Protéger vos données commence par les bons réflexes

L’erreur humaine est la principale cause des atteintes à la cybersécurité

Lorsque l’on parle de cybersécurité, la plupart des gens pensent aux pare-feu, au cryptage et aux logiciels coûteux. C’est important, mais ce n’est pas la véritable menace. Le risque le plus important aujourd’hui n’est pas le logiciel, mais le comportement humain. Un employé qui oublie de mettre à jour son mot de passe ou qui clique sur un lien sans s’arrêter pour vérifier peut faire plus de dégâts qu’une infrastructure obsolète.

L’incident de Colonial Pipeline en 2021 en est la preuve. Un mot de passe compromis a mis hors service le plus grand oléoduc des États-Unis, provoquant des pénuries de carburant sur la côte Est et coûtant des millions de dollars. Ce n’est pas parce que les attaquants disposaient de meilleurs outils que cela s’est produit. C’est arrivé parce que quelqu’un a fait une erreur.

Si vous êtes à la tête de l’entreprise, voici ce qui compte : aucune technologie de pointe ne peut vous protéger totalement si vos collaborateurs ne comprennent pas leur rôle en matière de cybersécurité. Il ne s’agit pas d’une case de conformité à cocher. Il s’agit d’une stratégie fondamentale de gestion des risques. Vous n’avez pas besoin de faire de vos employés des experts, ce n’est pas réaliste, mais vous devez faire de la sensibilisation à la cybersécurité une seconde nature pour tout le monde, de la réceptionniste au vice-président des finances.

Selon des données largement citées dans le secteur et référencées directement par le FBI, l’erreur humaine est un facteur dans près de 95 % des atteintes à la cybersécurité. Cela signifie que la plupart des attaquants ne commencent pas par le code, mais par la psychologie. Et cela signifie que votre point faible pourrait être un membre du personnel qui est simplement fatigué, distrait ou pressé.

La question à se poser est simple : à quelle fréquence leur facilitons-nous la tâche ?

Les employés sont à la fois le principal risque en matière de cybersécurité et le moyen de défense le plus efficace

Soyons honnêtes, vos employés sont la porte. Les attaquants la franchissent ou non, en fonction de la formation et de la culture dans lesquelles vous avez investi. À l’heure actuelle, un pirate informatique doué n’a pas besoin de pirater vos systèmes. Il lui suffit qu’un membre de l’équipe, très occupé, clique sur le mauvais lien.

Les personnes sont donc à la fois votre plus grand risque et votre défense la plus puissante. Si les employés savent à quoi s’attendre, ils ne se contentent pas d’éviter les risques, ils arrêtent rapidement les attaquants. C’est cela l’effet de levier. Et vous ne pouvez l’obtenir qu’en intégrant la sensibilisation à la sécurité dans l’ADN de votre entreprise.

La culture dicte le comportement. Si la cybersécurité est un sujet dont seul le service informatique parle, le reste de l’entreprise ne s’y intéresse pas. En revanche, si les réunions de direction en parlent, si les responsables les renforcent et s’ils s’appuient sur des plans d’action clairs, les gens écoutent. Ils adoptent de meilleures habitudes. Au fil du temps, ces changements se traduisent par une protection réelle, plus efficace que n’importe quel logiciel que vous achèterez ce trimestre.

Comme le dit Ken Underhill, expert en cybersécurité chez TechnologyAdvice, « la cybersécurité est devenue la responsabilité de tous, du PDG au concierge en passant par l’équipe comptable » : « La cybersécurité est devenue la responsabilité de tous, du PDG au concierge en passant par l’équipe comptable ». Il a raison. Chaque membre de l’équipe qui s’arrête pour vérifier un message suspect ajoute une couche de protection qu’aucun outil ne peut remplacer.

Cette approche n’est pas compliquée. Elle ne nécessite pas d’effectifs supplémentaires ni de dépenses considérables. Commencez par la visibilité, donnez aux gens les bonnes informations au bon moment et définissez rapidement les attentes. En général, les gens veulent faire ce qu’il faut, il suffit qu’ils sachent de quoi il s’agit et que les dirigeants soutiennent la mission.

