Des politiques générales aux interventions ciblées : l'évolution de la gestion des risques liés à l'humain

Chaque trimestre, le même rituel se répète dans des milliers d'entreprises : tous les collaborateurs, du personnel d'accueil jusqu'aux cadres dirigeants, suivent la même formation de sensibilisation à la sécurité. L'analyste financier qui n'a jamais cliqué sur un lien de Phishing se voit proposer le même module que le commercial qui en a cliqué trois ce mois-ci. Cet ingénieur de longue date, dont le parcours est irréprochable, est soumis aux mêmes contrôles que le sous-traitant qui vient tout juste de commencer à traiter des données sensibles. Tout le monde est considéré comme présentant le même niveau de risque, ce qui signifie que personne n'est traité de manière adaptée.

Cette approche uniforme a dicté les programmes de sensibilisation à la sécurité et de gestion des risques internes pendant bien trop d'années. Et depuis des années, cela aboutit aux mêmes résultats prévisibles : un gaspillage de ressources consacrées à des employés présentant peu de risques, une attention insuffisante portée aux personnes et aux comportements qui constituent réellement un danger, ainsi qu’une frustration croissante des utilisateurs à l’égard des équipes de sécurité qui interviennent de manière inadaptée.

La bonne nouvelle ? Cette époque touche à sa fin. L'évolution vers des interventions adaptatives, axées sur le comportement, permet de proposer l'intervention adéquate, à la bonne personne, au bon moment — et ce, à grande échelle.

Pourquoi la personnalisation est restée hors de portée

Le concept de sécurité fondée sur les risques n'est pas nouveau. Les responsables de la sécurité ont compris depuis longtemps que chaque individu présente un niveau de risque différent et que les mesures prises doivent être proportionnées. Mais la mise en œuvre concrète de cette compréhension sur le terrain s'est avérée être une tout autre histoire.

Ces obstacles étaient d'ordre pratique. La gestion des groupes d'utilisateurs dynamiques exigeait un travail manuel constant. Les signaux de risque se trouvaient dans des systèmes isolés les uns des autres. Pour traduire un score de risque en un changement concret de politique, il fallait se frayer un chemin à travers un enchevêtrement d'outils, de tickets et d'autorisations. Le temps qu'un processus manuel identifie un utilisateur à haut risque et mette en place les contrôles appropriés, la fenêtre d'intervention efficace était souvent déjà fermée.

Ce qui a changé, c'est l'infrastructure. Lorsque vous associez une évaluation complète des risques comportementaux à l'automatisation et à l'intégration multiplateforme, la sécurité personnalisée cesse d'être un simple objectif pour devenir une réalité.

Listes de suivi dynamiques : de la visibilité à l'action

La première étape significative de cette évolution est la « liste de surveillance dynamique » : un groupe d'utilisateurs basé sur le comportement et se mettant à jour automatiquement, qui va au-delà de la gestion statique des listes pour permettre une intervention adaptative.

Les listes de surveillance traditionnelles sont gérées manuellement. Un membre du service de sécurité ajoute un nom, peut-être à la suite d'un incident, peut-être suite à une information transmise par les RH. Ce nom reste sur la liste jusqu'à ce que quelqu'un pense à le retirer. La liste commence à dater. Cela reflète les risques d'hier, et non ceux d'aujourd'hui.

Les listes de surveillance dynamiques inversent ce modèle. Au lieu de sélectionner manuellement les utilisateurs, vous définissez les critères pertinents — comportements à risque spécifiques, seuils de score, filtres par service, indicateurs organisationnels — et la liste se gère d'elle-même. Les utilisateurs sont intégrés lorsque leur comportement répond aux critères et sont exclus lorsqu'il ne les répond plus, les mises à jour s'effectuant en continu.

Prenons quelques exemples concrets. Une liste de surveillance destinée aux collaborateurs du service financier ayant cliqué sur de véritables liens de Phishing au cours du dernier mois est automatiquement mise à jour en fonction de leur comportement réel. Une liste de surveillance répertoriant les sous-traitants présentant des scores élevés en matière de traitement de données sensibles s'ajuste en temps réel à mesure que les habitudes d'accès aux données évoluent. Une liste de surveillance des salariés sur le point de quitter l'entreprise et présentant des comportements à risque s'appuie à la fois sur les données issues de l'intégration des systèmes RH et sur les signaux comportementaux.

Ce sont ces critères qui définissent la liste. Ce n'est pas quelqu'un qui utilise un tableur.

Lier les listes de surveillance aux contrôles adaptatifs

La visibilité à elle seule ne réduit pas les risques. Ce qui rend les listes de surveillance dynamiques si innovantes, c'est leur lien avec des politiques adaptatives : la capacité à déclencher des contrôles différenciés en fonction du profil de risque en temps réel d'un utilisateur.

