Sensibilisation à la cybersécurité : l’autre pan indispensable à la sécurité des systèmes d’information Si nous avons l’habitude d’évoquer les solutions et innovations qui permettent d’élever le niveau de sécurité global des systèmes d’information, l’autre pan majeur, celui de la sensibilisation à la cybersécurité, mérite d’être abordé avec la même importance tant il est primordial dans la lutte contre les cyberattaques. Plusieurs études montrent en effet que ce sont les erreurs humaines d’employés bien intentionnés qui sont la principale menace pour la sécurité des systèmes d’information. Erreurs humaines : quelques exemples concrets Les erreurs humaines, par définition naturelles et inévitables, peuvent être préjudiciables pour la sécurité des systèmes d’information. . La sensibilisation à la cybersécurité permet de réduire leurs risques d’occurrences, notamment lorsqu’il s’agit d’erreurs provoquées par des tiers malveillants. Ces tiers malveillants s’appuient en effet sur les imprudences des utilisateurs pour parvenir à leurs fins. Il peut par exemple s’agir d’une opération de phishing (hameçonnage) : des emails prenant l’apparence de sources de confiance et invitant l’utilisateur à ouvrir une pièce-jointe infectée ou encore à se rendre sur une page web pouvant paraitre, de prime abord, de confiance, pour soutirer des informations confidentielles à l’individu. La fraude au président est un autre exemple de cyberattaque visant à pousser un collaborateur à la faute. Dans ce cas de figure, ce sont les comptables qui sont ciblés. Après avoir récupéré des informations relatives à la société cible, le fraudeur se présente comme l’un de ses dirigeants et entre en contact avec une personne du service comptable pour lui demander de réaliser un virement urgent et confidentiel sur un compte tiers. Le fraudeur insiste particulièrement sur l’aspect confidentiel de cette transaction pour que le comptable n’en réfère pas à d’autres personnes qui seraient potentiellement en mesure de découvrir le pot aux roses. Ces erreurs humaines sont aussi parfois du seul fait des collaborateurs. Il peut par exemple s’agir d’effacement accidentel de données essentielles à l’organisation ou encore d’un utilisateur qui partagerait son couple login / mot de passe avec certains de ses collègues voire infogéreurs, ce qui permettrait à certaines personnes d’accéder à des applications et ressources auxquelles ils n’ont pas le droit d’accéder, par exemple pour des raisons de ségrégation des tâches (concept qui consiste à ce que plusieurs personnes soient nécessaires pour accomplir une tâche afin de prévenir toute fraude ou erreur : par exemple, la personne qui valide un paiement doit être différente de celle qui effectue le paiement). Sensibilisation à la cybersécurité : comment s’y prendre ? La sensibilisation à la cybersécurité peut prendre plusieurs formes, complémentaires entre elles pour garantir un niveau de connaissances des risques cyber suffisamment élevé de la part de l’ensemble des collaborateurs d’une organisation. Plusieurs actions peuvent ainsi être menées pour favoriser cette sensibilisation à la cybersécurité : Disposer d’une charte informatique qui réglemente les usages numériques, en énumérant notamment les actions à proscrire et les bonnes pratiques à suivre en matière de cybersécurité.Organiser des formations pour éduquer le personnel sur les bonnes pratiques et donner des exemples concrets d’erreurs humaines, spontanées ou provoquées par des tiers pour rendre plus concrètes les menaces qui pèsent sur le système d’information.Lancer des campagnes factices, par exemple de phishing, à destination des collaborateurs car c’est aussi en commettant des erreurs que l’on apprend. Ainsi toute personne ayant ouvert l’email reprenant les codes du phishing et ayant cliqué sur le lien ou la pièce-jointe faussement infectée se verrait indiquée le risque qu’elle aurait pu faire encourir à sa société en cas de phishing réel. Une session de formation ou un rappel des bonnes pratiques issues de la charte informatique peuvent ensuite compléter cette alerte. Ces actions de formations et de campagnes doivent être régulières, afin de sensibiliser rapidement les nouveaux collaborateurs, de même que la charte informatique doit évoluer au même rythme que l’évolutivité des menaces. Ces actions de sensibilisation permettent ainsi à l’utilisateur d’être un véritable acteur de la sécurité de son environnement de travail ce qui élève le niveau global de sécurité des systèmes d’information.