Pourquoi le facteur humain est essentiel au succès de la cybersécurité

La complexité de la cybersécurité a augmenté exponentiellement alors que le nombre de dispositifs numériques interconnectables a augmenté. Parce que des infrastructures informatiques interdépendantes soutiennent presque toutes les organisations aujourd'hui, protéger les données numériques est devenu crucial.

Trente-sept pour cent des PDG interrogés disent qu'un risque significatif se trouve dans l'entreprise étendue et les partenaires clés de l'entreprise. Et les mesures préventives seules ne suffisent plus. Le nouvel environnement exige une surveillance vigilante et une innovation créative. Il requiert la participation de toutes les parties prenantes.

L'élément humain est clé. À quel point vous vérifiez, formez et équipez les employés fera ou brisera votre système de cybersécurité, votre réputation avec les clients et partenaires, et peut-être même votre entreprise elle-même.

Alors que 89 % de la C-suite croit que les employés protégeront l'information de manière responsable, 22 % disent que leurs employés ne sont pas au courant des politiques de données hors site. Les dispositifs les plus à risque sont les téléphones portables d'entreprise (50 %), les ordinateurs portables d'entreprise (45 %), et les dispositifs de stockage USB (41 %).

Dans son rapport sur 2018 Views From the C-Suite, A.T. Kearney a trouvé que 85 % des entreprises ont connu des violations de sécurité l'an dernier. Seulement 40 % ont conçu et implémenté des stratégies de cybersécurité en réponse.

En plus de se concentrer sur les employés, il est important d'embarquer toute la chaîne d'approvisionnement. Les leaders corporate citent quatre tactiques principales pour assurer une cybersécurité viable :

• Mesures complètes de sécurité de l'information,
• Embauche de professionnels IT hautement qualifiés,
• Analytique comportementale de cybersécurité, et
• Programmes de formation des employés.

Le nouveau paradigme pour la cybersécurité est impliquer, convaincre, éduquer, convertir, et récompenser. Les utilisateurs finaux sont souvent injustement stéréotypés comme non coopératifs, réticents au contrôle, et peu disposés à changer de comportement. En même temps, ils sont le maillon le plus faible en cybersécurité. Même les experts techniques profonds peuvent être aussi vulnérables que les utilisateurs réguliers moins formés et préparés.

Un exemple réel : Il y a des années, en tant que CISO d'un opérateur sans fil en Amérique du Sud, j'ai été chargé de réduire le nombre croissant de fuites de données. Un dirigeant senior a recommandé l'application lourde des politiques de sécurité. Les utilisateurs finaux, a-t-il dit, avaient été non engagés sur la sécurité, et non réactifs aux campagnes pour améliorer les contrôles internes.

J'ai décidé de prendre une position contraire. L'expérience m'avait convaincu que pour créer des solutions viables, nous devions engager toutes les parties prenantes — chaque individu impacté par les politiques, technologies, et décisions — pas seulement ceux assis dans les salles de conseil.

Au lieu de punir les utilisateurs finaux et de se concentrer uniquement sur l'application des contrôles, nous avons convoqué une série de réunions avec les employés pour partager les meilleures pratiques, déterminer leurs points de douleur, et donner des conseils étape par étape sur la façon d'utiliser correctement les outils de sécurité.

Il s'est avéré que beaucoup de politiques de sécurité étaient obsolètes en raison d'une série de fusions. De plus, les utilisateurs géraient une pratique lourde d'expiration de mot de passe de 30 jours en écrivant leurs codes d'accès sur des Post-it. Des gens mal intentionnés avaient ainsi obtenu un accès non autorisé.

Basé sur les retours des employés, nous avons mis à jour les politiques et réécrit les procédures et standards pour qu'ils soient pertinents et clairs. Des tableaux de bord étaient utilisés pour suivre le progrès, et un système de récompense institué. Les fuites de données ont chuté, et une boucle de rétroaction a été établie entre les utilisateurs et le département de sécurité pour garder le programme pertinent. Les utilisateurs finaux ont été amenés dans le processus, avec des boucles éducatives pour repérer les problèmes potentiels.

L'expérience a reconfirmé qu'un processus de design centré sur les parties prenantes et l'humain, reposant sur l'implication, l'éducation, la conversion, et la récompense au lieu de la punition, produit les solutions de cybersécurité les plus complètes et durables.

J. Eduardo Campos dirige le cabinet de conseil Embedded-Knowledge Inc.