Les responsables de sécurité des systèmes d’information (RSSI) de la zone EMEA tournent le dos aux actions traditionnelles de sensibilisation à la cybersécurité. En effet, une nouvelle étude, Rethinking Human cyber Risk, révèle que 78 % d’entre eux pensent qu’il est urgent de changer d’approche.
Cette étude, réalisée par MetaCompliance, société de gestion des risques
humains qui place la sécurité au cœur des organisations, met en évidence un
constat généralisé : les méthodes actuelles ne protègent pas des risques cyber
liés à l’humain.
D’après l’enquête menée
dans le cadre de cette étude auprès de 200 RSSI en France, au Royaume-Uni, en
Suède et en Allemagne, 81 % des répondants affirment que les programmes de
sensibilisation échouent parce qu’ils abordent le risque humain comme un simple
enjeu de formation, et non comme un défi de gestion des risques à part entière.
Par ailleurs, 68 % des entreprises estiment que leurs propres collaborateurs
constituent le principal risque en matière de cybersécurité, ce qui témoigne
d’une vulnérabilité persistante au cœur de la sécurité institutionnelle.
Malgré des investissements constants dans les programmes de sensibilisation (les entreprises allouent en moyenne 15 % de leur budget annuel de sécurité à la sensibilisation, et 79 % d’entre elles dispensent des formations au moins toutes les deux semaines), les résultats ne sont pas à la hauteur. Un quart
(25 %) des entreprises expriment des difficultés à capter l’attention des collaborateurs, tandis que
24 % ne parviennent pas à faire adopter des
pratiques sûres au quotidien, et 24 % peinent à obtenir l’implication des
différents services. L’enjeu est donc autant organisationnel que
comportemental.
Ce décalage s’explique par une approche dépassée. Si de nombreux RSSI considèrent que leur organisation a dépassé le stade des « cases à cocher » en matière de sensibilisation, et que certains qualifient même leur approche de comportementale (33 %) ou intégrant une gestion du risque humain
(24 %), les
progrès perçus ne se traduisent pas par un changement significatif.
« Le niveau de confiance augmente, mais cela
ne signifie pas que le risque diminue », fait remarquer James Mackay, directeur
général de MetaCompliance. « De nombreuses entreprises pensent qu’en
ayant “coché la case” de la formation à la cybersécurité, elles sont réellement
protégées, alors que les failles humaines n’ont pas changé.
Cela crée un décalage
dangereux. Les entreprises se sentent plus en sécurité, mais les collaborateurs
restent leur principale vulnérabilité. Dans le même temps, les menaces sont de
plus en plus sophistiquées, car l’IA augmente l’échelle et la précision des
attaques par ingénierie sociale. Les organisations seront donc de plus en plus
exposées si ce décalage subsiste. »
Par conséquent, les RSSI réclament un modèle plus stratégique. Près de quatre sur cinq (79 %) souhaitent évoluer vers une gestion du risque humain, une approche qui se concentre à la fois sur l’identification des individus à haut risque, sur l’adaptation des interventions en fonction du comportement, mais aussi sur le renforcement d’une culture de sécurité collective à l’échelle de l’organisation. Ils sont
83 % à penser que des interventions ciblées
réduiraient les risques plus rapidement, et 80 % à estimer que les messages de
sécurité sont plus efficaces lorsqu’ils sont diffusés pendant les tâches de
travail.
Une telle évolution est
nécessaire à l’heure où les nouvelles menaces pressent les entreprises à
moderniser leurs défenses. Au cours des 12 prochains mois, les entreprises
consultées prévoient de se concentrer sur l’augmentation de la fréquence
d’engagement (27 %), de produire un retour sur investissement mesurable (25 %)
et d’adapter les interventions aux individus à haut risque (24 %), en
particulier pour répondre aux attaques par ingénierie sociale dopée à l’IA (24
%).
« Comme n’importe quel autre risque, le risque cyber lié à l’humain doit constamment être suivi, mesuré et ciblé », ajoute James Mackay. Cela signifie d’aller au-delà de la sensibilisation pour faire réellement changer les comportements. Les entreprises doivent inverser leur approche de la cybersécurité : elles doivent utiliser les informations en temps réel pour cibler les bonnes personnes et leur délivrer le bon message, au bon moment. C’est la seule manière de réduire le risque cyber lié à l’humain à grande échelle. »