Les personnes ne sont pas le maillon le plus faible, mais bien les héros de la sécurité de l'information !

C'est le mois de la cybersécurité, et les individus vont une nouvelle fois entendre fréquemment qu'ils sont “le maillon le plus faible”. C'est une expression courante qui revient dans de nombreux articles et présentations, et qui est désormais considérée comme allant de soi.

Il est vrai que les personnes commettent parfois des erreurs d'inattention. Nous choisissons des mots de passe faibles, cliquons sur les mauvais liens, ou enfreignons des règles établies. Il arrive en effet que ces erreurs entraînent des incidents de sécurité de l'information significatifs. Mais est-il justifié d'en tenir uniquement les individus pour responsables ? Par ailleurs, est-il vraiment raisonnable de penser que les personnes pourront se protéger totalement de la multitude de cybermenaces auxquelles elles sont confrontées au quotidien ?

Le nombre de systèmes et d'applications que les collaborateurs doivent utiliser aujourd'hui est considérable. L'environnement de travail numérique est plus complexe que jamais, avec des systèmes de messagerie, des outils de gestion de projet, des solutions cloud et des logiciels de sécurité parmi ses nombreuses composantes. Si cela offre de nombreuses opportunités d'efficacité et de collaboration, cela rend également très difficile la mise en œuvre systématique des bonnes précautions de sécurité.

De plus, bon nombre de ces systèmes manquent de convivialité et d'intuitivité. En réalité, la simplicité d'usage uniforme passe souvent au second plan, car ils sont généralement conçus autour de processus individuels. Cela accroît considérablement la probabilité d'erreur humaine.

Lorsque quelque chose ne va pas, de nombreuses organisations et professionnels sont prompts à en rejeter la faute sur les individus. Mais est-ce vraiment juste ? Ne devrions-nous pas plutôt nous interroger sur la difficulté et le manque d'accessibilité des technologies que les personnes sont censées maîtriser ?

Sans oublier que le nombre pur de menaces a considérablement augmenté. Les cybercriminels lancent des millions d'attaques chaque jour, allant d'opérations de ransomware sophistiquées aux e-mails de phishing. Nous ne devrions pas nous attendre à ce que le collaborateur moyen soit préparé à faire face à des risques de cette nature, car ce n'est pas le cas. Sous la pression ou la fatigue, même le spécialiste le plus qualifié peut par inadvertance faire le mauvais choix.

Il est donc absurde de supposer que les individus, quel que soit leur niveau de formation, ne commettront jamais d'erreur. En raison du volume considérable d'attaques et des stratégies astucieuses employées par les cybercriminels, des erreurs se produiront inévitablement de temps à autre. C'est simplement une réalité de l'environnement numérique contemporain, et non un signe de faiblesse.

Il est temps de reconsidérer cette posture en matière de sécurité de l'information. Plutôt que de considérer les individus comme le maillon le plus faible, nous devrions reconnaître que chaque jour qui passe sans incident de sécurité est une réussite, largement attribuable au travail des collaborateurs. Les êtres humains constituent la ligne de défense la plus importante d'une organisation contre les cyberattaques, et chaque jour qui s'écoule sans incident montre que son personnel a bien fait son travail.

Il est essentiel de reconnaître et d'apprécier les personnes pour ce qu'elles sont, les héros méconnus de l'entreprise. Un changement de perspective s'impose. Nous devons responsabiliser et encourager les personnes plutôt que de les dépeindre comme le maillon le plus faible. Bien entendu, sensibiliser et former reste essentiel, mais il en va de même pour l'instauration d'un climat de travail où les collaborateurs se sentent valorisés et respectés, un environnement où les erreurs sont perçues comme des opportunités de croissance et d'apprentissage plutôt que comme des signes d'échec. C'est essentiel, car les cyberattaques ne feront que s'affiner, et les défenses des personnes contre celles-ci doivent elles aussi rester flexibles.

Les entreprises doivent également assumer la responsabilité des équipements et des procédures qu'elles fournissent à leurs collaborateurs. La conception des technologies devrait privilégier l'intuitivité et la convivialité, une bonne sécurité en découlant naturellement. Des systèmes faciles à utiliser et sécurisés donnent aux collaborateurs davantage de confiance dans leur travail et préviennent les erreurs.

Plutôt que de nous concentrer sur les erreurs commises, prenons un instant pour reconnaître les innombrables occasions où les individus font le bon choix. Une journée réussie est une journée exempte d'incidents. Traitons les collaborateurs de nos organisations avec la considération et la gratitude qu'ils méritent. Puisqu'ils sont les solides épaules qui soutiennent la sécurité de notre organisation, ils ne sont pas le maillon le plus faible.

À mesure que notre compréhension de la sécurité de l'information évolue, il est impératif de reconnaître que la technologie n'est qu'une partie de l'histoire. Lorsqu'ils disposent des ressources et du soutien appropriés, les individus peuvent véritablement devenir des héros dans le domaine de la cybersécurité. Les entreprises investissent des sommes considérables dans des défenses technologiques telles que les pare-feux et le chiffrement, mais sans les personnes, ces dispositifs restent en définitive sans effet. Des collaborateurs vigilants, prudents et motivés sont bien plus aptes à repérer les menaces potentielles, à signaler les activités suspectes et à intégrer les protocoles de sécurité dans leur travail quotidien.

Il est crucial de garder à l'esprit qu'une solution technologique n'a de valeur que si elle s'appuie sur une culture de sécurité forte au sein de l'organisation. Une culture où l'hygiène cyber est valorisée, où les équipes collaborent pour relever les défis de sécurité, et où la sécurité est intégrée aux opérations quotidiennes, peut réduire considérablement la probabilité d'incidents. Organiser des sessions de formation, communiquer régulièrement sur les nouvelles menaces et favoriser un environnement de travail ouvert où les collaborateurs se sentent libres de signaler des failles ou de poser des questions sont autant d'étapes essentielles pour atteindre cet objectif.

Les organisations ne devraient pas non plus dépendre uniquement de l'excellence humaine. Au contraire, la mise en œuvre de solutions de sécurité en couches, telles que des systèmes de détection automatisée des menaces, des cadres Zero Trust et des outils de réaction en temps réel, peut atténuer l'impact des erreurs humaines inévitables. Ensemble, l'effort humain et une technologie ingénieuse forment un mécanisme de protection redoutable, prouvant une fois de plus que les collaborateurs ne sont pas le maillon le plus faible d'une entreprise sûre, mais bien sa colonne vertébrale.