13 octobre 2023 • Cyber security
La plupart des programmes de sécurité se concentrent sur la technologie et les processus. Pour la plupart des RSSI, c'est la partie facile. C'est ce pour quoi ils ont été formés.
Le plus difficile, ce qui fait échouer même les stratégies de sécurité les mieux conçues, ce sont les personnes.
Les gens ignorent les gestionnaires de mots de passe. Les gens cliquent sur des liens de phishing. Les gens oublient leurs ordinateurs portables dans les taxis. Et si vous êtes un CISO, vous le savez déjà : aucun outil ne peut corriger une culture qui ne prend pas la sécurité au sérieux.
Ce guide porte sur cette partie la plus difficile. Il s'agit de construire une véritable culture de Security Awareness Training. Pas une qui se contente de cocher une case, mais une qui modifie réellement les comportements.
Qu'est-ce qu'une culture de la sécurité informatique ?
La culture n'est pas une déclaration de mission, un document de politique ou une formation annuelle. C'est la somme de ce que les gens croient et de la façon dont ils se comportent, surtout quand personne ne les regarde.
Dans une entreprise dotée d'une forte culture de Security Awareness Training :
- Les employés savent quelles menaces sont importantes.
- Ils comprennent ce qui est attendu.
- Ils mettent en pratique ces connaissances sans qu'il soit nécessaire de les y inciter.
Pourquoi est-ce important ? Parce que presque toutes les violations — 95 %, en fait — sont liées à l'erreur humaine. Cliquer sur le mauvais lien. Réutiliser le mauvais mot de passe. Télécharger le mauvais fichier sur le mauvais réseau Wi-Fi.
Et plus votre personnel est dispersé, plus les enjeux sont importants. Vous ne pouvez pas tout imposer. Vous avez besoin que les gens se sentent concernés.
Une culture de Security Awareness transforme le risque passif en défense proactive. Mais cela ne se produit pas par hasard. Cela demande une conception.
Voici comment le construire.
1. Commencer par le haut (ou arrêter avant de commencer)
La culture de la sécurité commence là où la culture d'entreprise prend racine : le leadership.
Si votre PDG ne parle pas de sécurité, personne d'autre ne le fera. Si les dirigeants ne suivent pas la formation, il en sera de même pour tous les autres. Et si votre conseil d'administration considère la sécurité comme un centre de coûts, devinez comment il percevra vos initiatives ?
C'est pourquoi votre première tâche n'est pas la Security Awareness Training. C'est l'adhésion interne.
Utilisez un tableau de bord simple qui montre comment la sensibilisation s'améliore — ou là où elle fait défaut. Faites des rapports réguliers sur le nombre de cyber-risques signalés, la participation aux formations et les sujets qui nécessitent le plus d'attention. L'objectif est de faire de la culture de la sécurité une priorité à l'échelle de l'entreprise, et non un projet annexe.
Une fois que la direction est alignée, descendez d'un niveau. Les chefs de service et les chefs d'équipe sont vos relais. Donnez-leur de la visibilité sur les performances de leur équipe. Demandez des retours et faites-en des co-responsables des résultats.
Conseil : Si vous gérez des dizaines de parties prenantes, utilisez un simple outil de suivi ou une cartographie des parties prenantes. Ne perdez pas le fil.
2. Définissez votre marque avant que d'autres ne le fassent.
Chaque programme de sécurité a une réputation, que vous l'ayez façonnée ou non.
Certains sont perçus comme des freins. D'autres comme des alliés. Si vous voulez que votre organisation s'implique, définissez votre positionnement.
Créez une déclaration de marque de sécurité. Ce n'est pas un slogan, mais un guide interne qui répond à de vraies questions :
- Qui appeler en cas de doute ?
- Comment la sécurité réagira-t-elle ?
- Quels sont les comportements que nous récompensons ?
Ensuite, au lieu de simplement le diffuser, vivez-le. Comme le dit Jadee Hanson, CISO : « Ne le communiquez pas — célébrez-le. » Quand quelqu'un signale une tentative de phishing, mentionnez son nom sur Slack. Quand une équipe excelle aux scores de formation, félicitez-la lors des réunions générales. La preuve sociale est plus efficace qu'un document de politique.
