![\"Cybers\u00e9curit\u00e9\u00a0:](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/shutterstock_272476682-e1618486998247.jpg\" "\\"De")
<\/p>\n<\/p>\n
\u00ab\u00a0Merci de mettre \u00e0 jour votre mot de passe<\/em>\u00a0\u00bb. \u00c0 la lecture de ce message, 49% des employ\u00e9s se contentent d\u2019alt\u00e9rer l\u2019ancien, d\u2019apr\u00e8s une \u00e9tude HYPR de 2019. C\u2019est ainsi que m0tdep@$$e2019<\/em> devient m0tdep@$$e2020<\/em> sans que la s\u00e9curit\u00e9 du syst\u00e8me informatique ait \u00e9t\u00e9 renforc\u00e9e au passage. Faut-il en d\u00e9duire que les efforts de pr\u00e9vention peinent \u00e0 porter leurs fruits ?<\/strong><\/p>\n La cybers\u00e9curit\u00e9 de l\u2019entreprise est l\u2019affaire de tous\u00a0; mais dans les faits, elle est plut\u00f4t l\u2019affaire du voisin. Au-del\u00e0 des outils techniques, le volet de sensibilisation et d\u2019\u00e9ducation des collaborateurs est fondamental. Et pour embarquer tous les collaborateurs, les chartes, r\u00e8gles de bonne conduite et autres guides sur l\u2019hygi\u00e8ne num\u00e9rique ne peuvent pas suffire<\/strong> s\u2019ils ne sont pas imagin\u00e9s dans un ensemble plus grand et motivant. Alors, c\u2019est quoi la recette miracle d\u2019une bonne culture cyber\u00a0?<\/p>\n <\/p>\n Dans la version 2019 du barom\u00e8tre Stormshield\/L\u2019Usine Digitale<\/a>, la sensibilisation aux bonnes pratiques arrive en t\u00eate des leviers cit\u00e9s pour faire face aux d\u00e9fis de la cybers\u00e9curit\u00e9, mais sa mise en \u0153uvre reste in\u00e9gale\u00a0: en effet, 28% des personnes interrog\u00e9es n\u2019investissent pas dans la sensibilisation des collaborateurs<\/strong>, ou alors de fa\u00e7on irr\u00e9guli\u00e8re.<\/p>\n Franck Gicquel<\/strong>, Responsable des partenariats chez Cybermalveillance.gouv.fr<\/a>, confirme cette h\u00e9t\u00e9rog\u00e9n\u00e9it\u00e9\u00a0: \u00ab\u00a0la situation est forc\u00e9ment tr\u00e8s diff\u00e9rente entre un grand groupe et une TPE, celle-ci faisant appel \u00e0 un prestataire pour la gestion de son IT. Ce dernier n\u2019est pas toujours en position de faire passer des messages de sensibilisation<\/em>\u00a0\u00bb.<\/p>\n Signal positif \u00e0 l\u2019inverse, l\u2019\u00e9tude indique que la dimension s\u00e9curit\u00e9 serait de plus en plus souvent int\u00e9gr\u00e9e lors des formations aux nouveaux outils de transformation num\u00e9rique (\u00e0 48%, en hausse de 9\u00a0points par rapport au barom\u00e8tre de l\u2019ann\u00e9e pr\u00e9c\u00e9dente).<\/p>\n <\/p>\n Le r\u00f4le des instances dirigeantes de l\u2019entreprise s\u2019av\u00e8re primordial, car, en plus de faire figure d\u2019exemple, elles seules peuvent d\u00e9finir le sujet de la sensibilisation comme une priorit\u00e9 et lui allouer les moyens n\u00e9cessaires.<\/strong><\/p>\n Or, le top management n\u2019est pas toujours mature pour aborder ces questions. D\u2019o\u00f9 l\u2019imp\u00e9ratif selon G\u00e9rard Leymarie<\/strong>, CISO du groupe Elior, d\u2019un changement de posture de la part des DSI\u00a0: \u00ab\u00a0il faut sortir du mode \u2018old school\u2019, et de sa zone de confort, \u00eatre proactif en allant convaincre le comit\u00e9 ex\u00e9cutif<\/em>\u00a0\u00bb. Pour Franck Gicquel, transformer les dirigeants en ambassadeurs des questions de cybers\u00e9curit\u00e9 permet de \u00ab\u00a0faire varier le porteur d\u2019un m\u00eame message et d\u2019augmenter ses chances d\u2019\u00eatre compris et adopt\u00e9<\/em>\u00a0\u00bb.