Jean-Francois Beauzel

Mais quel(le) ******, pourquoi il(elle) a cliqué dessus…

Cette phrase, combien de fois je l’ai entendue, et parfois utilisée. Des histoires d’utilisateurs qui ont ouvert un lien, un fichier ou une archive contenant une charge virale, nous en avons tous entendu ou vécu.

Mais prenons les choses sous un angle différent, pourquoi n’aurait-il pas dû cliquer? Après tout, ce qui est naturel pour un professionnel de l’IT, et a fortiori un expert en sécurité, est-ce si naturel que cela pour un utilisateur ? La question se pose réellement, car comment pouvons nous reprocher à un utilisateur d’être tombé dans le piège d’un phishing si nous n’avons pas pris la peine de former les gens, de communiquer sur le sujet. Après tout, il connait l’expéditeur, qui lui a souvent envoyé des fichiers Word ou PDF, alors pourquoi cette fois-ci il n’aurait pas dû ?

C’est comme faire offrir le petit déjeuner a un(e) collègue, en envoyant un email parce qu’il n’a pas verrouillé sa session, c’est devenu un sport de bureau, mais qu’en est-il de la perception du risque? Du vol de donnée(s) ? « Mais je ne me suis absenté(e) qu’une minute, tu n’aurais pas pu voler grand chose » ou le, « Non, mais je t’ai vu approcher du clavier ».

Pour qu’il y ait une vraie prise de conscience des employés, il est indispensable de faire des campagnes de communication et de sensibilisation régulières. Mais surtout de s’assurer que le message ne reste pas une consigne incomprise, en mettant en avant des exemples de cas concrets qui sont redoutés. Même sans entrer dans les détails, une démonstration de prise en main d’un poste, ou de déploiement d’un malware, peut permettre aux utilisateurs de mieux appréhender la menace et le risque qui en découle.

Au-delà de la prévention, prendre le temps de discuter avec un utilisateur dont le poste a été compromis, comprendre ce qu’il a fait, lui expliquer son erreur et ce qu’il s’est passé est, de ma propre expérience, réellement bénéfique. Expliquer plutôt que de stigmatiser, cela peut transformer un utilisateur imprudent en un ambassadeur de la sécurité auprès de ses collègues.

Une campagne de sensibilisation ne coûte qu’une fraction des sommes investies annuellement dans l’implémentation et le maintien en condition opérationnelle de vos outils de sécurité. Alors la prochaine fois que vos mécanismes de défenses seront mis à mal par un utilisateur inconscient de la menace, demandez-vous si vous avez investi correctement pour le sensibiliser.

Si le sujet vous intéresse, n’hésitez pas à nous contacter pour en discuter :
contact@idna.fr
aurore.malpel@idna.fr

Articles associés

Votre clé USB peut-elle donner l’accès à votre système d’information ?

31 mai 2022
D’aucuns diront qu’elle est « le Cloud à portée de main » (jusqu’à plusieurs téraoctets de données disponibles à volonté), la clé USB est aujourd’hui la solution phare de stockage de masse au format poche. À l’origine de ce succès, l’effet combiné de la formidable expansion des capacités disponibles sur mémoire flash (multiplié par 2000 en moins […]

Le SIEM dans tous ses états

10 février 2022
Certains prédisent sa disparition, et brandissent les SOAR (Security Orchestration, Automation and Response) et XDR (eXtended Detection and Response) comme la solution à tous nos problèmes. Avant de parler des petits nouveaux, commençons par un rapide état des lieux. Les principaux reproches que l’on fait habituellement au SIEM sont qu’il est trop complexe, génère trop d’alertes, […]
Partager cet article
Derniers articles

Votre clé USB peut-elle donner l’accès à votre système d’information ?

D’aucuns diront qu’elle est « le Cloud à portée de main » (jusqu’à plusieurs téraoctets de données disponibles à volonté), la clé USB est aujourd’hui la solution phare de stockage de masse au format poche. À l’origine de ce succès, l’effet combiné de la formidable expansion des capacités disponibles sur mémoire flash (multiplié par 2000 en moins […]

Tout savoir sur le SDN : « Software Defined Networking »

Les nouvelles techniques d’automatisation du réseau se multiplient. Aujourd’hui le traitement de données et l’acheminement des paquets, au sein d’un réseau automatisé ou programmable, sont gérés par le biais d’un contrôleur centralisé. Ces technologies ont participé à l’expansion rapide de l’infrastructure réseau, nécessaire pour prendre en charge la croissance exponentielle du trafic généré, et l’ont […]

L’évolution d’Abi chez AURA IT, l’histoire d’une alternance réussie

Depuis combien de temps fais-tu partie du Groupe iDNA ? Cela sera ma 4e année en septembre, j’y ai passé 3 ans en alternance qui ont débouché sur la signature de mon premier CDI chez AURA IT, entité du groupe iDNA !   Comment s’est passée ton alternance ? Elle s’est très bien passée, j’ai […]

Amine vole avec les aigles

Flying with eagles est un court métrage qui retrace en 52 minutes les coulisses du premier stage du match de l’équipe nationale tunisienne de football américain en Tunisie ! Équipe dont Amine est le co-fondateur, et président. À l’occasion de sa sortie, voici une petite interview de notre toute nouvelle « star » internationale du Foot US.   […]