L'élément humain critique dans la stratégie de cybersécurité

La complexité de la cybersécurité a augmenté de façon exponentielle à mesure que le nombre d'appareils numériques interconnectables a augmenté. Étant donné que les infrastructures informatiques interdépendantes soutiennent presque toutes les organisations aujourd'hui, la protection des données numériques est devenue cruciale.

Trente-sept pour cent des PDG interrogés déclarent qu'un risque important réside au sein de l'entreprise étendue et des partenaires clés de l'entreprise. Et les mesures préventives seules ne suffisent plus. Le nouvel environnement exige une surveillance vigilante et une innovation créative. Cela nécessite la participation de toutes les parties prenantes.

L'élément humain est essentiel. L'efficacité avec laquelle vous contrôlez, formez et équipez les employés fera ou détruira votre système de cybersécurité, votre réputation auprès des clients et des partenaires, et peut-être même votre entreprise elle-même.

Alors que 89 % des dirigeants pensent que les employés protégeront les informations de manière responsable, 22 % déclarent que leurs employés ne sont pas au courant des politiques de données hors site. Les appareils les plus à risque sont les téléphones portables d'entreprise (50 %), les ordinateurs portables d'entreprise (45 %) et les périphériques de stockage USB (41 %).

Dans son rapport sur 2018 Views From the C-Suite , À. Kearney a découvert que 85 % des entreprises ont subi des failles de sécurité au cours de la dernière année. Seulement 40 % ont conçu et mis en œuvre des stratégies de cybersécurité en réponse.

En plus de se concentrer sur les employés, il est important d'impliquer l'ensemble de la chaîne d'approvisionnement. Les dirigeants d'entreprise citent quatre principales tactiques pour garantir une cybersécurité viable :

• Mesures complètes de sécurité des informations,
• Recruter des professionnels de l'informatique hautement qualifiés,
• Analyse du comportement en matière de cybersécurité, et
• Programmes de formation des employés.

Le nouveau paradigme de la cybersécurité consiste à impliquer, convaincre, éduquer, convertir et récompenser. Les utilisateurs finaux sont souvent injustement stéréotypés comme non coopératifs, opposés au contrôle et peu disposés à changer de comportement. En même temps, ils sont le maillon faible de la cybersécurité. Même les experts techniques approfondis peuvent être aussi vulnérables que les utilisateurs réguliers moins formés et préparés.

Un exemple concret :il y a des années, en tant que RSSI d'un opérateur sans fil en Amérique du Sud, j'ai été chargé de réduire le nombre croissant de fuites de données. Un cadre supérieur a recommandé une application stricte des politiques de sécurité. Les utilisateurs finaux, a-t-il déclaré, n'avaient pas pris d'engagement en matière de sécurité et n'avaient pas réagi aux campagnes visant à améliorer les contrôles internes.

J'ai décidé d'adopter une position à contre-courant. L'expérience m'avait convaincu que pour élaborer des solutions viables, nous devions impliquer toutes les parties prenantes - chaque individu impacté par les politiques, les technologies et les décisions - et pas seulement ceux qui siègent dans les salles de réunion.

Au lieu de punir les utilisateurs finaux et de nous concentrer uniquement sur l'application des contrôles, nous avons organisé une série de réunions avec les employés pour partager les meilleures pratiques, déterminer leurs points faibles et donner des conseils étape par étape sur la manière d'utiliser correctement les outils de sécurité.

Il s'est avéré que de nombreuses politiques de sécurité étaient obsolètes en raison d'une série de fusions. De plus, les utilisateurs étaient confrontés à une lourde pratique d'expiration de mot de passe de 30 jours en écrivant leurs codes d'accès sur des notes Post-It. Des personnes mal intentionnées avaient ainsi obtenu un accès non autorisé.

Sur la base des commentaires des employés, nous avons mis à jour les politiques et réécrit les procédures et les normes afin qu'elles soient pertinentes et claires. Des tableaux de bord ont été utilisés pour suivre les progrès et un système de récompense a été institué. Les fuites de données ont diminué et une boucle de rétroaction a été établie entre les utilisateurs et le service de sécurité pour maintenir la pertinence du programme. Les utilisateurs finaux ont été associés au processus, avec des boucles pédagogiques pour repérer les problèmes potentiels.

L'expérience a reconfirmé qu'un processus de conception centré sur les parties prenantes et l'humain, reposant sur l'implication, l'éducation, la conversion et la récompense au lieu de punir, produit les solutions de cybersécurité les plus complètes et les plus durables.

J. Eduardo Campos dirige le cabinet de conseil Embedded-Knowledge Inc.