<\/p>\n Il faut sortir du mode \u2018old school\u2019, et de sa zone de confort, \u00eatre proactif en allant convaincre le comit\u00e9 ex\u00e9cutif.<\/em><\/p>\n On attend \u00e9galement du top management qu\u2019il se positionne quant \u00e0 d\u2019\u00e9ventuelles sanctions en mati\u00e8re de mauvaise hygi\u00e8ne num\u00e9rique<\/a>. Avec le RGPD, les pr\u00e9mices de sanctions tierces et l\u00e9gales se dessinent. Mais \u00e0 l\u2019exception de cas spectaculaires portant sur les mauvaises pratiques de dirigeants<\/a>, les experts s\u2019accordent \u00e0 rejeter les postures trop directives, jug\u00e9es anxiog\u00e8nes et peu efficaces \u00e0 long terme<\/strong>. \u00ab\u00a0En restant dans le registre de la contrainte et de la punition, nous entretenons la vision du salari\u00e9 comme un maillon faible de la cha\u00eene de s\u00e9curit\u00e9. Or, tout l\u2019enjeu de la sensibilisation est d\u2019en faire le maillon fort\u00a0!<\/em>\u00a0\u00bb, confirme Franck Gicquel.<\/p>\n En restant dans le registre de la contrainte et de la punition, nous entretenons la vision du salari\u00e9 comme un maillon faible de la cha\u00eene de s\u00e9curit\u00e9. Or, tout l\u2019enjeu de la sensibilisation est d\u2019en faire le maillon fort\u00a0!<\/em><\/p>\n <\/p><\/blockquote>\n Pour arriver \u00e0 ce r\u00e9sultat, les pr\u00e9sentations Powerpoint annuelles et cyberwashing<\/em>\u00a0sont \u00e0 proscrire. L\u2019enjeu est d\u2019inscrire les bonnes pratiques de cybers\u00e9curit\u00e9 dans le quotidien de fa\u00e7on positive<\/strong>. Voici quelques conseils \u00e0 garder \u00e0 l\u2019esprit pour y parvenir.<\/p>\n \u00ab\u00a0R\u00e9p\u00e9ter sans lasser<\/em>\u00a0\u00bb, tel est l\u2019objectif selon Franck Gicquel. Pour cela, il conseille de faire porter les messages de sensibilisation par la DSI, mais \u00e9galement par d\u2019autres fonctions dans l\u2019entreprise (directions m\u00e9tier, RH et d\u2019autres). Le barom\u00e8tre Stormshield\/L\u2019Usine Digitale 2019 indique par exemple que trois acteurs diff\u00e9rents en moyenne sont \u00e0 l\u2019initiative d\u2019un projet num\u00e9rique au sein de l\u2019entreprise. Une r\u00e9partition de l\u2019effort de sensibilisation appara\u00eet donc r\u00e9aliste. \u00ab\u00a0Cela d\u00e9montre que c\u2019est le sujet de tous et cela permet de varier le ton, les approches, les exemples, pour instaurer une vraie culture cyber<\/em>\u00a0\u00bb.<\/p>\n Et pour aller au plus pr\u00e8s des collaborateurs, pourquoi ne pas identifier des r\u00e9f\u00e9rents au sein des \u00e9quipes op\u00e9rationnelles\u00a0? Par d\u00e9partement ou bien par \u00e9quipe, ces r\u00e9f\u00e9rents \u00ab\u00a0s\u00e9curit\u00e9\u00a0\u00bb auraient un r\u00f4le d'animateur (davantage que d'experts) afin de s'assurer que les messages et les directives cyber soient connus et compris par tous les collaborateurs.