Construire une culture de sécurité forte dans toute votre organisation

Octobre est le Mois national de la sensibilisation à la cybersécurité.

C'est aussi (entre autres) le Mois de la sensibilisation au cancer du sein, à l'hygiène dentaire, à la prévention du harcèlement scolaire et mon favori personnel, le Mois national de la pizza. Sans oublier Halloween ! Mais je m'égare... on est là pour parler cybersécurité.

Chaque fabricant devrait organiser une formation de sensibilisation à la cybersécurité pour tout son personnel au moins une fois par an. Beaucoup sont effrayés par la simple mention des mots « cybersécurité » et « formation », donc octobre semble un moment approprié. Votre formation doit, au minimum, couvrir les politiques pertinentes : sécurité IT, sécurité de l'information, sécurité physique.

Au fil des ans, beaucoup d'entre nous ont suivi ce type de formation et appris à la redouter. Formation où quelqu'un récite le même discours cybersécurité que l'an dernier et fait signer une feuille de présence. Un vrai soporifique. Ce genre de formation remplit le minimum syndical mais a peu d'impact sur le comportement réel des employés.

Le vrai but des efforts de sensibilisation et formation cybersécurité doit être de créer une culture de la sécurité, où les employés voient les bonnes pratiques cybersécurité comme de bonnes pratiques business et comme « comment on fait les choses ici ». Les employés doivent se sentir habilités à prendre de bonnes décisions cybersécurité et comprendre ce qui fait une bonne décision. Sensibilisation et formation doivent se concentrer sur :

• Stopper les comportements risqués : Aider les employés à savoir quelles décisions mènent à de mauvais résultats. Ex. : ouvrir des pièces jointes d'expéditeurs inconnus.
• Encourager les comportements moins risqués : Aider à comprendre et valoriser l'implémentation de processus qui augmentent la sécurité. Ex. : comment créer des mots de passe forts.
• Transformer les employés en sentinelles : Aider à reconnaître et répondre à un événement cybersécurité. Ex. : que faire si un invité branche une clé USB non autorisée sur une machine.

Idéalement, la formation doit être un effort continu. Idées pour intégrer la cybersécurité dans le quotidien :

• Souligner régulièrement la cybersécurité comme objectif important de l'entreprise.
• Intégrer un conseil, astuce ou rappel cybersécurité dans chaque réunion.
• Afficher des rappels sur les pratiques de sécurité appropriées dans les lieux de travail.
• Tenir des réunions régulières pour discuter d'améliorations de processus facilitant de meilleures décisions de sécurité.

Beaucoup de recherches ont été menées sur ce à quoi ressemble une bonne formation cybersécurité employés. En résumé, on peut utiliser l'acronyme « RAINSTORMS ». Oui, je viens de l'inventer.

• Réel : Utiliser des études de cas réelles ou scénarios réalistes pour ancrer les leçons.
• Actionnable : Inclure quelque chose que les employés peuvent faire immédiatement. Changer mot de passe, inventorier leurs actifs IT, s'assurer d'avoir les contacts d'alerte dans leur téléphone. Un devoir long terme est parfois approprié, mais un objectif immédiat aide toujours.
• Interactif : Jeux de rôle, discussions en petits groupes, exercices pratiques. Idéalement, interactions bidirectionnelles impliquant tous les niveaux de management pour que tous sachent que tous ont les mêmes responsabilités et sont sur la même page.
• Nouveau : La répétition a sa place (politiques), mais ça ne doit pas devenir rance. Différents formats (conférence, jeu de rôle, vidéos) aident.
• Simple (petit) : Morceaux d'informations digestes valent mieux qu'un diplôme d'informatique forcé. Un sujet à la fois généralement préférable.
• Testable : Objectif mesurable et testable. Si sensibilisation générale, peut-être un quiz. Si objectif anti-hameçonnage, envoyer un faux email de phishing quelques semaines avant et après l'événement pour mesurer l'efficacité.
• Owned (approprié) : Les employés doivent partir avec un sentiment de responsabilité et que la cybersécurité est LEUR affaire ; ils doivent se sentir habilités à prendre de bonnes décisions.
• Relevant : La plupart des entreprises ont différents types d'utilisateurs. Adapter la formation à chaque type la rend plus concrète. Peut-être formations distinctes shop floor vs bureau.
• Mémorable : Acronymes, mnémoniques percutants, ou mon favori : l'humour. Les humains retiennent les choses drôles – jeux de mots, clips musicaux nuls, mèmes de chats ridicules – bien mieux qu'une conférence ennuyeuse. N'ayez pas peur d'être non conventionnel et de vous amuser.
• Simple (au-dessus de tout) : La formation doit être simple. Leçons trop techniques pleines de jargon ne servent qu'à endormir.

L'initiative nationale pour l'éducation à la cybersécurité (NICE) a une petite liste de ressources gratuites/peu coûteuses pour la formation employés. Beaucoup d'autres ressources sont en ligne. Faites une recherche et vous serez submergé d'options. Évaluez-les avec le modèle RAINSTORMS ci-dessus.

Tout au long d'octobre, NIST MEP publiera une série de billets suivant le thème et le plan de la National Cybersecurity Alliance (NCSA). Le thème 2020 : « Do Your Part. #BeCyberSmart. » Personnellement, je ne suis pas fan de l'auto-promotion de hashtag, mais si vous tweetez ou bloguez sur la cybersécurité ce mois-ci, envisagez d'utiliser #BeCyberSmart – on verra jusqu'où ça va.

Le plan de la NCSA :

• Semaine du 5 octobre (Semaine 1) : If You Connect It, Protect It
• Semaine du 12 octobre (Semaine 2) : Securing Devices at Home and Work
• Semaine du 19 octobre (Semaine 3) : Securing Internet-Connected Devices in Healthcare
• Semaine du 26 octobre (Semaine 4) : The Future of Connected Devices

Pas sûr par où commencer ? Apprenez comment implémenter un programme de formation cybersécurité efficace en contactant votre MEP Center local. Accédez aussi aux ressources cybersécurité pour fabricants sur le site NIST MEP.

Ce billet fait partie d'une série pour le Mois national de la sensibilisation à la cybersécurité (NCSAM). Autres billets : If You Connect It, Protect It par Zane Patalive, Suspicious Minds... par Pat Toth, Securing Internet-Connected Medical Devices par Jennifer Kurtz, The Future of Connected Devices par Erik Fogleman et Jeff Orszak.