d’une entreprise, et il existe certainement le risque de colère, voire de perte, du personnel pendant la transition.
Ce type d’augmentation des plaintes des employés et du stress au bureau a de graves implications pour les responsables de la sécurité de l’information (RSSI) et d’autres responsables de la surveillance des « menaces internes » et de la cybersécurité globale dans les organisations publiques et privées.
Et c’est l’une des raisons pour lesquelles les dirigeants d’entreprise doivent garder la cybersécurité à l’esprit lorsqu’ils pèsent les avantages et les inconvénients de l’endroit où les travailleurs travaillent.
« Les menaces internes, y compris le sabotage, doivent être prises en compte, car certains employés peuvent être personnellement affectés par le changement et, dans des cas extrêmes, pourraient agir. »Fritz-Jean Louis, conseiller principal en cybersécurité, recherche en informatique
Parce qu’il ne s’agit pas seulement de revenir à la normale avant la pandémie. Le RTO a un impact sur la cybersécurité de diverses manières. Il y a des points positifs, bien sûr, mais les experts anticipent certains défis importants, car les anciennes menaces de sécurité redeviennent nouvelles et d’autres risques imprévus rendent les choses plus compliquées pour les équipes de sécurité.
Les points positifs et négatifs de RTO pour les RSSI
Tout d’abord, l’avantage : bien qu’une initiative RTO puisse créer certains défis, elle rend également certains aspects de la cybersécurité plus lisses pour les RSSI, déclare Larry Whiteside Jr. Le RSSI vétéran exploite désormais Confide, un service d’évaluation et de revente de produits pour les RSSI.
« Il est beaucoup plus facile de sécuriser les personnes au sein de votre entreprise. »Larry Whiteside Jr., RSSI et cofondateur, Confide
« Il est beaucoup plus facile de sécuriser les personnes au sein de votre entreprise », dit-il. « Vous ne connaissez pas le maquillage de la maison des gens et vous ne connaissez pas leur réseau domestique. » Qui utilise sa machine de travail lorsqu’il n’est pas là ? Quels autres appareils non sécurisés se trouvent sur ce réseau ? La plupart des routeurs domestiques sont « désordonnés », ajoute-t-il. Peu de personnes mettent à jour le logiciel dessus, à part peut-être, des groupes chinois de menaces persistantes avancées qui les infectent par des logiciels malveillants.
La confiance zéro, l’idée de se méfier de tout ce qui se trouve sur le réseau et d’attribuer des privilèges basés sur une authentification robuste , était censée résoudre ces problèmes. Cependant, Whiteside Jr. déclare qu’il s’agit d’un cadre complexe plutôt que d’un seul produit, et de nombreuses entreprises n’étaient pas prêtes à le faire.
Cependant, les mandats RTO apportent leurs propres défis, parmi lesquels le « mouvement latéral » redoutable, dans lequel un attaquant compromettant un appareil peut ensuite sauter vers d’autres personnes sur le réseau de l’entreprise et les compromettre également.
« Il ne s’agissait pas de passer d’un appareil à un autre pendant la pandémie, lorsque tout le monde était à la maison ; il s’agissait plus de l’ escalade des privilèges », explique Whiteside Jr..
À la maison, un appareil de travail n’est pas sur le réseau d’entreprise, il n’y a donc pas de possibilité pour les attaquants de sauter de cet appareil infecté aux machines du réseau de bureau. Au lieu de cela, les cyberattaquants de ces dernières années se sont concentrés sur le vol des informations d’identification des employés sur des appareils distants qui leur permettent de pirater leurs comptes de travail en ligne dans des logiciels cloud. Une machine infectée sur un réseau domestique pourrait fournir les informations d’identification de connexion à l’espace de travail cloud Microsoft 365 d’un employé, par exemple, auquel un pirate informatique pourrait ensuite accéder à partir de son propre ordinateur pour voler ses fichiers de travail. (Des politiques et une technologie de gestion des identités et des accès appropriées peuvent aider à superviser les permissions des utilisateurs et à atténuer ces risques.)
Avec un mouvement latéral (ou ce que l’on appelle l’est-ouest), un attaquant peut se déplacer horizontalement sur un réseau, élargissant ainsi son accès avec une relative facilité. Bien que les outils de détection des endpoints identifient facilement le trafic nord-sud (par exemple, les mouvements vers ou hors d’un réseau), les mouvements latéraux peuvent être plus difficiles à repérer. Les entreprises doivent s’appuyer sur des solutions autonomes de gestion des endpoints et de surveillance en temps réel, telles que la détection des anomalies et l’ analyse sophistiquée de la cybersécurité, qui peuvent chacune enregistrer et suivre l’activité inhabituelle des utilisateurs.
