Les techniciens en radiologie étaient confrontés à un problème. Chaque fois que l'un d'entre eux souhaitait consulter des dossiers médicaux sur le réseau informatique commun de leur hôpital, il devait se connecter individuellement. Le système et les logiciels d'
s étaient tellement obsolètes que la procédure de connexion pouvait prendre d
e à cinq minutes.
Leur solution : la première personne à arriver au travail se connectait avec son identifiant. Et celui qui restait en dernier se déconnectait.
« Ils n’avaient pas de mauvaises intentions », explique Clay Posey, qui, en tant que directeur de recherche au sein du cabinet de conseil en cybersécurité Beyond Layer 7 , a interrogé l’équipe sur ses habitudes en matière de cyberhygiène, comme le montre l’. « Ils n’essayaient pas de
provoquer une violation de la confidentialité. » Mais leurs actions ont créé les conditions propices à une telle situation.
D’employé à menace interne
Ce type de menace interne est appelé « non-conformité non malveillante ». C'est l'une des façons les plus courantes dont les employés enfreignent les politiques de cybersécurité. « Ils savaient que ce qu’ils faisaient allait à l’encontre du règlement », explique M. Posey, qui est également maître de conférences en systèmes d’information à la Marriott School of Business de l’université Brigham Young. « Mais les règles de sécurité, pourtant jugées efficaces, ont fini par entraver la productivité et le déroulement des tâches. » « Ce groupe a donc tout simplement trouvé une solution de contournement. »
À une autre époque, cette ingéniosité aurait sans doute été saluée. Mais ce n'est pas le cas aujourd'hui, alors que les cybercriminels et les pirates informatiques au service d'États-nations sondent sans cesse les terminaux et les vulnérabilités du réseau, à la recherche d'identifiants, d'accès
à des données sensibles, ainsi que de moyens de lancer des attaques lucratives par ransomware
contre leurs victimes.
En réalité, les menaces internes telles que celle survenue à l’hôpital résultent souvent de l’ , du stress, de la nécessité d’accomplir son travail, voire d’un altruisme mal placé. C'est ce qui ressort d'une étude intitulée « » (juin 2020 ) , réalisée par Posey et ses collaborateurs et publiée par la National Science Foundation, dans laquelle son équipe a étudié le comportement en ligne des nouveaux télétravailleurs. Ils ont constaté que le télétravail (qui reste le mode de travail par défaut pour des millions de personnes) a multiplié les risques de failles de sécurité.
Scott Shackelford, directeur du programme de gestion des risques liés à la cybersécurité de l’IU-Bloomington, qui n’a pas participé à l’étude, déclare : « En général, ces problèmes sont dus soit à un manque de compréhension, soit à un manque d’attention, soit au stress et à la précipitation. » Et cela revient à laisser la porte grande ouverte aux malfaiteurs. « Il n’est pas rare, par exemple, que des fraudeurs contactent des employés en fin d’après-midi un vendredi, ou pendant les vacances, lorsqu’ils savent que l’attention des employés sera détournée », explique-t-il.
Il s'agit d'un risque majeur en matière de cybersécurité qui ne peut être résolu par la technologie. Ce problème ne peut être résolu qu'en s'adressant aux personnes qui font partie du système. Les équipes informatiques peuvent concevoir de meilleurs pièges à souris, mais si elles le font en vase clos — sans tenir compte de l’employé assis devant son clavier, qui fait désormais partie d’un écosystème de réseau distribué situé en dehors du périmètre protecteur de l’entreprise —, cela ne peut que se solder par une perte de fromage.
Comment les télétravailleurs respectent-ils réellement les protocoles de cybersécurité ?
L'étude menée par M. Posey auprès de plus de 330 télétravailleurs issus d'un large éventail de secteurs a révélé que les services informatiques ont souvent une compréhension limitée de la manière dont leurs règles peuvent perturber les flux de travail des employés ou créer de nouvelles sources de stress. Cette étude, qui s'est appuyée sur des déclarations des personnes concernées recueillies sur une période de deux semaines, a révélé que 18 % des violations des règles de cybersécurité étaient motivées par la volonté d'un ou plusieurs employés de s'entraider. Dans l'ensemble, 67 % des personnes interrogées déclarent ne pas avoir respecté les politiques de cybersécurité au moins une fois, le taux moyen de non-respect s'élevant à une fois toutes les 20 tâches professionnelles.
