24 octobre 2023 - Cyber security
95 % des piratages et des fuites de données sont dus à des erreurs humaines :
- Cliquer sur un lien phishing
- Ne pas mettre à jour régulièrement les logiciels
- Travailler sur un réseau Wi-Fi public sans VPN
- Utilisation de mots de passe faibles
La plupart de ces erreurs humaines peuvent être évitées en améliorant l'état de la cyber security awareness au sein de votre organisation.
Dans cet article, vous apprendrez les bases de security awareness et comment votre organisation peut commencer à l'améliorer dès aujourd'hui.
Qu'est-ce que security awareness: une définition
Security awareness Le terme "sécurité en ligne" désigne la compréhension des cybermenaces et des meilleures pratiques pour protéger les informations et les systèmes sensibles. Il s'agit de reconnaître les risques potentiels, d'adopter des comportements sûrs et de se tenir informé de l'évolution des cybermenaces afin de se protéger contre les violations de données, les logiciels malveillants et d'autres problèmes de sécurité en ligne.
Pourquoi security awareness est plus important que jamais
Il y a beaucoup d'idées fausses sur security awareness. En voici quelques-unes que nous entendons souvent :
→ "La sécurité relève de la responsabilité du service informatique, pas de la mienne".
→ "Les cybercriminels sont trop avancés pour que la formation security awareness soit efficace"
→ "Les cybercriminels ne piratent que les grandes entreprises, pourquoi me cibleraient-ils ?"
→ "Mes employés n'ont pas besoin de formation, ils sont des utilisateurs expérimentés d'Internet"
Comme indiqué dans l'introduction de cet article, 95 % des piratages et des fuites de données sont dus à une erreur humaine. Quel que soit le logiciel cyber security que vous avez mis en place, il ne peut pas vous protéger des erreurs humaines telles que cliquer sur un lien phishing ou utiliser des mots de passe faibles. Cela signifie que chaque employé de votre organisation a la responsabilité d'assurer la sécurité des données de votre entreprise.
De nombreuses tactiques utilisées par les cybercriminels ne sont pas aussi avancées qu'on le pense. Une fois que votre équipe connaît les principes de base, les risques de violation de données diminuent considérablement. Par exemple, la plupart des fuites de données sont encore causées par des mots de passe faibles et l'absence d'authentification à deux facteurs.
Voici un exemple de piratage éthique du système d'une organisation. Pas avec des outils sophistiqués, mais avec une simple ingénierie sociale :
Si votre organisation est consciente de ces menaces et a mis en place les procédures adéquates, des exemples de piratage comme celui-ci sont beaucoup moins susceptibles de se produire.
La plupart des grandes entreprises ont investi à fond dans cyber security. C'est pourquoi les cybercriminels élargissent leur champ d'action et s'attaquent aux entreprises de toute taille. En 2022, les cyberattaques contre les petites entreprises étaient plus plus fréquentes que celles visant les grandes entreprises. La même année, les cyberattaques mondiales ont augmenté de 22 %.
Tout cela signifie que les entreprises de toutes tailles doivent impérativement investir dans le site security awareness pour l'ensemble de leur organisation.
Comment développer security awareness au sein d'une organisation
Pour développer un programme security awareness solide au sein de votre organisation, vous devrez suivre les étapes suivantes.
Obtenir l'adhésion des dirigeants
Avant de lancer une campagne sur security awareness , assurez-vous d'obtenir le soutien de votre équipe de direction. Si la direction ne s'investit pas, tous vos efforts ne serviront finalement à rien. Si votre PDG ne se sent pas concerné, pourquoi le reste de l'entreprise se sentirait-il investi ?
Faites-leur part de l'importance de security awareness (ou partagez simplement cet article 😉 ) et créez une cadence régulière au cours de laquelle vous les tenez au courant des projets de sécurité en cours.
Une fois que votre équipe dirigeante est convaincue de la nécessité de la cyber security awareness, vous pouvez commencer à vous concentrer sur ce que l'on appelle les champions départementaux. Il s'agit souvent de chefs d'équipe qui sont plus proches du reste de l'entreprise et qui peuvent avoir besoin de vous aider à mettre en œuvre des initiatives de sécurité. C'est par leur intermédiaire que vous communiquez les préoccupations et les nouvelles mesures de sécurité.
Si vous travaillez dans une grande organisation et que vous devez convaincre un grand nombre de parties prenantes, il peut être utile de les répertorier dans un modèle de gestion des parties prenantes.
Lorsque vous présentez vos projets à l'équipe dirigeante, il est important de préciser qu'il s'agit d'un programme à long terme. Si cela n'est pas clair, certaines personnes peuvent penser que vous organiserez un événement ponctuel. Or, pour être efficace, votre programme de sensibilisation doit être un marathon et non un sprint.
Mettre en place des politiques et des procédures claires
Les politiques et procédures de sécurité constituent le fondement de la défense de toute organisation contre les cyberattaques. Elles constituent un ensemble de lignes directrices qui définissent non seulement la manière de protéger les données, les systèmes et les réseaux, mais qui dictent également le comportement des employés dans le monde numérique.
Voici deux exemples de politiques de sécurité essentielles :
- Politique de contrôle d'accès aux données : Cette politique indique qui peut accéder aux données sensibles et dans quelles circonstances. Elle définit les rôles et les autorisations des utilisateurs, les méthodes d'authentification de l'accès et les restrictions relatives au partage des données. Elle empêche les personnes non autorisées de consulter et de modifier des informations confidentielles.
- Politique en matière de mots de passe : Une politique de mot de passe solide établit des lignes directrices pour la création et la gestion des mots de passe. Elle impose des critères de complexité, d'expiration et de protection des mots de passe. Cela réduit le risque d'accès non autorisé aux comptes.
