Sécurité des systèmes d’information : comment sensibiliser tous les acteurs de l’entreprise

Faire évoluer la formation

Autre élément important : faire évoluer la formation car les risques eux-mêmes changent et se complexifient. La fraude au président, la phishing, l’ingénierie sociale… se sont développés ces dernières années et doivent être pris en compte.

Quant à la forme et à la méthode, Jean-François Louâpre préconise la variété : « il peut y avoir des programmes de fonds. Dans ce cas, il est nécessaire de s’appuyer sur les RH car cela s’inscrit dans une démarche globale de formation, comme l’incendie par exemple. A cette occasion, le DRH peut mettre en place une plate-forme d’e-learning ou un dispositif de suivi de session ». Les RSSI voire des experts extérieurs intervenant alors pour apporter le contenu pédagogique.

Par ailleurs, un incident de sécurité exposé au public ou qui a touché l’entreprise peut être aussi l’occasion de faire de la communication d’opportunité. Avec des effets parfois vertueux «  bien sensibilisés, les salariés peuvent avoir un rôle d’alerte et détecter les comportements anormaux ».

La principale difficulté, reconnaît le vice-président du Cesin est lorsqu’il faut s’adresser aux Top Managers : « on ne les sensibilise pas comme le reste de l’entreprise. Il faut un discours adapté et trouver une façon différente de passer le message. Il faut leur montrer qu’ils ont un rôle d’exemplarité à jouer dans la démarche ».