<\/p>\n Pour int\u00e9resser les publics d\u2019une grande entreprise, d\u2019une PME ou encore d\u2019une \u00e9cole<\/a> au sujet, il ne faut pas h\u00e9siter \u00e0 s\u2019appuyer sur des exemples m\u00e9tier pr\u00e9cis ou rapprocher les enjeux de ceux rencontr\u00e9s \u00e0 titre personnel.<\/p>\n La technique dite du \u00ab\u00a0croissantage<\/em>\u00a0\u00bb ou \u00ab\u00a0chocoBLAST<\/em><\/a>\u00a0\u00bb incarne bien cette philosophie\u00a0: depuis un poste laiss\u00e9 sans surveillance, un coll\u00e8gue attentif et bienveillant envoie un e-mail \u00e0 tous pour indiquer que son propri\u00e9taire apportera le petit-d\u00e9jeuner le lendemain. Un moyen simple et rapide d\u2019introduire de premi\u00e8res notions d\u2019hygi\u00e8ne num\u00e9rique<\/strong> en entreprise.<\/p>\n Enfin, il est important de v\u00e9rifier ce qui a \u00e9t\u00e9 compris par les collaborateurs sensibilis\u00e9s. Dans le cas d\u2019Elior et de son op\u00e9ration Hacking Diner<\/em> (cf ci-dessous), les indicateurs retenus sont les statistiques de consultation du site d\u00e9di\u00e9, le taux de remont\u00e9e d\u2019informations de s\u00e9curit\u00e9 (multipli\u00e9 par\u00a04 en moins d\u2019un an<\/a>) ainsi que le taux de succ\u00e8s des attaques subies par l\u2019entreprise.<\/p>\n <\/p>\n Le leader fran\u00e7ais de la restauration collective a d\u00e9ploy\u00e9 fin 2018 une campagne de sensibilisation \u00e0 la cybers\u00e9curit\u00e9 aupr\u00e8s de ses 110\u00a0000\u00a0salari\u00e9s, le \u00ab\u00a0Hacking diner<\/em> \u00bb. Elle a pris la forme d\u2019un film, assorti d\u2019un site d\u00e9di\u00e9. G\u00e9rard Leymarie partage sa satisfaction : \u00ab avec moins de 50\u00a0000\u00a0euros, nous avons r\u00e9ussi \u00e0 augmenter consid\u00e9rablement le niveau de sensibilisation en interne<\/em>\u00a0\u00bb. \u00ab\u00a0Cela tient \u00e0 la diversit\u00e9 des formats employ\u00e9s et \u00e0 l\u2019implication de la direction g\u00e9n\u00e9rale et du RSSI<\/em>\u00a0\u00bb, commente Franck Gicquel. Et cette campagne a \u00e9t\u00e9 pens\u00e9e dans la dur\u00e9e\u00a0: de nouveaux modules viennent s\u2019ajouter r\u00e9guli\u00e8rement au site hackingdiner.eliorgroup.net<\/a>. \u00ab\u00a0Plut\u00f4t qu\u2019une op\u00e9ration ponctuelle, nous avons pr\u00e9f\u00e9r\u00e9 laisser aux gens le temps de s\u2019approprier les bons r\u00e9flexes gr\u00e2ce \u00e0 une campagne \u00e0 \u00e9pisodes et suivie dans le temps<\/em>\u00a0\u00bb, souligne G\u00e9rard Leymarie.<\/p>\nLa sensibilisation \u00e0 la cybers\u00e9curit\u00e9 n\u2019est pas encore un r\u00e9flexe partout<\/h2>\n
Exemplarit\u00e9 ou sanction, le top management cherche son r\u00f4le<\/h2>\n
G\u00e9rard Leymarie,<\/strong> CISO du groupe Elior<\/pre>\n<\/blockquote>\n
Franck Gicquel<\/strong>, Responsable des partenariats chez Cybermalveillance.gouv.fr<\/pre>\n
Th\u00e9orie sans pratique n\u2019est que ruine du budget formation<\/h2>\n
1. D\u00e9cloisonner<\/em><\/h3>\n
2. Cr\u00e9er des relais<\/em><\/h3>\n
3. S\u2019adapter au public vis\u00e9<\/em><\/h3>\n
4. D\u00e9dramatiser<\/em><\/h3>\n
5. Mesurer l\u2019efficacit\u00e9 de la sensibilisation<\/em><\/h3>\n
Changement de m\u00e9thode pour Elior avec le \u00ab\u00a0Hacking Diner\u00a0\u00bb<\/h3>\n