Le télétravail a considérablement accru les risques en matière de cybersécurité.

Tant que l’informatique se jouait dans les locaux de l’entreprise, sur des matériels et des logiciels étroitement surveillés par les DSI, le risque d’intrusion dans le SI était relativement restreint. La situation s’était certes dégradée avec le développement de l’informatique nomade (celle des commerciaux sur le terrain, par exemple), puis avec le BYOD (Bring Your Own Device) né de la vague des smartphones (l’utilisation à titre professionnel d’un équipement privé). Mais, la généralisation du télétravail bouscule cette donne, car l’environnement numérique de l’entreprise s’est étendu aux domiciles des télétravailleurs. Ce n’est pas sans poser problème : les particuliers manquant souvent de vigilance dans l’usage de leur équipement personnel, cette mauvaise habitude peut déteindre sur les outils professionnels mis à dispositif dans leur cadre privé. Et, par exemple, si l'ordinateur portable confié par l’entreprise est bien verrouillé, il n’est pas protégé contre le risque de vol entre le bureau et le domicile !

Les salariés ont une perception erronée de leurs compétences cyber.

C’est ce que l’enquête OpinionWay pour Mailinblanck vient opportunément rappeler. Si 88 % des salariés pensent être vigilants quant aux emails qu’ils reçoivent, 34 % reconnaissent avoir déjà eu des comportements à risque ; 67 % estiment que la détection d’emails frauduleux est facile, mais une infime minorité d’entre eux (3 %) ont su reconnaître tous les emails frauduleux. On notera au passage que 31 % des salariés n’appliquent pas strictement les consignes de sécurité de leur entreprise. Bref : DSI et Directions learning & development auraient tort, sur la simple déclaration des salariés, de penser que la cybersécurité de l’entreprise est entre de bonnes mains ! En même temps, l’on comprend leur réticence à intervenir avec force sur un sujet à la frontière du privé et du professionnel. 

Quatre biais cognitifs individuels qui fragilisent la cybersécurité de l’entreprise.

L’enquête dresse une liste éclairante de quatre biais cognitifs individuels sur lesquels jouent les hackers : stress (57 % des répondants), curiosité (qui est, comme chacun sait, un vilain défaut !), appât du gain et… altruisme ! Ces biais sont renforcés par une charge de travail élevée (selon 78 % des répondants), ce qu’on admettra volontiers au vu du chapelet de Visioconférences subies par le télétravailleur (aussi une façon, pour l’entreprise, d’exercer un contrôle que l’éloignement géographique a distendu).

La formation peut agir dans deux directions.

D’abord, bien sûr, la formation peut renforcer les compétences techniques (cybersécurité, usage sécurisé des nouveaux environnements numériques, identification des principales menaces, etc.) qui sont le socle des connaissances communes à toute organisation. Les catalogues de formations à distance spécialisés ne manquent pas, qui permettent de développer cette nouvelle « digital literacy » ; ces compétences génériques devront toutefois être complétées par la connaissance des équipements et logiciels ainsi que des règles spécifiques à chaque entreprise. Ce programme de formation sera forcément défini en étroite relation avec la DSI ; il devra être actualisé chaque fois que nécessaire (nouvelle menace, notamment), et devrait susciter une revue annuelle (a minima) entre la DSI et la direction formation.

Ensuite, l’étude met l’accent sur le fait qu’au-delà de ces aspects techniques, ce sont les comportements qu’il faut changer. Parler ici de biais cognitifs est euphémique : mieux vaut annoncer clairement que certains comportements sont répréhensibles, parce que lourdement dommageables à l’entreprise (dommage financier, atteinte grave à la réputation, etc.) et jouer sur les deux leviers de la formation et de la sanction éventuelle (pour les imprudents multirécidivistes). En la matière, le service formation pourra s’inspirer de l’approche adoptée dans les formations de mise en conformité réglementaire.

Last but not least ces formations engendreront peut-être des vocations, le marché de l’emploi étant, dans ces fonctions pourtant très rémunératrices, hautement déficitaires.