Les personnes cr茅ent la s茅curit茅

脡tablir une culture de la s茅curit茅 est l'objectif d茅clar茅 de nombreux RSSI, mais comment y parvenir concr猫tement ? La premi猫re formation continue qui transmet des connaissances interdisciplinaires dans les domaines de la cybers茅curit茅, de la psychologie comportementale, de la formation des adultes et de la communication d茅butera en janvier 2025. Le CAS Cyber Risk Awareness de la ZHAW place l'锚tre humain au centre de la s茅curit茅 - et il y a de bonnes raisons 脿 cela.

Texte: Cornelia Puhze, publi茅 le 27. ao没t 2024

Dans le secteur de la s茅curit茅 informatique, les connaissances techniques sont solidement ancr茅es. Les sp茅cialistes sont parfaitement familiaris茅s avec les syst猫mes complexes et les multiples sc茅narios de menaces. Mais il leur manque souvent un aspect tout aussi important : la gestion efficace des personnes et des organisations. C'est 茅tonnant, car sont caus茅es par des personnes qui n'ont pas d'intention malveillante, mais qui ont par exemple 茅t茅 victimes d'une attaque d'ing茅nierie sociale ou qui ont commis une erreur. Ce fait souligne l'urgence de prendre plus au s茅rieux le facteur humain dans la cybers茅curit茅.

Le confirme ce constat. L'une des principales conclusions est que les campagnes d'ing茅nierie sociale sous diff茅rentes formes repr茅sentent une menace consid茅rable pour les utilisateurs et les utilisatrices d'Internet. Il est particuli猫rement inqui茅tant de constater qu'avec l'茅mergence de l'intelligence artificielle g茅n茅rative (GenAI), cette menace ne cesse de cro卯tre. Les organisations criminelles utilisent des m茅thodes de plus en plus sophistiqu茅es pour manipuler les gens de mani猫re cibl茅e.

Ces d茅veloppements montrent clairement que les solutions techniques seules ne suffisent pas. Il est indispensable de comprendre le facteur humain et de l'aborder de mani猫re cibl茅e. C'est la seule fa莽on de prot茅ger les organisations contre des menaces de plus en plus complexes.

L'homme au c艙ur de la cybers茅curit茅

Les organisations sont confront茅es au d茅fi de sensibiliser le personnel aux cyberrisques et de le permettre d'adopter un comportement s没r dans l'espace num茅rique. La s茅curit茅 informatique n'est plus l'apanage des d茅partements techniques. Tout le personnel, de la direction aux collaborateurs et collaboratrices en stage, jouent un r么le d茅cisif dans la protection contre les cyberattaques.

Il est de plus en plus 茅vident que le "facteur humain" dans la s茅curit茅 de l'information n'est pas seulement un risque potentiel, mais aussi une ressource qu'il faut renforcer. C'est l脿 qu'intervient la nouvelle formation continue de la ZHAW School of Management and Law. Le (en allemand) vise 脿 promouvoir une culture d'entreprise ax茅e sur la s茅curit茅 en apprenant aux participants, de mani猫re pratique, comment influencer positivement les comportements au sein de leur organisation. La langue d'enseignement du CAS Cyber Risk Awareness est l'allemand.

La s茅curit茅 centr茅e sur l'humain est interdisciplinaire

Jusqu'脿 pr茅sent, la plupart des formations continues en s茅curit茅 de l'information avaient une orientation plut么t technique, c'est pourquoi nous avons con莽u avec le professeur Nico Ebert de la ZHAW un nouveau CAS qui comble cette lacune et met l'accent sur la s茅curit茅 centr茅e sur l'humain.

Le CAS Cyber Risk Awareness transmet des connaissances cibl茅es sur la mani猫re dont les organisations renforcent leur culture de la s茅curit茅 en initiant des changements de comportement aupr猫s de leur personnel. Le Cyber Risk Awareness Framework, qui est d茅riv茅 du mod猫le de management de St-Gall, sert de base au curriculum.

CAS Cyber Risk Awareness Framework — Graphique: ZHAW

Le cours est divis茅 en plusieurs modules qui s'encha卯nent syst茅matiquement. Le premier module est consacr茅脿 la conception de mesures de sensibilisation. Les personnes qui y participent apprennent comment cr茅er une prise de conscience des cyberrisques dans leur organisation et comment concevoir des processus de s茅curit茅 de mani猫re 脿 ce qu'ils soient g茅rables pour les personnes. Dans le deuxi猫me module, l'accent est mis sur la mise en 艙uvre pratique de ces mesures. Des outils et m茅thodes concrets sont enseign茅s afin d'influencer positivement le comportement du personnel et de s'assurer que les directives de s茅curit茅 ne sont pas seulement comprises, mais aussi appliqu茅es.

Changer de comportement est complexe

Convaincre les gens de changer de comportement, en particulier dans le contexte de la cybers茅curit茅, est une t芒che complexe. Les gens per莽oivent les risques de diff茅rentes mani猫res et leurs actions sont souvent influenc茅es par des habitudes, des attitudes inconscientes et d'autres facteurs.
Prenons l'exemple des diff茅rents facteurs qui influencent le comportement de reporting dans les organisations : Des facteurs tels que le temps, la convivialit茅 des syst猫mes de reporting et la peur des cons茅quences personnelles en cas de signalement d'une erreur personnelle jouent un r么le important dans le fait que le personnel signale ou non des incidents li茅s 脿 la s茅curit茅. En outre, s'ils ont le sentiment que leurs rapports ne sont pas pris au s茅rieux ou qu'ils n'entra卯nent pas de changement, ils sont moins enclins 脿 signaler les incidents futurs.

Cet visualise, 脿 l'aide de diagrammes d'influence, pourquoi il faut plus qu'une invitation unique 脿 signaler les incidents de s茅curit茅. Comme le montre cet exemple, le comportement de reporting d茅pend de nombreux facteurs, et pour 茅tablir un comportement cible souhait茅, une compr茅hension de base de la psychologie comportementale est essentielle.

Promouvoir une culture d'entreprise ax茅e sur la s茅curit茅

Une culture de la s茅curit茅 est l'objectif d茅clar茅 de nombreux RSSI. Le CAS Cyber Risk Awareness vise 脿 fournir les outils n茅cessaires pour emprunter cette voie avec succ猫s. Des connaissances pratiques permettent aux participants de d茅velopper des concepts de sensibilisation sur mesure avec des mesures fond茅es, de les 茅valuer et de les am茅liorer continuellement. Une sensibilisation et une formation cibl茅es du personnel permettent de cr茅er les bases d'une organisation r茅siliente.