insta_photos - stock.adobe.com
Comment construire un programme efficace de sensibilisation à la cybersécurité
Les programmes efficaces de sensibilisation à la cybersécurité gèrent le risque humain par des interventions basées sur les rôles, la modification des comportements, la mesure continue et l'évolution des menaces.
Les programmes efficaces de sensibilisation à la cybersécurité apprennent aux employés à quel point leur rôle est essentiel pour protéger leur organisation contre les cyberattaques et les tiennent informés de l'évolution constante du paysage des menaces.
Cependant, de nombreux programmes inefficaces existent, avec un contenu ennuyeux et obsolète qui ne parvient pas à engager les utilisateurs - et qui manque souvent de pertinence. Cela laisse les organisations exposées à des risques de sécurité inutiles - et potentiellement catastrophiques.
Les RSSI et les cadres dirigeants ne peuvent plus considérer la sensibilisation à la cybersécurité comme une exigence de formation récurrente destinée à cocher une case de conformité. Un programme efficace de sensibilisation à la cybersécurité doit être traité comme une capacité de gestion des risques humains qui se concentre sur les comportements qui génèrent les plus importants risques de cybersécurité.
Le problème avec les programmes traditionnels n'est pas le manque de connaissances des employés ; c'est le risque cyber lié à l'humain qui n'est pas géré. Les employés interagissent avec les courriels, les applications SaaS, les données, les fournisseurs et les systèmes d'authentification de manière à pouvoir augmenter ou réduire l'exposition de l'organisation. Avec la formation annuelle conventionnelle, l'achèvement démontre la participation, pas le changement de comportement. De plus, un contenu générique ne répond pas au profil de menace réel de l'organisation. Un autre problème ? Les employés sont confrontés à l'ingénierie sociale en permanence, pas une fois par an.
RSSIs, il est temps de passer à une approche de formation structurée et efficace en cybersécurité qui évalue les risques, priorise les besoins de l'entreprise, fonctionne de manière continue et mesure les résultats.
Évaluer le risque de cybersécurité de l'organisation
Commencez par une évaluation des risques qui détermine quels risques humains justifient un investissement et quels contrôles existants peuvent les adresser.
Identifier les comportements humains qui créent une exposition significative
Trouvez les workflows où les employés peuvent affecter le risque de l'organisation. Ceux-ci incluent souvent les éléments suivants :
- Divulgation d'identifiants.
- Approbation de transactions frauduleuses.
- Manipulation d'informations sensibles.
- Réception de tentatives de phishing ou d'ingénierie sociale.
- Mauvaises configurations ou utilisation inappropriée des outils IT.
- Contournement des contrôles de sécurité pour des raisons de commodité.
- Échec du signalement d'activités suspectées.
Reconnaître ces expositions permet une cartographie des menaces plus précise. N'oubliez pas de prendre en compte les contractuels, les utilisateurs privilégiés, les cadres, les travailleurs à distance et les tiers, car ils créent des risques supplémentaires.
Cartographier les menaces par rapport aux conséquences métiers
Reliez clairement les comportements aux impacts probables. Ceux-ci peuvent inclure la compromission de comptes utilisateurs ou de courriels, l'exposition des données, l'entrée de rançongiciels ou la perturbation opérationnelle. Tout cela pourrait avoir des conséquences réputationnelles ou contractuelles.
Notez que tous les comportements n'ont pas un impact égal. Priorisez les comportements en fonction de leur probabilité et de leur impact métier potentiel.
Établir une base de référence
Comprenez l'exposition actuelle de l'organisation. Utilisez les données existantes, les rapports de phishing, les tendances du service d'assistance, les évaluations des risques, les conclusions d'audit et la télémétrie de sécurité lorsqu'elle est disponible. Identifiez les contrôles existants tout en notant les lacunes de couverture. Cette base de référence est cruciale pour mesurer le succès du programme et l'amélioration continue.
Concevoir un programme de sensibilisation basé sur les risques qui favorisera le changement de comportement
L'utilisation d'une approche réfléchie et axée sur les données pour l'évaluation des risques permet à l'organisation de construire une architecture de programme spécifique à son activité plutôt qu'un curriculum générique. Cette architecture cible les faiblesses identifiées pour permettre une amélioration réelle.
Définir les comportements que le programme doit modifier
Pour chaque priorité identifiée, définissez des actions et des objectifs distincts :
- Le comportement souhaité de l'employé.
- Le comportement à risque à réduire.
- Le déclencheur ou la situation dans laquelle le comportement se produit.
- Le contrôle de sécurité ou le mécanisme de signalement que les employés doivent utiliser.
- Comment mesurer ou observer le succès.
Formulez cela comme un changement de comportement, passant de « informer les employés sur le phishing » à « les employés reconnaissent les demandes d'identifiants suspectées et les signalent par le canal approuvé ».
