Passer de la sensibilisation à un état de vigilance : un axe-clé en matière de cybersécurité

L'objectif étant de créer les réflexes qui permettront à tous de jouer un rôle moteur pour se protéger de ces menaces aux conséquences multiples pour les entreprises : fuite d'informations-clés, perte de réputation, dégradation de la confiance des clients et partenaires.

Une adaptation permanente des habitudes et des comportements est nécessaire pour y faire face. Ainsi, après s'être concentrées sur les axes « sensibilisation » aux risques cyber, les entreprises doivent passer en mode « entrainement intensif » de leurs collaborateurs et positionner ces derniers comme ultime rempart face aux assauts des cybercriminels.

En positionnant la formation continue comme une donnée clé des politiques de sécurité et de cyber défense, les entreprises pourront passer d'un état de conscience des risques à un état de vigilance. Cet état désigne l'obligation de demeurer sur ses gardes et d'envisager le présent à l'aune des menaces qui pèsent sur elles.

La fin de l'omniprésence des technologies comme barrage absolu contre les nouvelles menaces

Il est primordial de bien intégrer que, tout en restant nécessaires, les technologies à elles seules ne suffisent plus à se protéger. En effet, l'aspect l'humain est tout aussi important et doit être clairement abordé dans les politiques de sécurité. Cette prise de conscience amène de nombreuses entreprises à réaliser des actions orientées « sensibilisation », et ce, sous différents formats : formations présentielles, affichages, exercices de simulation, e-learning.
Pour autant, ici encore, la démarche n'est pas suffisante. Ces actions sont trop souvent ponctuelles et n'ancrent pas les réflexes qui permettront de passer de l'état de « Compétent Conscient » à celui de « Compétent Inconscient » si souvent décrit en PNL*.

L'étape ultime, que les entreprises vont devoir franchir, est donc celle de l'état de perpétuelle vigilance, de l'exercice inconscient et automatique d'une compétence. S'inspirant de l'approche Znanshin**, il s'agit, au même titre que dans notre quotidien, de prêter une attention particulière et continue à des actions ou des comportements qui pourraient être dangereux et exposer le système d'information à une intrusion ou un piratage.
On peut imaginer créer des programmes d'entrainement continu, avec des mises en situation plus régulières, permettant aux collaborateurs de développer des automatismes et de devenir ce dernier filtre de protection.

En effet, bien que l'intelligence artificielle se développe fortement et permette de déceler des comportements dangereux, elle n'est pas encore suffisamment aboutie pour remplacer l'analyse faite par un humain. Il est donc absolument nécessaire que les collaborateurs évoluent pour atteindre cet état de veille continue qui leur permettra de prendre les bonnes décisions au bon moment, de mieux collaborer et de savoir quoi faire sans paniquer.

Pour arriver à un tel résultat, il faut aussi penser aux partages d'informations entre les collaborateurs et créer un véritable réflexe communautaire, indispensable pour atteindre l'état de vigilance souhaité. À ce stade, le digital et les plateformes collaboratives sont de véritables alliés, notamment pour les organisations décentralisées. Il sera ainsi possible de créer des forums internes, espaces intranet et outils permettant de faire remonter en temps réel différentes informations auprès des RSSI ou au contraire, de les faire descendre auprès des équipes opérationnelles.

Au regard de ces éléments, il apparait donc que l'homme va continuer de jouer un rôle-clé dans les dispositifs de sécurisation du système d'information et que la culture de la vigilance représente un projet d'entreprise central à initier pour se protéger durablement et efficacement.

*Programmation Neuro-Linguistique
**Le terme Zanshin provient du japonais ?? et signifie vigilance envers l'adversaire, littéralement « l'esprit qui demeure ». Il s'agit d'une attitude développée dans les arts martiaux japonais. (source)

Matthieu Bonenfant, Chief Marketing Officer - Stormshield.