Des exemples concrets montrent que même des personnes expérimentées peuvent facilement tomber dans le piège de la cyber-escroquerie.

L’une des plus grandes idées reçues en matière de cybersécurité est la suivante : les personnes intelligentes ne tombent pas dans le piège des escroqueries. C’est faux. L’intelligence n’empêche personne de se faire piéger et l’expérience n’élimine pas l’erreur humaine. Les cybercriminels comptent sur cette hypothèse. Ils visent les professionnels surchargés ou pressés. Ils n’ont pas besoin de complexité, mais seulement de précision et de synchronisation.

Prenez Barbara Corcoran. En 2020, son équipe a transféré près de 400 000 dollars à un escroc. L’attaque a réussi parce que le faux courriel était presque identique à celui de son assistante. L’adresse de l’expéditeur ne comportait qu’une seule lettre de différence, facile à manquer. La facture semblait banale. La demande semblait raisonnable. Et l’argent s’est envolé avant même que la véritable assistante n’ait vu le message.

Et puis il y a Philip Murray. Ce spécialiste de la cybersécurité a déclaré publiquement qu’il avait perdu des centaines d’euros dans une escroquerie par hameçonnage. Il a reçu une fausse demande d’une personne prétendant être son patron pendant une période où il manquait de sommeil en tant que nouveau père. Il a suivi les instructions sans réfléchir et ne s’est rendu compte de son erreur qu’après une nuit de repos. Il l’a avoué sur LinkedIn avec une honnêteté crue, preuve qu’être informé ne signifie pas toujours être protégé.

La leçon à tirer est directe : les états émotionnels l’emportent sur les protocoles logiques. La distraction, l’urgence, la fatigue, même chez les professionnels formés, sont exploitées aussi efficacement qu’un logiciel obsolète. Pour les cadres, cela devrait modifier la façon dont vous envisagez la formation. Il ne s’agit pas d’un webinaire ponctuel. Il s’agit d’un cadre comportemental permanent. Conditionner les gens à revérifier, à faire une pause, à vérifier sous pression, c’est là que votre résilience s’améliore.

Il ne s’agit pas de scénarios marginaux. Ce sont des réalités quotidiennes. Et si des personnes expérimentées comme le personnel financier ou les formateurs en cybersécurité de Corcoran peuvent tomber dans le piège de ces tactiques, il en va de même pour vos équipes, à moins que vous ne conceviez des systèmes et des pratiques de communication qui s’attendent à ces dérapages et en réduisent les risques.

Les environnements de travail à distance et hybrides élargissent la surface d’attaque des cybercriminels

Le travail à distance est bien implanté. La flexibilité est bonne pour les talents, bonne pour la productivité et, si vous ne vous préoccupez pas des risques, très bonne pour les cybercriminels. Des équipes dispersées signifient des faiblesses de sécurité dispersées. Les périmètres sur lesquels vous comptiez autrefois ont disparu. Vous avez affaire à des routeurs grand public, au Wi-Fi public dans les cafés et à des appareils qui gèrent à la fois la navigation confidentielle professionnelle et personnelle.

Au premier trimestre 2024, le Bureau américain des statistiques du travail indique que 23 % des employés travailleront à domicile. Pour de nombreuses entreprises, ce n’est plus temporaire, c’est structurel. Et les criminels s’adaptent plus rapidement que les équipes dirigeantes.

Il est encore possible d’accéder à un routeur Wi-Fi domestique sur 16 en utilisant les informations d’identification par défaut. C’est tout ce dont un attaquant a besoin pour passer d’un appareil domestique compromis à un canal d’entreprise, surtout si l’employé est connecté à des systèmes professionnels utilisant le même réseau. Ajoutez à cela l’utilisation croissante de tablettes partagées, d’appareils IoT et d’outils de collaboration non sécurisés, et votre exposition augmente rapidement.

