Jean-Francois Beauzel

Mais quel(le) ******, pourquoi il(elle) a cliqué dessus…

Cette phrase, combien de fois je l’ai entendue, et parfois utilisée. Des histoires d’utilisateurs qui ont ouvert un lien, un fichier ou une archive contenant une charge virale, nous en avons tous entendu ou vécu.

Mais prenons les choses sous un angle différent, pourquoi n’aurait-il pas dû cliquer? Après tout, ce qui est naturel pour un professionnel de l’IT, et a fortiori un expert en sécurité, est-ce si naturel que cela pour un utilisateur ? La question se pose réellement, car comment pouvons nous reprocher à un utilisateur d’être tombé dans le piège d’un phishing si nous n’avons pas pris la peine de former les gens, de communiquer sur le sujet. Après tout, il connait l’expéditeur, qui lui a souvent envoyé des fichiers Word ou PDF, alors pourquoi cette fois-ci il n’aurait pas dû ?

C’est comme faire offrir le petit déjeuner a un(e) collègue, en envoyant un email parce qu’il n’a pas verrouillé sa session, c’est devenu un sport de bureau, mais qu’en est-il de la perception du risque? Du vol de donnée(s) ? « Mais je ne me suis absenté(e) qu’une minute, tu n’aurais pas pu voler grand chose » ou le, « Non, mais je t’ai vu approcher du clavier ».

Pour qu’il y ait une vraie prise de conscience des employés, il est indispensable de faire des campagnes de communication et de sensibilisation régulières. Mais surtout de s’assurer que le message ne reste pas une consigne incomprise, en mettant en avant des exemples de cas concrets qui sont redoutés. Même sans entrer dans les détails, une démonstration de prise en main d’un poste, ou de déploiement d’un malware, peut permettre aux utilisateurs de mieux appréhender la menace et le risque qui en découle.

Au-delà de la prévention, prendre le temps de discuter avec un utilisateur dont le poste a été compromis, comprendre ce qu’il a fait, lui expliquer son erreur et ce qu’il s’est passé est, de ma propre expérience, réellement bénéfique. Expliquer plutôt que de stigmatiser, cela peut transformer un utilisateur imprudent en un ambassadeur de la sécurité auprès de ses collègues.

Une campagne de sensibilisation ne coûte qu’une fraction des sommes investies annuellement dans l’implémentation et le maintien en condition opérationnelle de vos outils de sécurité. Alors la prochaine fois que vos mécanismes de défenses seront mis à mal par un utilisateur inconscient de la menace, demandez-vous si vous avez investi correctement pour le sensibiliser.

Si le sujet vous intéresse, n’hésitez pas à nous contacter pour en discuter :
contact@idna.fr
aurore.malpel@idna.fr

Articles associés

Réseau et Sécurité, amalgame pour un échec

9 janvier 2020
Certains penseront que je suis parfois un peu négatif, ceux qui me connaissent savent que ce n’est pas totalement faux, mais le raccourci réseau = sécurité perdure encore et ce pour le meilleur, mais surtout pour le pire. Certes, et je suis le premier à le dire, maîtriser totalement les flux entrant et sortant de […]

DLP : l’outil d’aide au RGPD

18 décembre 2019
L’arrivée du Règlement Général sur la Protection des Données (RGPD) est un formidable vecteur de croissance pour les outils comme le DLP. En effet, toutes les entreprises doivent garder sous contrôle leurs données personnelles y compris celles qui sont « cachées » dans le SI. Elles doivent aussi s’assurer que seules les personnes autorisées y […]
Partager cet article
Derniers articles

Réseau et Sécurité, amalgame pour un échec

Certains penseront que je suis parfois un peu négatif, ceux qui me connaissent savent que ce n’est pas totalement faux, mais le raccourci réseau = sécurité perdure encore et ce pour le meilleur, mais surtout pour le pire. Certes, et je suis le premier à le dire, maîtriser totalement les flux entrant et sortant de […]

DLP : l’outil d’aide au RGPD

L’arrivée du Règlement Général sur la Protection des Données (RGPD) est un formidable vecteur de croissance pour les outils comme le DLP. En effet, toutes les entreprises doivent garder sous contrôle leurs données personnelles y compris celles qui sont « cachées » dans le SI. Elles doivent aussi s’assurer que seules les personnes autorisées y […]

La Gestion des mots de passe : Complexité vs Mémorisation

  Pour se connecter à votre téléphone portable, à votre ordinateur, à votre compte bancaire, à votre compte professionnel ou personnel, aux différentes plateformes de votre entreprise ou faire des achats en ligne, le mot de passe est devenu incontournable pour protéger l’accès aux données, aux systèmes d’informations et plus généralement à sécuriser les différentes […]

La reconnaissance faciale est-elle le nouveau Big Brother?

Il n’y a pas si longtemps, pouvoir identifier de manière automatique les personnes qui transitaient par une rue, les suivre, tracer leurs mouvements et dépenses à travers leurs achats, connaître leurs états d’âme, leurs origines, leur genre, relevait de la science fiction. Cette technologie qui permet tout cela aux autorités, et pas uniquement, est parmi […]