Cybersécurité et facteur humain

Il n’y a que 24 heures dans une journée. Et nous en passons une partie à dormir. Les machines peuvent, quant à elles, travailler 24 h/24 au même rythme, sans avoir besoin de pauses ni de sommeil. C’est impossible pour nous, les humains.

Dans le même temps, les humains font des erreurs, car ils sont fatigués, distraits, malades… Les machines ne rencontrent pas ce problème et sont capables d’exécuter leurs tâches de manière constante, de sorte à ne commettre pratiquement aucune erreur. Le phishing est un exemple courant d’erreur humaine : nous ne réalisons pas qu’il s’agit d’une cyberattaque et nous tombons dans le panneau, avec toutes les conséquences que cela implique.

Des études montrent que les entreprises accordent de plus en plus d’attention à la cybersécurité. D’après une enquête menée par le Forum économique mondial, la cybersécurité figure dans le top 3 des réponses les plus fréquentes à la question de savoir ce qui préoccupe les entreprises. Beltug a, par ailleurs, sondé les priorités des CIO et des décideurs en matière de TIC. La liste des réponses est presque entièrement consacrée à la cybersécurité. Conclusion : les entreprises sont parfaitement conscientes des cyberdangers et de la nécessité de prendre des mesures.

Prendre conscience de la situation est une chose, mais intervenir sur ce plan s’avère beaucoup plus difficile dans la pratique. Nous manquons en effet cruellement de spécialistes de la cybersécurité. Il n’y a pas assez de personnes pour résoudre ce problème croissant.

La cybersécurité est assurément une affaire de personnes. Pour pouvoir se défendre, les entreprises recherchent un SOC (Security Operations Centre) dont la mission est de surveiller les attaques et d’intervenir de manière adéquate si nécessaire. Mais ces centres doivent faire face à une charge de travail colossale, à des attaques de plus en plus sophistiquées et à un impact croissant sur les entreprises visées. Cette pression est énorme. Il n’est, en outre, pas facile de déterminer la pertinence ou non d’une intervention, parfois par manque d’informations, souvent par excès d’informations. C’est là que l’automatisation peut apporter une solution.

Les personnes qui travaillent dans le domaine de la cybersécurité sont parfois confrontées à la question éthique de savoir si le cybercrime vaut ou non la peine. La cybercriminalité semble souvent plus lucrative en termes purement financiers. Mais il existe heureusement d’autres raisons, plus nobles, d’œuvrer en faveur d’une plus grande cybersécurité. Chaque personne active dans le domaine de la cybersécurité a ses propres bonnes raisons de le faire.

Aucune entreprise ne peut anticiper tous les cyberrisques, car ils sont trop nombreux. Vous devez faire des choix et agir en conséquence. Notez toutefois qu’il est essentiel de faire adhérer vos collaborateurs à votre démarche. Vous n’intercepterez pas les pirates seul. Les gens ont une aversion naturelle pour le changement. Il est essentiel de les sensibiliser aux dangers et de leur permettre de réagir rapidement en cas de changement, faute de quoi votre entreprise continuera à courir des risques inutiles.

L’humain joue un rôle central dans la cybersécurité. Il est à la fois le maillon faible, car il fait des erreurs et travaille souvent moins efficacement, mais aussi le maillon fort, d’un autre point de vue. En cas de nécessité absolue, l’humain peut en effet intervenir judicieusement pour arrêter une attaque. La cybersécurité est en fin de compte plus une affaire de personnes que de technologie.