Les VPN, les gestionnaires de mots de passe, les points d’accès sécurisés sont nécessaires, mais ils sont réactifs. Ce dont vous avez également besoin, c’est d’une stratégie. Vous avez besoin d’attentes documentées pour les environnements distants : ce qui est autorisé, ce qui ne l’est pas et ce qui est recommandé pour diverses configurations. Si quelqu’un utilise un ordinateur portable personnel parce que l’entreprise ne lui a pas fourni d’appareil, vous courez un risque. S’il se connecte via le Wi-Fi de l’hôtel et n’a pas de VPN, vous avez un autre risque.

Vous ne pouvez pas réparer l’infrastructure domestique de chaque employé, mais vous pouvez améliorer le contrôle et la clarté. Il s’agit notamment de proposer des outils de sécurité, d’automatiser les mises à jour, d’accorder les bons niveaux d’accès et de fournir des conseils brefs et opportuns dans un langage compréhensible.

Le travail à distance n’affaiblit pas votre sécurité parce que les gens sont hors site. Il l’affaiblit lorsque vous ne réorganisez pas vos opérations pour les adapter au nouveau paysage des attaques. Si vos processus supposent encore que les personnes sont derrière les pare-feu de l’entreprise, vous êtes à la traîne. Vous devez partir du principe qu’ils ne le sont pas et vous préparer en conséquence.

Reconnaître les signaux d’alarme est essentiel pour prévenir les cybermenaces

La plupart des attaques n’ont pas l’air dangereuses. Elles ont l’air ordinaires. Et c’est bien là le problème. Plus les attaquants parviennent à imiter un ton, une marque et une structure familiers, plus il est important que les gens reconnaissent les indicateurs subtils de risque. La sensibilisation à la cybersécurité ne consiste pas à mémoriser toutes les menaces possibles, mais à savoir ce qui ne semble pas normal et à agir en conséquence.

Les menaces de première ligne partagent des schémas répétitifs. Les courriers électroniques exigeant une action urgente, en particulier s’ils impliquent de l’argent ou des informations d’identification, sont souvent le signe d’une manipulation. Une adresse d’expéditeur qui semble familière mais qui est décalée d’une lettre est un autre indicateur. Les types de fichiers inhabituels, les liens inattendus ou les messages provenant de canaux de communication non reconnus entrent dans les mêmes catégories. Tous ces éléments peuvent être détectés avec un minimum de compétences techniques. Le défi consiste à avoir la présence d’esprit de s’arrêter et de vérifier sous la pression.

La technologie Deepfake ne relève plus de la spéculation. Les attaquants produisent désormais des enregistrements audio ou vidéo convaincants de dirigeants, imitant des modèles d’élocution et des voix, donnant des instructions urgentes qui semblent légitimes. Si votre personnel considère les communications d’apparence officielle comme intrinsèquement dignes de confiance, ces tactiques continueront à porter leurs fruits. La formation doit s’adapter. Les gens ont besoin de normes claires en matière de vérification. Si une demande s’écarte des flux de travail normaux, il faut avoir l’habitude de la valider par des canaux internes ; le courrier électronique ne suffit pas.

Pour les dirigeants, il s’agit d’une discipline opérationnelle. Soit vous créez une organisation qui tolère la vigilance, même si elle entraîne des retards, soit vous donnez la priorité à la rapidité sans poser de questions difficiles. Éviter les attaques n’a pas grand-chose à voir avec les barrières techniques, mais plutôt avec le renforcement des comportements à tous les niveaux. Les cybercriminels s’attendent à ce que l’émotion l’emporte sur le protocole. Une culture de leadership qui favorise la confirmation calme plutôt que l’exécution réactive modifie cet avantage.

S’appuyer uniquement sur la technologie n’est pas suffisant, il est essentiel de créer une culture de la sécurité sur le lieu de travail.

