Comment mieux sensibiliser vos collaborateurs à la cybersécurité ?

L’humain au cœur de la cyberdéfense

En 2021, une tendance se dessine indéniablement dans le paysage de la cybersécurité : voir l’humain non plus comme un problème mais comme une solution. Très longtemps perçu comme une menace pour le système d’information, il occupe désormais une place centrale dans les stratégies de cyberdéfense. Lorsqu’il est suffisamment formé et sensibilisé, l’humain s’avère être un véritable rempart contre les différentes cybermenaces.

Pourtant, en entreprise, les moyens et le temps alloués à la formation des collaborateurs sur la cybersécurité ne sont pas toujours suffisants, voire presque inexistants… Beaucoup se contentent d’une simple réunion d’informations ou de coller des affiches de préventions.

Lire aussi : Sensibiliser vos collaborateurs à la cybersécurité, pourquoi est-ce indispensable ?

« Former oui, mais pas n’importe comment »

Outre le fait de ne pas former et sensibiliser suffisamment leurs salariés, les entreprises ne disposent pas toujours des bonnes méthodes pour rendre leurs actions de prévention efficaces. Voici quelques erreurs régulièrement commises :

• Ne former qu’un seul profil de salariés car ils semblent plus exposés aux risques

• Ne pas appréhender le niveau de connaissance de ces collaborateurs en matière de cybersécurité

• Ne pas prendre en compte l’environnement de travail des collaborateurs (bureau, télétravail ou déplacement pro…)

• Ne pas actualiser ses formations ou sa documentation assez régulièrement

• Ne pas s’adapter aux nouveaux usages ou outils numériques de l’entreprise

• Ne pas passer de la théorie à la pratique, certes la théorie est essentielle mais seule, elle n’est pas suffisamment impactante.

• Ne pas vérifier que les bonnes pratiques sont intégrées et appliquées au quotidien par ses équipes

• Réaliser des formations trop longues et non-participatives.

Alors pour optimiser votre cyberdéfense et faire de vos collaborateurs de véritables cyber soldats, voici quelques conseils à suivre.

1 – Évaluer le niveau de maturité et les besoins de formations

Avant de débuter le programme de formation, il est intéressant d’évaluer le niveau de maturité de vos collaborateurs et de comprendre leur besoin réel en formation. Testez leurs connaissances sur les différents thèmes de la cybersécurité et étudiez les résultats obtenus. Repérez les sujets sur lesquels vos équipes ne sont pas au point et identifiez les différents profils de collaborateurs en fonction de leur niveau. Cela vous permettra de mener vos actions de manière plus ciblée et d’adapter au mieux vos campagnes de sensibilisation et vos formations.

2 – Une formation aussi efficace sur le fond que sur la forme

Finissez-en avec les conférences ennuyeuses où l’on reste assis des heures sur une chaise à écouter un intervenant vous parler de la cybersécurité. Apportez une dimension plus ludique à vos formations en impliquant davantage vos collaborateurs. Favorisez l’interaction en utilisant différents formats pour aborder votre programme comme le jeu, le débat, les quiz.

Organisez, par exemple, plusieurs ateliers traitant d’un sujet de cybersécurité en particulier : la sécurité sur le web, reconnaître une attaque phishing, créer un mot de passe solide et unique…etc. Cela permettra de rendre votre audience plus active et d’intégrer plus facilement les diverses notions et consignes.

Privilégiez des formats courts pour s’intégrer plus facilement aux plannings de vos équipes et éviter de les surcharger d’information. Répétez-les à un rythme « intelligent », lorsque vous constatez une baisse de vigilance ou perte des bonnes habitudes. L’objectif étant de réactivité et de renforcé leurs connaissances et leur vigilance.

3 – Instaurer une véritable culture de la cybersécurité

La cybersécurité doit être intégrée à la culture d’entreprise. Vos collaborateurs doivent comprendre leur rôle à jouer dans la protection des données et du système d’information. Pour cela, ils ne doivent pas seulement connaître les cyber-risques mais également les appréhender, les identifier et agir en conséquence.

N’hésitez pas à illustrer vos propos avec des exemples concrets, des chiffres témoignant de l’importance d’adopter des bons comportements en matière d’informatique. Expliquez les conséquences résultant d’une cyberattaque ou d’une mauvaise pratique numérique. La prise de conscience de vos équipes sera votre meilleure défense.

4 – Entrainer vos équipes en condition réelle

Passez de la théorie à la pratique ! Simulez des fausses cyberattaques, les plus réalistes possibles, afin de vérifier si les bonnes pratiques ont été bien acquises et sont bien appliquées en moment voulu. Des tests simples peuvent être mis en place. Comme 90% des cyberattaques commence par un e-mail, réalisez de fausses attaques phishing et observez le comportement de vos équipes : Combien de personne ont cliqué sur le lien frauduleux ? Comment ont ouvert à la pièce jointe ? Combien ont signalé l’e-mail à un supérieurs hiérarchique ou responsable informatique ?

C’est avec l’entraînement que l’on s’améliore ! Alors, organisez plusieurs simulations aléatoirement dans l’année portant sur différents types de cyberattaque (FOVI, phishing, ransomware…). On estime qu’il faut réaliser au minimum 3 campagnes de simulations pour évaluer pertinemment le taux de vulnérabilité.

Faites toujours un retour à vos équipes afin de leur expliquer qu’elles ont été les erreurs commises et quels comportements doivent être adopter pour cette situation. La simulation doit bien évidemment garder une visée pédagogique.

Vous souhaitez mettre en place des tests phishing ? BA INFO peut vous accompagner. Contactez-nous pour en savoir plus !

5 – Documenter et communiquer

La mise en place d’une charte informatique est devenue indispensable. Elle détermine une politique stricte en matière de sécurité informatique. Vos collaborateurs pourront s’y référer afin de connaître les usages et les outils numériques autorisés ou non-autorisés et s’informer sur les bonnes pratiques à adopter. Rédigée dans des termes clairs et précis, la charte informatique doit être à la disposition de l’ensemble des collaborateurs. Elle doit être mise régulièrement à jour et prendre en compte les évolutions organisationnelles et fonctionnelles de l’entreprise (nouveaux outils, nouvelles méthodes de travail…).

Vous pouvez également mettre à la disposition de vos équipes des « fiches mémos » ou infographies rappelant les bonnes pratiques informatique ou les actions à mener en cas de cyberattaque. Le site Cybermalveillance.gouv.fr et notre page LinkedIn BA INFO contiennent de nombreux documents (infographies, kit de sensibilisation, fiches mémo, articles…) pouvant vous être utile. N’hésitez pas à vous en servir et à les diffuser auprès de vos équipes.