Segmenter les publics par risque
Un curriculum unique de sensibilisation aux risques est rarement approprié. Différents rôles et niveaux d'accès signifient que les employés ont besoin d'informations adaptées aux situations auxquelles ils sont confrontés. Divisez les rôles en catégories distinctes :
- Employés standard.
- Dirigeants.
- Administrateurs informatiques et utilisateurs à privilèges.
- Finances et approbateurs de paiements.
- Développeurs.
- RH et recrutement.
- Employés en contact avec la clientèle.
- Individus à haut risque ou fortement ciblés.
- Contractuels et tiers.
Changer les comportements suivant les rôles augmente la pertinence, mais nécessite une planification et une gouvernance accrues.
Adapter les interventions de sensibilisation au risque
Utilisez des méthodes d'éducation à la sensibilisation diverses et appropriées à la situation plutôt que des vidéos d'e-learning génériques. Envisagez les types de médias suivants :
- Apprentissage de courte durée.
- Simulations de phishing ou d'ingénierie sociale.
- Incitations en temps réel.
- Exercices spécifiques aux rôles.
- Exercices sur table au niveau exécutif.
- Rappels des comportements sûrs.
- Exercices de signalement d'incidents.
- Renforcement par les managers.
- Communication de politique.
Les simulations et les formations doivent renforcer le comportement souhaité plutôt que de devenir des exercices punitifs ou négatifs de type « piège ».
Établir la gouvernance et la responsabilité
Créez une approche guidée de la sensibilisation basée sur la pertinence, le coût, l'évolutivité, les implications en matière de confidentialité, la friction pour l'employé, les exigences d'intégration et la capacité de mesure.
Définissez des responsabilités spécifiques pour le RSSI et l'équipe de sécurité, l'équipe RH et de formation continue, le service juridique, les responsables des unités métiers, la communication, les managers et les employés. Les dirigeants fixent les priorités des risques, définissent les objectifs et approuvent le financement, tandis que les équipes de sécurité exécutent le programme.
Mettre en œuvre le programme de sensibilisation à la cybersécurité
Utilisez la structure suivante pour passer de la stratégie aux pratiques tactiques et opérationnelles.
Commencer par les comportements prioritaires
Identifiez les changements de comportement qui réduiront les risques critiques. Développez un programme pilote basé sur un nombre limité de ces comportements, en simplifiant le comportement souhaité autant que possible. Établissez des attentes comportementales claires et des canaux de signalement.
Choisir les méthodes de diffusion en fonction du comportement
Utilisez l'apprentissage de courte durée pour les bases. Les utilisateurs concernés risquent toutefois de devenir passifs ou d'adopter une approche centrée sur la conformité. Les simulations sont plus appropriées à l'entraînement à la reconnaissance des menaces et au reporting. En cas de mauvaise conception, ces exercices peuvent entraîner une fatigue.
Les incitations en temps réel s'avèrent particulièrement appropriées pour les interventions centrées sur le point de risque. Mais une intégration technique est indispensable. Les exercices basés sur les rôles sont particulièrement adaptés pour les populations à haut risque. Ils nécessitent toutefois des ressources importantes.
Enfin, les exercices sur table s'adressent en particulier aux dirigeants et aux responsables de la sécurité, ne touchant qu'une population limitée.
Phaser le déploiement
Concevez et documentez une approche de déploiement progressif qui permet l'amélioration continue et intègre les leçons apprises. Utilisez la séquence suivante :
- Établir la base de référence et les comportements prioritaires.
- Piloter avec des groupes représentatifs.
- Examiner la participation et les résultats comportementaux.
- Affiner le contenu et les communications.
- Étendre à travers l'organisation.
- Établir une cadence continue.
Structurer le programme comme une réduction des risques, et non comme une surveillance
Presque tout le monde dans la main-d'œuvre moderne a une certaine compréhension des pratiques de cybersécurité et des risques. Utilisez le parrainage pour expliquer pourquoi le programme de sensibilisation à la cybersécurité existe et quelles pratiques il vise à améliorer.
La perception des employés selon laquelle les initiatives de sensibilisation à la cybersécurité sont des programmes de surveillance n'est pas irrationnelle. Les outils de surveillance sont réels, et de nombreuses organisations ne divulguent pas ce qui est suivi, pourquoi et qui a accès à ces informations. Pour éviter les problèmes de confiance, soyez honnête sur ce qui est surveillé. Coordonnez-vous avec les RH, les équipes de confidentialité et juridiques lorsque la surveillance ou les simulations impliquent des données d'employés. Fournissez une divulgation claire et spécifique des systèmes, communications et activités qui sont surveillés, ainsi que des données collectées, de la durée de leur conservation et de qui y a accès.