Vous avez également besoin de procédures claires sur la manière dont les employés doivent agir lorsqu'ils sont confrontés à une cybermenace ou même à une violation.
Mettre en place des formations récurrentes pour les employés
Une fois que l'équipe dirigeante a donné son accord, il est temps de mettre en place une formation de sensibilisation pour tous les membres de l'organisation. Au cours de ces formations, les employés doivent être informés de toutes les cybermenaces pertinentes, que nous aborderons plus loin dans cet article.
Lorsque vous recherchez une solution de formation, tenez compte des aspects suivants :
- Choisissez une solution de formation basée sur la gamification. Un jeu security awareness comme Guardey permet aux utilisateurs d'apprendre activement.
- Proposer des formations récurrentes. Les entreprises proposent souvent des formations annuelles qui permettent d'acquérir rapidement des connaissances, mais qui n'entraînent pas de changement de comportement durable. Recherchez des solutions de formation qui proposent des formations hebdomadaires de courte durée.
- Veillez à proposer des formations sur toutes les cybermenaces actuelles. Par exemple, si une solution de formation ne contient aucun contenu sur les menaces de l'IA, ce n'est pas la bonne solution. Les cybercriminels évoluent rapidement, ce qui signifie que votre solution de formation doit évoluer aussi rapidement pour que vos employés soient toujours au courant.
Donnez un ton positif à votre programme
La communication autour de cyber security a souvent un ton négatif. Lorsque les employés échouent à un test phishing ou n'obtiennent pas de bons résultats lors d'une formation de sensibilisation, ils peuvent avoir l'impression d'être jugés, voire punis. C'est pourquoi il est essentiel de positionner votre programme comme quelque chose qui bénéficie à la fois à votre organisation et à l'employé.
Dans cette optique, il faut également comprendre que les gens ne s'intéressent pas à votre programme de sécurité de la même manière que vous. Communiquer le pourquoi peut donc vraiment faire une grande différence. Dressez un tableau vivant de l'impact que peut avoir l'absence d'un programme security awareness .
Quelles sont les cybermenaces à inclure dans la formation ?
Security awareness ne se limite pas à phishing et à la gestion des mots de passe. Lorsque vous formez votre personnel, vous devez vous assurer de couvrir toutes les cybermenaces auxquelles vous pouvez être confronté. Voici une liste loin d'être exhaustive qui vous donne une idée des menaces qu'il convient d'inclure dans la formation.
- Phishing attaques: Apprenez à votre équipe à reconnaître les courriels phishing et les liens suspects, et insistez sur l'importance de ne pas partager d'informations sensibles avec des sources inconnues.
- Ransomware: Fournir des conseils sur l'identification des menaces potentielles de ransomware et souligner l'importance de sauvegarder régulièrement les données.
- Ingénierie sociale: Former les employés à être prudents lorsqu'ils partagent des informations sensibles en personne, par téléphone ou en ligne, et à vérifier l'identité des personnes qui demandent des données confidentielles.
- Sécurité des mots de passe: Encouragez l'utilisation de mots de passe solides, notamment en utilisant des mots de passe complexes et uniques, en activant l'authentification à deux facteurs et en évitant le partage de mots de passe.
- Logiciels malveillants: Sensibilisez les employés aux risques liés au téléchargement de logiciels ou de fichiers à partir de sources non fiables et à l'importance d'utiliser un logiciel antivirus fiable.
- Menaces d'initiés: Sensibiliser au risque d'actions malveillantes de la part d'employés ou de partenaires, en insistant sur la nécessité d'une culture de la vigilance et de la confiance.
- Risques liés au BYOD (Bring Your Own Device): Fournir des lignes directrices pour une utilisation sécurisée des appareils personnels sur le lieu de travail et reconnaître les menaces potentielles pour la sécurité qui y sont associées.
- Traitement et protection des données: Expliquez aux employés comment traiter, stocker et transmettre correctement les données sensibles afin d'éviter les violations de données et les accès non autorisés.
- Sécurité Wi-Fi: Sensibilisez les employés aux dangers de l'utilisation de réseaux Wi-Fi publics non sécurisés et à l'importance d'utiliser un réseau privé virtuel (VPN) si nécessaire.
- Sécurité du courrier électronique: mettre l'accent sur les meilleures pratiques en matière de courrier électronique, telles que la vérification des expéditeurs, le refus d'ouvrir des pièces jointes ou de cliquer sur des liens dans des courriels suspects, et le signalement des tentatives d'envoi de messages à l'adresse phishing .
Et la liste est encore longue. Si une solution de formation security awareness ne couvre pas quelques-uns des sujets ci-dessus, considérez qu'elle est incomplète et qu'elle ne convient pas.
Le bilan
Contrairement à la croyance populaire, il est possible d'être plus malin que les pirates informatiques. Les organisations sensibilisées à la sécurité sont tout simplement moins susceptibles d'être touchées par des cyberattaques. La plupart des piratages et des fuites de données sont encore dus à de simples erreurs humaines : cliquer sur des liens phishing , travailler à partir d'un réseau non sécurisé ou ne pas utiliser l'authentification à deux facteurs.
Pour établir le cyber security awareness au sein de votre organisation, vous devriez envisager de proposer régulièrement des formations sur le site security awareness . Cela permet à vos employés de se familiariser avec les plus grands risques cybernétiques et d'agir en conséquence lorsqu'ils sont confrontés à l'un d'entre eux.
Avec le jeu security awareness de Guardey, votre équipe reçoit un défi hebdomadaire de 3 minutes sur un sujet de sécurité spécifique. Le jeu est conçu en collaboration avec des hackers éthiques et des pédagogues afin d'obtenir un changement de comportement durable. Vous pouvez dès à présent commencer un essai gratuit de 14 jours.