«Il n’est pas rare que les fraudeurs contactent les employés tard le vendredi soir ou pendant les vacances, lorsqu’ils savent que [les employés] seront distraits. »Scott Shackelford, directeur du programme de gestion des risques liés à la cybersécurité, IU-Bloomington
Les raisons invoquées pour justifier ces manquements sont révélatrices. Parmi les trois principales raisons figuraient « mieux accomplir les tâches liées à mon travail », « obtenir quelque chose dont j'avais besoin » et « aider les autres à mener à bien leur travail ». À eux deux, ils représentaient 85 % des infractions intentionnelles aux règles de sécurité signalées.
En effet, le télétravail semble accroître le risque de non-conformité involontaire chez les employés. Cela peut aller du téléchargement par des employés de logiciels non autorisés sur leur ordinateur portable professionnel jusqu'à le fait d'autoriser des membres de leur famille à utiliser le matériel de l'entreprise. Les personnes consultent également plus souvent des données sensibles sur leurs appareils mobiles lorsqu'elles travaillent à domicile.
De ce fait, les organisations ont du mal à trouver les moyens de renforcer leur conformité en matière de cybersécurité.
Comprendre le poids psychologique lié à la sécurité du télétravail
Parmi les problèmes de cybersécurité les plus graves auxquels sont confrontées les entreprises dans le contexte actuel du télétravail, on trouve les escroqueries par e-mail et les tentatives de phishing , également appelées « » ou « Business Email Compromise » (BEC). Voici comment cela peut se passer : un pirate informatique se faisant passer pour un supérieur hiérarchique ou un collègue proche envoie par e-mail à un employé une demande urgente de virement de fonds. La pression du temps et le désir d'aider peuvent pousser les agents à enfreindre le protocole et à effectuer ces transferts sans vérifier la demande.
Protéger une organisation contre les cyberattaques ne se limite pas à mettre en place une politique de vérification pour les transactions d'un montant élevé, mais implique également de sensibiliser les collaborateurs à l'importance des protocoles de sécurité, de réduire au minimum les entraves qu'ils peuvent causer au travail quotidien et de leur fournir des conseils sur la marche à suivre lorsque ces protocoles entrent en conflit avec l'accomplissement de leurs tâches.
Alors que le télétravail se poursuit pour des millions de salariés, les experts en cybersécurité estiment que les responsables doivent rester vigilants face au fardeau psychologique potentiel auquel sont confrontés les employés travaillant sous la surveillance de systèmes qui les contrôlent. Les systèmes de surveillance, tels que les outils de suivi d'
s et de surveillance des frappes au clavier, peuvent sembler particulièrement intrusifs à la maison. Même s’il n’y a pas de conséquences directes, des études suggèrent que ce stress supplémentaire pourrait, indirectement, inciter les gens à enfreindre plus facilement les protocoles de sécurité.
Les dirigeants du monde des affaires et des technologies doivent veiller à associer leurs collaborateurs à l'élaboration, à l'évaluation et à la mise en œuvre de nouvelles mesures de sécurité. Selon M. Posey, les équipes informatiques doivent trouver un juste équilibre entre ce qu’il appelle « la mentalité d’évitement et la tolérance ». Plutôt que de recourir à des sanctions en cas de manquement aux règles de sécurité, les responsables devraient accepter le fait que les employés commettent des erreurs.
« Des problèmes vont se produire, et les responsables doivent s'efforcer de manière concertée d'en comprendre la cause profonde », déclare-t-il.
Privilégier la carotte plutôt que le bâton dans la formation des salariés à la cybersécurité
En effet, les équipes informatiques et de sécurité peuvent tirer profit de collaborateurs naturellement curieux et désireux de comprendre la logique qui sous-tend leurs politiques de sécurité fastidieuses, explique M. Posey. Les équipes doivent comprendre que, contrairement aux attaques malveillantes et aux vulnérabilités imprévues de la chaîne d'approvisionnement , de nombreuses violations commises par des employés découlent d'une tentative de trouver un équilibre entre sécurité et productivité, et résultent souvent d'un comportement humain tout à fait prévisible.
Les équipes de sécurité doivent sensibiliser les employés à la fréquence des infractions non intentionnelles. Mais cela ne doit pas (et ne devrait pas) s'arrêter là. Comprendre ce qui motive les collaborateurs et les associer au processus d'élaboration et de test des politiques de sécurité peut grandement contribuer à les inciter à s'impliquer et à apporter leur aide. Et, surtout, les dirigeants du monde des affaires et du secteur technologique doivent veiller à ce que les protocoles de cybersécurité n'entravent pas la productivité des employés.
« La plupart des gens veulent simplement faire leur travail », déclare M. Posey. « Ils ne se rendent pas au travail tous les jours en se disant : “Tiens, comment pourrais-je tout gâcher ?” »