Le plus grand risque de cybersécurité RTO : lorsque les employés deviennent malhonnêtes
Une autre inquiétude RTO pour les RSSI : un mauvais sang, qui pourrait mettre en danger les données ou les cyber-systèmes d’une entreprise.
« De nombreuses entreprises m’ont dit qu’elles se sentaient heureuses lorsqu’Amazon [septembre dernier] a annoncé un retour au bureau de cinq jours. Ils considèrent cela comme une opportunité d’attirer certains employés de qualité d’Amazon. »Mark Ma, Ph.D., professeur associé en administration des entreprises, Université de Pittsburgh
Mark Ma, professeur associé d’administration des entreprises à l’Université de Pittsburgh, a fait des recherches sur les politiques RTO et a constaté une baisse significative de la satisfaction des employés lorsque les entreprises ont ordonné aux employés de retourner au travail. Cela s’est traduit directement par un taux de rotation élevé des employés, en particulier pour les employées avec des enfants à la maison, et pour les employés expérimentés, un groupe qui valorise souvent leur autonomie et qui est très attrayant pour les employeurs potentiels, note Ma. « De nombreuses entreprises m’ont dit qu’elles se sentaient heureuses lorsqu’Amazon [septembre dernier] a annoncé un retour au bureau de cinq jours », dit-il. « Ils considèrent cela comme une opportunité d’attirer des employés de qualité d’Amazon. »
Certains de ces employés prendront-ils des secrets d’entreprise avec eux, peut-être pour édulcorer l’accord avec un nouvel employeur ? C’est une véritable préoccupation, disent les experts.
« Les menaces internes, y compris le sabotage, doivent être prises en compte, car certains employés peuvent être personnellement affectés par le changement et, dans des cas extrêmes, pourraient agir », avertit Fritz-Jean Louis, conseiller principal en cybersécurité chez l’entreprise d’analystes Info-Tech Research.
Les employés peuvent être tentés d’exercer des représailles s’ils ont été soumis à une surveillance draconienne de l’employeur lorsqu’ils travaillent à domicile. Les histoires abondent d’entreprises paranoïdes espionnant les employés à distance, utilisant un logiciel qui surveille la fréquence à laquelle les travailleurs à domicile déplacent leurs souris pour vérifier s’ils sont à leur bureau.
Cette culture du présentéisme virtuel non seulement aliène les employés, mais constitue également une mauvaise mesure de la productivité, avertit Ma. »Nous n’avons trouvé aucune preuve significative que les mandats de retour au bureau améliorent ou nuisent réellement à la performance de l’entreprise ou à l’évaluation du cours de l’action sur leurs rendements d’actions », déclare Ma.
Une voie à suivre
La solution la plus acceptable fait également partie de ce qu’il considère comme une voie à suivre pour les entreprises qui ont besoin d’une présence au bureau tout en favorisant des relations respectueuses et productives avec le personnel. « Pourquoi ne suivez-vous pas et ne surveillez-vous pas directement la sortie ? » qu’il suggère. « Les progrès réalisés par les employés vers leur objectif : les résultats attendus. »
« Une approche [hybride] donne la priorité aux besoins des employés dans une certaine mesure tout en examinant comment nous rendons ce temps plus précieux au bureau. »Elysca Fernandes, directrice des services de recherche et de conseil en RH, McLean and Company
Il conseille une approche hybride pour tirer parti des avantages du travail au bureau tout en minimisant les impacts sur le moral et d’autres problèmes qui peuvent entraîner des menaces de cybersécurité significatives.
Pour les professionnels des RH, cela sert de solution gagnant-gagnant. « C’est une approche qui donne la priorité aux besoins des employés dans une certaine mesure tout en examinant comment nous rendons ce temps plus précieux au bureau », déclare Elysca Fernandes, directrice des services de recherche et de conseil en RH au cabinet de conseil McLean and Company. « Tout rentre dans cette tendance plus large à augmenter le temps que les gens passent dans les bureaux ou sur les sites de travail physiques en dehors de leur domicile s’ils travaillent toujours à domicile. »
Ma suggère de permettre aux équipes de décider par elles-mêmes quand il est logique de venir au bureau. Cela peut impliquer des heures ou des jours réguliers, ou cela peut tourner autour de types spécifiques d’événements tels que les grandes réunions d’équipe ou les réunions avec les clients. La clé du succès est un système de surveillance des performances transparent et robuste qui mesure les résultats réels tels que le nombre d’enregistrements traités ou lorsqu’un rapport est soumis.
Réalisées avec soin, les politiques RTO peuvent équilibrer les objectifs de l’entreprise avec les besoins des employés, tout en hiérarchisant les défis de cybersécurité dans le processus de prise de décision.
