Formation de sensibilisation à la sécurité informatique

En termes généraux, on peut considérer que la formation à la sécurité informatique en entreprise consiste à s'assurer que les individus comprennent et suivent certaines pratiques pour contribuer à assurer la sécurité d'une organisation. De ce point de vue, la formation de sensibilisation à la sécurité existe pratiquement depuis toujours, surtout si l'on considère la nécessité de la sécurité dans les applications militaires.

Aujourd'hui, la formation à la sécurité informatique met l'accent sur la sécurité de l'information, et en particulier sur la cybersécurité. Les progrès rapides des technologies de l'information - et les innovations parallèles des cybercriminels - signifient que les employés et autres utilisateurs finaux ont besoin d'une formation régulière et spécifique sur la façon de rester en sécurité en ligne et de protéger leurs informations et celles de leurs employeurs.

Cet article est une introduction à la formation de sensibilisation à la sécurité en entreprise : pourquoi les organisations l'utilisent, comment elle a évolué au fil des ans et comment elle contribue à réduire la menace de cyberattaques et d'autres atteintes à la sécurité. Enfin, nous présenterons quelques outils permettant de créer un programme efficace de sensibilisation à la sécurité.

La formation à la sécurité informatique a un rôle essentiel à jouer dans la réduction des graves menaces de cybersécurité que les attaques de phishing et d'ingénierie sociale font peser sur les utilisateurs finaux. Les principaux sujets de formation comprennent généralement la gestion des mots de passe, la confidentialité, la sécurité des emails et du phishing, la sécurité du web et de l'internet, ainsi que la sécurité physique et la sécurité des bureaux.

La formation de sensibilisation à la sécurité est également un argument commercial, comme l'explique le rapport du groupe Aberdeen intitulé “Security Awareness Training” : Small Investment, Large Reduction in Risk. Les chercheurs ont organisé un atelier avec les responsables de la sécurité des entreprises pour savoir pourquoi ils investissent dans la sensibilisation et la formation à la sécurité. Ils ont constaté que :

• 91 % utilisent la sensibilisation à la sécurité pour réduire les risques de cybersécurité liés au comportement des utilisateurs.
• 64 % l'utilisent pour modifier le comportement des utilisateurs.
• 61 % l'utilisent pour répondre aux exigences réglementaires.
• 55 % l'utilisent pour se conformer aux politiques internes.

Comme le suggèrent ces statistiques, certaines organisations ont recours à la formation de sensibilisation à la sécurité simplement parce qu'elles doivent, pour se conformer à des exigences externes ou internes. Mais cette formation a également un sens financier, selon le rapport : “un investissement supplémentaire dans la formation de sensibilisation à la sécurité se traduit par une réduction médiane du risque annualisé d'attaques de phishing d'environ 50 %, et un retour sur investissement annuel médian d'environ 5 fois”.

Si les concepts fondamentaux de la formation de la sensibilisation à la sécurité ne sont pas nouveaux, ils ont atteint le grand public relativement récemment. Le lancement en 2004 du Mois National de la sensibilisation à la cybersécurité en est une indication.

Cette initiative, lancée par la National Cyber Security Alliance et le ministère américain de la Sécurité intérieure, visait à aider les gens à rester plus sûrs et plus sécurisés en ligne, en encourageant des pratiques telles que la mise à jour régulière des logiciels antivirus.

Depuis lors, le mois annuel de sensibilisation a inspiré des événements similaires dans d'autres pays, a élargi ses thèmes et son contenu, et a attiré une participation accrue des industries et du gouvernement, ainsi que des universités, des organisations à but non lucratif et du grand public.

L'objectif, les méthodes et l'efficacité de la formation de sensibilisation à la sécurité informatique ont connu des changements importants au fil des ans. En 2004, la plupart des programmes étaient motivés par la nécessité de se conformer à la réglementation, c'est-à-dire simplement de satisfaire aux exigences réglementaires. Aujourd'hui, l'accent est mis sur la sensibilisation à la sécurité en tant que moyen de gérer et d'atténuer les risques organisationnels.

En cours de route, les méthodes de formation elles-mêmes ont mûri. En 2004, le paradigme dominant était celui des présentations annuelles, soit sous forme de séance de formation en personne, soit sous forme de formation longue sur ordinateur.

Malheureusement, ces sessions longues et peu fréquentes ne permettent pas une bonne rétention des connaissances. Le passage progressif à des formations courtes et ciblées sur des sujets individuels a représenté une amélioration, mais ces formations étaient encore peu fréquentes, ce qui permet au savoir de se dissiper avec le temps.