Expliquez clairement pourquoi les contrôles de sécurité sont utilisés — par exemple, les pièces jointes de courriels sont analysées pour prévenir les logiciels malveillants, ou les sites web sont bloqués pour prévenir le vol d'identifiants — plutôt que de dire quelque chose de vague, comme « c'est pour votre protection ».
Évitez également tout message qui présente les employés comme le maillon faible. Les approches traditionnelles ont longtemps positionné les employés comme un point de vulnérabilité principal. Ce type de message engendre la peur, la honte et le désengagement, ce qui mine la confiance et simplifie à l'excès la véritable nature des cyber-menaces.
Sélectionnez des technologies de sensibilisation qui se concentrent sur les capacités et s'intègrent aux systèmes d'identité et de sécurité existants. Des fonctionnalités telles que la personnalisation basée sur les rôles, les simulations, l'automatisation et les contrôles de confidentialité sont cruciales. Les rapports et l'analyse doivent capturer les résultats, pas seulement la participation. Évitez également les outils qui ajoutent un effort administratif significatif.
Mesurer l'efficacité et s'améliorer continuellement
L'évaluation du succès d'un programme de sensibilisation à la cybersécurité doit déplacer l'attention de l'activité de formation vers la réduction mesurable des risques et les résultats comportementaux.
Séparer les métriques d'activité des métriques de résultats
Les métriques d'activité — telles que le temps de formation, la participation et l'exposition aux simulations, et l'achèvement — ne mesurent pas efficacement le transfert de connaissances ou les améliorations pratiques.
L'analyse comportementale met l'accent sur le changement de comportement, tel que le temps de signalement des tentatives de phishing, les comportements à risque répétés, l'escalade appropriée et opportune, le traitement sécurisé des informations sensibles et les changements dans le comportement des simulations au fil du temps.
Mesurez les KPI pertinents de risque et de résultats :
- Tendances des incidents.
- Indicateurs de compromission de compte.
- Événements à impact métier.
- Exposition associée aux scénarios de risques humains identifiés.
Créer une boucle de mesure
Utilisez un cycle simple pour mesurer l'amélioration de la sensibilisation :
mesurer > identifier les lacunes > ajuster l'intervention > retester > comparer à la base de référence
Voici quelques pratiques de référence à suivre :
- Comparer les tendances plutôt que les résultats de tests isolés.
- Segmenter les résultats par rôle, unité métier et risque, le cas échéant.
- Corréler les métriques de sensibilisation avec les incidents de sécurité et d'autres indicateurs de risque lorsque les données le permettent.
Reprioriser à mesure que l'environnement des menaces change
La cybersécurité est un environnement en constante évolution, donc mettez à jour les scénarios et les processus à mesure que les modèles d'attaque changent. Intégrez de nouveaux workflows, technologies et acquisitions pour maintenir la pertinence et l'exactitude. Retirez le contenu qui ne répond plus à un risque significatif.
Surmonter les défis du programme de sensibilisation à la cybersécurité
Les dirigeants peuvent s'opposer lorsqu'il s'agit de financements ou de l'abandon de programmes de formation existants ou patrimoniaux. Les réponses suivantes facilitent le processus d'approbation.
Les employés se désengagent
- Générer un contenu court, pertinent et spécifique au rôle.
- Réduire les modules annuels répétitifs.
- Renforcer les comportements au point du risque.
Budget ou effectifs limités
- Prioriser les comportements à fort impact.
- Automatiser l'administration répétitive du programme.
- Commencer par les populations et les risques les plus importants.
- Réutiliser les données de sécurité et d'incident existantes pour informer le programme et établir une base de référence.
La culture de sécurité est faible
- Obtenir le parrainage visible du leadership.
- Éviter les messages orientés vers le blâme.
- Récompenser le signalement et le comportement responsable.
- Rendre les attentes en matière de sécurité cohérentes avec les réalités opérationnelles.
Les métriques ne démontrent pas la valeur
- Établir une base de référence avant de modifier le programme.
- Relier les mesures comportementales aux risques métiers et de sécurité.
- Éviter de considérer les taux d'achèvement comme le critère principal de succès.
La sensibilisation à la sécurité est une tâche continue
La sensibilisation à la cybersécurité est plus qu'une initiative de formation d'un mois ; c'est une capacité de gestion des risques humains qui doit répondre à trois questions spécifiques importantes pour l'entreprise :
- Quels comportements humains créent le plus grand risque ?
- Quelles interventions vont modifier ces comportements ?
- Quelles preuves démontrent que le risque diminue ?
Le programme doit cibler les comportements humains qui créent un risque métier significatif et évoluer parallèlement aux menaces, à la technologie et aux opérations.
Damon Garn est propriétaire de Cogspinner Coaction et fournit des services de rédaction et de correction IT en freelance. Il a rédigé plusieurs guides d'étude CompTIA, y compris les guides Linux+, Cloud Essentials+ et Server+, et contribue largement à Informa TechTarget, The New Stack et aux blogs CompTIA.