Cela signifie qu'un utilisateur à haut risque, identifié selon les critères de la liste de surveillance, peut automatiquement faire l'objet de contrôles plus stricts de ses e-mails, d'exigences d'authentification renforcées ou d'une surveillance accrue, tandis que ses collègues à faible risque continuent de travailler sans aucune contrainte. Lorsque le comportement de l'utilisateur à haut risque s'améliore, les mesures de contrôle sont assouplies. Le système crée une boucle de rétroaction : le comportement détermine la politique, et celle-ci s'adapte à mesure que le comportement évolue.

Cette fonctionnalité va encore plus loin grâce à l'intégration avec des systèmes RH tels que Workday, ce qui permet l'application automatisée des règles lors d'événements tels que les départs de salariés. L'automatisation basée sur des balises permet de gérer les prestataires, certains services et des classifications personnalisées sans que les équipes de sécurité aient à intervenir manuellement à chaque transition.

Il en résulte une gestion des risques qui fonctionne véritablement selon le principe « configurez-la et n'y pensez plus » — non pas parce que les risques sont ignorés, mais parce que le cadre de réponse est suffisamment intelligent pour s'adapter de lui-même.

L'impératif d'intégration

L'efficacité des interventions de précision dépend entièrement de la qualité des signaux de risque sur lesquels elles s'appuient. Un score de risque comportemental établi à partir d'une single source de données sera toujours incomplet. C'est pourquoi l'étendue de l'intégration revêt une importance capitale.

Aujourd'hui, une gestion efficace des risques liés aux utilisateurs s'appuie sur plusieurs catégories de signaux de risque : les données de sécurité des terminaux issues d'outils tels que CrowdStrike, les signaux d'identité et d'authentification provenant d'Okta et de Duo, les données d'activité réseau fournies par Palo Alto, et bien d'autres encore. Grâce à l'intégration d'au moins quinze fournisseurs, ces indicateurs s'associent pour dresser un tableau global des risques liés au facteur humain qu'aucun outil ne pourrait fournir à lui single.

À mesure que les écosystèmes d'intégration s'étendent pour inclure des plateformes telles que Google Workspace, Cisco XDR et d'autres fournisseurs d'authentification multifactorielle (MFA), la netteté de ce tableau ne fait que s'améliorer — et la précision des interventions qui en découlent s'en trouve ainsi renforcée.

L'impact concret

Lorsque les organisations passent de politiques générales à des interventions ciblées, les effets sont tangibles à plusieurs niveaux.

Les employés à faible risque ne sont plus soumis à des formations hors de propos ni à des restrictions inutiles, ce qui réduit les tensions et améliore leurs relations avec l'équipe de sécurité. Les comportements à haut risque font l'objet d'une attention particulière et bénéficient de ressources spécifiques, ce qui contribue réellement à réduire les risques. Ces interventions sont perçues comme utiles plutôt que punitives, car elles sont clairement liées à des comportements précis et ne sont pas appliquées de manière arbitraire. Les responsables de la sécurité peuvent ainsi démontrer un retour sur investissement mesurable en mettant en évidence une réduction ciblée des risques au sein des populations les plus concernées.

Cela représente un changement de philosophie fondamental : passer de la sanction à l'accompagnement, des politiques figées à des réponses adaptatives, des directives imposées à l'échelle de l'organisation à des interventions tenant compte des besoins individuels et, en fin de compte, d'une sécurité de façade à une réduction effective des risques.

Et ensuite ?

La voie à suivre est claire, et elle mène vers une précision encore plus grande. Des modèles de listes de surveillance prédéfinis pour des scénarios courants — tels que l'utilisation « cachée » de l'IA dans les services soumis à une réglementation — faciliteront la mise en œuvre. L'intégration directe à des campagnes de « nudge » ciblées permettra de relier l'identification des risques à une sensibilisation personnalisée. La mise en place de dispositifs de sanctions progressives à l'égard des récidivistes permettra une intensification proportionnée des mesures. De plus, les agents de configuration aideront les équipes à mettre en œuvre les interventions recommandées sans qu'il soit nécessaire de disposer d'une expertise approfondie.

L'époque où l'on considérait tous les employés comme présentant le même niveau de risque cède la place à une approche plus efficace : une sécurité qui s'adapte au comportement réel des personnes, qui intervient là où cela compte vraiment et qui gagne la confiance en se montrant pertinente plutôt que simplement réactive. La sécurité de précision n'est pas une promesse pour l'avenir. C'est désormais une réalité, et cela révolutionne la manière dont les organisations gèrent les risques liés au capital humain.