Évolution vers une gestion des risques liés aux personnes

La formation à la sensibilisation à la sécurité fait partie intégrante des programmes de cybersécurité depuis des années. La plupart des entreprises le mettent en œuvre, la plupart des salariés y participent, et la plupart des critères de conformité sont respectés. Mais voici la vérité dérangeante : la sensibilisation à elle seule ne suffit pas à faire bouger les choses. Les menaces internes, l'utilisation abusive des identifiants et l'erreur humaine sont désormais à l'origine de la majorité des incidents de sécurité, et 8 % seulement des employés sont responsables de 80 % d'entre eux. Si la formation suffisait, ces chiffres seraient bien différents à l'heure actuelle.

C'est dans le fossé entre la théorie et la pratique que les organisations sont les plus vulnérables. Les employés ont peut-être conscience que cliquer sur des liens suspects comporte des risques, mais en l'absence d'une culture d'entreprise, de procédures et de systèmes d'accompagnement adaptés, les comportements à risque persistent. C'est pourquoi les responsables de la sécurité les plus avant-gardistes délaissent la sensibilisation traditionnelle à la sécurité au profit d'une approche plus globale : la gestion des risques liés au facteur humain.

Qu'est-ce que la gestion des risques liés au facteur humain ?

La gestion des risques liés au facteur humain (HRM) est une approche globale de la cybersécurité qui va au-delà de la simple sensibilisation des personnes aux différentes formes que peuvent prendre les menaces. Elle vise à identifier, quantifier, gérer et, à terme, réduire les risques que le comportement humain fait peser sur une organisation. Alors que les modèles traditionnels se limitent à la conformité ou à la sensibilisation, la gestion des ressources humaines (GRH) s'attache à surveiller les comportements des utilisateurs présentant le plus de risques et à générer des résultats mesurables grâce à une amélioration continue.

Voyez les choses ainsi : la sensibilisation indique aux gens ce qu'ils doivent faire. La gestion des ressources humaines met en place l'environnement, les outils et les mécanismes de retour d'information qui vous aident à y parvenir concrètement. Par ailleurs, la gestion des ressources humaines (GRH) prouve son efficacité.

Pourquoi ce changement est-il important aujourd'hui ?

Le paysage des menaces évolue rapidement, et les targeted attack évoluent elles aussi. Selon le rapport « The State of Human Risk 2026 » de Mimecast, 71% des organisations s'attendent à subir des répercussions négatives sur leurs activités suite à des attaques visant leurs outils de collaboration cette année, tandis que 45% font déjà face à une recrudescence des cyberattaques sur des plateformes telles que Teams, Slack et Zoom. Par ailleurs, 80 % des organisations s'inquiètent des fuites de données sensibles via les outils d'IA générative, et 60 % d'entre elles ne disposent toujours pas de stratégies spécifiques pour faire face aux menaces liées à l'IA, alors même que 98 % d'entre elles utilisent déjà l'IA dans le cadre de leurs systèmes de défense.

Les enjeux financiers sont colossaux. Les entreprises subissent en moyenne six incidents liés à des acteurs internes par mois, dont le coût est estimé à 13,1 millions de dollars par incident, et 66 % d'entre elles s'attendent à ce que les pertes de données liées à des acteurs internes augmentent au cours de l'année à venir. Pourtant, seules 28 % des entreprises associent des formations régulières de sensibilisation à la sécurité à une surveillance continue des violations des politiques. C'est précisément ce décalage entre la prise de conscience et l'action qui est à l'origine des failles de sécurité. Le défi ne consiste pas simplement à dépenser davantage. Il s'agit de dépenser plus judicieusement, ce qui implique d'aborder le facteur humain avec la même rigueur que celle appliquée aux dispositifs de protection techniques.