La culture est contagieuse lorsqu'elle est visible.
3. Formez-vous chaque semaine (ou ne vous formez pas du tout)
La plupart des entreprises organisent une formation à la sécurité une ou deux fois par an. Généralement pour cocher une case de conformité, non pas parce qu'elles s'attendent réellement à un changement de comportement tangible de la part de leurs employés.
Un réel changement de comportement exige de la répétition. La recherche montre que 90 % de ce que les gens apprennent lors d'une session unique est oublié en 24 heures, sans parler de 4 semaines. Vous devez considérer la sensibilisation comme un muscle — quelque chose qui se construit avec le temps.
Les meilleurs programmes sont courts, fréquents et axés sur des scénarios réels :
- Phishing & smishing
- Télétravail sécurisé
- Fraude au PDG
- Mises à jour logicielles
- Hygiène ransomware
Ne comptez pas sur des experts internes pour le dispenser manuellement. L'enseignement est une compétence à part entière — et la plupart des équipes de sécurité n'ont ni le temps ni l'expérience pour élaborer des programmes de formation attrayants.
Utilisez une solution conçue pour le changement de comportement. Par exemple, Guardey propose des défis gamifiés hebdomadaires de 3 minutes, conçus par des experts en sécurité et des spécialistes de l'éducation. C'est léger, cohérent et mesurable.
4. Communiquer excessivement (puis communiquer à nouveau)
La sécurité n'est une priorité que si vous la maintenez activement à l'esprit.
Tout comme une culture d'entreprise solide exige de répéter les mêmes valeurs encore et encore, une culture de la sécurité robuste nécessite une communication continue et visible.
Cela signifie :
- Partager les mises à jour et les succès dans les canaux publics
- Mise en évidence des performances de l'équipe dans les tableaux de bord de formation.
- Mettre en avant le signalement rapide des incidents
- Répondre aux questions publiquement, pas seulement en messages privés
Exemple : « Peter a repéré un e-mail suspect cette semaine et l'a signalé avant que quiconque ne clique dessus. Ce type de vigilance nous protège tous. 🙌 »
Chez Royal Koopmans, ils ont même remis un trophée au département qui a terminé en tête du classement de leur plateforme de Security Awareness.
Lorsque les gens voient qu'un comportement est reconnu, ils le reproduisent.
De plus : assurez-vous que votre équipe de sécurité est facilement joignable. Si quelqu'un hésite à signaler quelque chose, cette hésitation pourrait vous coûter cher.
5. Mesurer ce qui compte (et ce qui n'apparaît pas dans les rapports)
La plupart des CISO suivent les taux de participation, les scores des quiz ou les taux de clics des simulations de phishing.
Ils sont utiles, mais ce sont des indicateurs retardés.
Les signaux les plus révélateurs sont souvent plus difficiles à suivre :
- Les employés signalent-ils davantage d'incidents au fil du temps ?
- Les équipes signalent-elles les risques potentiels avant qu'ils ne s'aggravent ?
- Observez-vous des conversations spontanées sur la sécurité en dehors de votre service ?
C'est la différence entre la conformité et la culture. Lorsque vos collaborateurs commencent à se tenir mutuellement responsables — lorsqu'ils commencent à poser des questions avant de déployer de nouveaux outils — vous avez atteint la vitesse de libération.
Vous souhaitez approfondir cette compréhension ? Menez des sondages d'opinion réguliers. Posez des questions ouvertes. Utilisez ce que vous apprenez pour affiner votre formation et vos communications.
Ensuite, bouclez la boucle. Montrez comment les retours des employés ont façonné votre stratégie.
La culture est le véritable pare-feu
La plupart des entreprises traitent encore la culture de la sécurité comme un projet secondaire. Mais la vérité est : c'est votre seule défense durable.
Les logiciels évoluent. Les menaces évoluent. Mais si vous construisez une culture où chaque employé prend ses responsabilités, vos chances d'atténuer les risques seront supérieures à la moyenne.
On n'y parvient pas avec une formation annuelle unique. On y arrive par la cohérence, la clarté et un leadership exemplaire.