Les garanties techniques sont importantes. Elles sont fondamentales. Mais elles n’empêchent pas les défaillances les plus courantes, à savoir les décisions rapides prises par des personnes sans tenir compte de l’ensemble du contexte. Les pare-feu, les logiciels antivirus et la protection des points d’accès fonctionnent bien lorsqu’ils sont entretenus de manière cohérente, mais ils ne permettent pas d’éviter les erreurs de jugement. S’en remettre à eux seuls crée un maillon faible.

La culture de la sécurité n’est pas un logiciel. C’est un état d’esprit. Cela signifie que chacun connaît son rôle dans la cyberdéfense et comprend les risques liés à son comportement quotidien. Si quelqu’un ne signale pas une pièce jointe suspecte parce qu’il n’est pas sûr, c’est une lacune. Si les employés ne se sentent pas autorisés à signaler leurs inquiétudes, vos outils ne pourront pas tout détecter. Le leadership doit éliminer l’hésitation et la remplacer par une prise de conscience structurée.

Vous n’avez pas besoin d’une campagne interne massive. Vous avez besoin de cohérence. Faites en sorte que la formation soit pertinente et brève. Montrez des exemples qui se rapportent à des résultats réels, comme le fait de rater une faute de frappe d’un seul caractère dans un courriel qui coûte des centaines de milliers de dollars. Clarifiez les actions attendues, ce qu’il faut faire en cas de doute et qui contacter. Récompensez les rapports, pas seulement les comportements parfaits.

Ken Underhill, expert en cybersécurité chez TechnologyAdvice, l’a clairement exprimé : « La technologie peut bloquer des millions de menaces par jour, mais il suffit qu’un employé commette une erreur pour qu’un pirate s’infiltre. Ce n’est pas une hypothèse, c’est une réalité opérationnelle. Chaque réinitialisation de mot de passe, chaque réponse tardive à un courriel ou chaque soumission d’un ticket informatique qui permet d’éviter une intrusion est importante.

Si vous faites partie de l’équipe dirigeante, c’est votre mandat. Vous investissez déjà dans l’infrastructure, la conformité et l’assurance. La culture fait également partie de cette stratégie. Créez un climat où la conscience du risque est partagée, et non pas cloisonnée. Il ne s’agit pas de transformer les employés en spécialistes de la cybersécurité, mais de les rendre attentifs, de les soutenir et de les inciter à s’exprimer avant qu’un problème ne se transforme en crise.

Principaux faits marquants

• L’erreur humaine est à l’origine de la plupart des violations : Les dirigeants doivent donner la priorité à la formation continue des employés en matière de sécurité, car jusqu’à 95 % des cyberincidents sont dus à des erreurs humaines évitables, et non à des failles techniques.
• Le personnel est votre meilleure défense : Donnez aux employés, à tous les niveaux, les moyens de reconnaître et de signaler les activités suspectes ; une culture de la cybersécurité solide commence par des attentes claires de la part des dirigeants et par leur renforcement.
• L’expérience ne garantit pas l’immunité : Investissez dans des formations basées sur des scénarios qui simulent des attaques réelles, car même les professionnels chevronnés peuvent tomber dans des escroqueries lorsqu’ils sont fatigués, distraits ou pressés.
• Le travail à distance augmente l’exposition : les dirigeants devraient réévaluer leur posture de sécurité pour les équipes hybrides en imposant l’utilisation de VPN, des cadres de confiance zéro et une hygiène de base des points d’extrémité comme le changement de mot de passe du routeur.
• Le risque se cache souvent à la vue de tous : Codifiez un état d’esprit axé sur la vérification dans l’ensemble de l’organisation en apprenant aux employés à faire systématiquement une pause et à vérifier les courriels, les demandes et les identités des expéditeurs, en particulier sous la pression.
• Les outils ne suffisent pas s’il n’y a pas de culture : Renforcez votre pare-feu humain en intégrant les comportements de cybersécurité dans les activités quotidiennes, en veillant à ce que la vigilance et la responsabilité fassent partie du rythme de travail de l’équipe.