Les quatre domaines de la gestion des ressources humaines

La solution « Mimecast Human Risk Management » offre un cadre structuré aux organisations qui souhaitent opérer cette transition. Elle organise les compétences en gestion des ressources humaines autour de quatre domaines interdépendants :

La culture est le fondement. Ce domaine examine la manière dont les comportements, les valeurs et les attentes en matière de sécurité s'intègrent dans les routines quotidiennes et les pratiques d'équipe. Il ne s'agit pas seulement d'examiner la fréquence des formations, mais aussi de déterminer si les collaborateurs se sentent en sécurité sur le plan psychologique lorsqu'ils signalent des erreurs, si la direction soutient ouvertement les comportements sécuritaires et si la sécurité est considérée comme une responsabilité partagée plutôt que comme un problème relevant du service informatique. Une culture de sécurité solide est celle dans laquelle agir correctement fait tout simplement partie de la manière dont le travail est effectué.

La technologie joue un rôle de catalyseur. Ce domaine permet de déterminer si les outils de sécurité sont intégrés dans l'ensemble des principaux systèmes d'entreprise et si les données comportementales sont collectées, analysées et exploitées. Lorsque leur niveau de maturité est plus élevé, les organisations ont recours à l'analyse comportementale et à l'automatisation pour mettre en place des interventions « juste à temps », c'est-à-dire des incitations opportunes au moment même où le risque se présente, plutôt que des rappels génériques envoyés plusieurs mois après les faits.

La conformité en matière de cybersécurité garantit que les politiques ne sont pas seulement consignées par écrit, mais qu'elles sont également activement mises à jour, appliquées et adaptées. Cela comprend la gestion des risques liés au facteur humain introduits par des tiers et des fournisseurs, l'automatisation du suivi de la conformité et le maintien d'une capacité à faire face à tout audit. Pas moins de 91 % des organisations sont confrontées à des défis en matière de gouvernance et de conformité, et 36 % d'entre elles s'appuient encore sur des processus de surveillance manuels, ce qui engendre inévitablement des goulots d'étranglement à mesure que les volumes de données augmentent.

C'est au niveau des résultats et de leur évaluation que la gestion des ressources humaines démontre toute sa valeur. Ce domaine permet de déterminer si les mesures mises en œuvre modifient réellement les comportements et réduisent le nombre d'incidents. Elle va au-delà des indicateurs de vanité, tels que les taux d'achèvement des formations, pour se concentrer sur des indicateurs pertinents : la réduction des incidents liés au facteur humain, l'évolution des comportements au fil du temps et la valeur commerciale quantifiée des investissements en gestion des ressources humaines.

Un voyage, pas une destination

Mimecast HRM définit cinq niveaux, allant d'une approche réactive et ponctuelle au niveau 1 à une culture de sécurité pleinement résiliente et prédictive au niveau 5. La plupart des organisations n'atteindront pas le niveau le plus élevé du jour au lendemain, et elles n'en ont d'ailleurs pas besoin. Mimecast HRM est conçu pour permettre une progression progressive : il identifie les lacunes, fixe des objectifs réalisables et renforce les capacités au fil du temps.

Le plus important, c'est de commencer par une évaluation honnête. Dans quelles matières avez-vous obtenu vos notes les plus basses ? Ce sont probablement les domaines dans lesquels des investissements ciblés auront le plus grand impact. Les progrès réalisés dans un domaine favorisent souvent ceux réalisés dans d'autres. Une technologie plus performante permet d'obtenir de meilleures données de mesure. Une culture d'entreprise plus forte renforce l'efficacité de la mise en conformité et de l'adoption des technologies.

Passer à l'étape suivante

La gestion des risques liés au personnel marque un changement fondamental dans la manière dont les organisations envisagent leur personnel et la sécurité. Il ne s'agit pas de reprocher aux employés d'avoir cliqué sur le mauvais lien. Il s'agit de mettre en place les systèmes, la culture et les processus qui font en sorte que les comportements sécurisés deviennent la norme, et de le démontrer à l'aide de données.

Les organisations qui s'adapteront à cette évolution seront mieux à même de gérer les risques de manière proactive, de démontrer clairement le retour sur investissement à la direction et de développer une véritable résilience dans un environnement de menaces de plus en plus complexe.

Êtes-vous prêt à découvrir où en est votre entreprise et comment elle peut tirer parti de la solution Mimecast Human Risk Management ? Demandez une démonstration dès aujourd'hui.

Toutes les données mentionnées dans cet article sont tirées du rapport « The State of Human Risk 2026 » de Mimecast.