Vers 2014, la formation de sensibilisation à la sécurité a commencé à s'orienter vers la formation et l'amélioration continues, dans le cadre desquelles un programme comprend des cycles continus d'évaluation et de formation. Les dernières évolutions ont été les formations “juste à temps” et en contexte, qui permettent de lancer une formation en réponse à un utilisateur final présentant un mauvais comportement en matière de cybersécurité, par exemple une navigation web non sécurisée.

Aujourd'hui, les professionnels de l'infosec utilisent divers outils pour former les utilisateurs finaux, comme le montre notre rapport sur l'état des lieux en 2019 (Phish™). L'outil dominant - et dont la popularité ne cesse de croître - est la formation de sensibilisation par ordinateur.

• 79 % utilisent la formation de sensibilisation par ordinateur.
• 68 % utilisent des exercices de simulation de phishing.
• 46 % utilisent des campagnes de sensibilisation (vidéos et affiches).
• 45 % utilisent la formation de sensibilisation à la sécurité en personne.
• 38 % utilisent des notifications ou des bulletins d'information mensuels.

Les programmes de formation bien conçus font souvent appel à plusieurs de ces outils. Il est tout aussi important de déployer ces outils d'une manière systématique et méthodique qui vous permette de suivre et de mesurer les progrès dans le temps.

Nos solutions de formation très efficaces utilisent notre méthodologie de formation continue, conçue avec les principes de la science de l'apprentissage pour engager l'apprenant et changer son comportement.

L'efficacité de la façon dont nous utilisons les principes de la science de l'apprentissage a été démontrée par des recherches effectuées à l'université Carnegie Mellon.

Nos propres études de cas et instantanés de résultats ont montré des résultats convaincants :

95 %

Sur une période de deux ans, une institution financière a enregistré une réduction de 95 % des logiciels malveillants et des virus, ainsi qu'une plus grande sensibilisation aux menaces de la cybersécurité.

90 %

Un collège du nord-est des États-Unis a signalé une réduction significative des logiciels malveillants et des virus, une réduction de 90 % des attaques de phishing réussies, une diminution significative des demandes d'assistance, une augmentation du nombre d'utilisateurs signalant des incidents et une plus grande prise de conscience des problèmes de sécurité.

89 %

Une organisation d'aide aux employés a réalisé une réduction de 89 % de sa vulnérabilité au phishing en utilisant nos modules d'évaluation et d'éducation comme éléments essentiels de son programme de sensibilisation et de formation à la sécurité.

80 %

Une formation de sensibilisation à la sécurité a permis aux employés des administrations municipales de réduire le taux moyen de clics de 80 % en un an et d'éviter une attaque sophistiquée de fraude par virement bancaire.

• Le contenu : Le contenu doit être facile à digérer et à comprendre pour un public général et fournir des informations de manière organisée, par exemple sous forme de chapitres et de leçons.
• Soutien de la direction : Les cadres sont chargés de veiller à ce que les utilisateurs suivent les procédures. Le matériel de formation doit donc avoir un contenu qui peut être distribué dans tous les départements.
• Mises à jour fréquentes du programme : Le paysage de la cybersécurité évolue, le contenu du programme doit donc également évoluer. Chaque année, le contenu doit être revu et actualisé pour couvrir les dernières menaces.

• Tests : Tester les utilisateurs avec des e-mails de phishing et des scénarios d'ingénierie sociale réels les aidera à identifier les menaces. Les exemples d'exercices doivent imiter des attaques réelles.
• Rapports : Intégrés aux tests, les rapports indiqueront aux administrateurs qui a cliqué sur les liens et soumis des données sensibles. Les rapports permettront d'identifier les employés qui ont besoin d'une formation supplémentaire.
• Enquêtes : Après la formation, envoyez des questions d'enquête aux responsables, aux cadres et aux membres du personnel afin qu'ils puissent donner leur avis sur les améliorations à apporter.

• 10 % formel : Bien qu'il s'agisse d'une formation d'entreprise, le contenu formel doit être le moins présent dans votre matériel de formation. Le contenu formel peut être difficile à lire ou à digérer, mais il peut être important pour les faits et les exemples spécifiques.
• 20 % de contenu informel : le contenu informel, tel que les webinaires, les vidéos et les collaborations, engage davantage les utilisateurs. Ce contenu ne doit pas constituer la majorité des sources de formation, mais il peut être plus que formel pour aider les utilisateurs à mieux comprendre les concepts.

• 70 % d'expérience réelle : Le contenu de cette section doit être personnalisé pour s'adapter à la culture et à l'expérience de l'organisation. Ce type de contenu est généralement développé par une tierce partie afin que tous les membres du personnel tirent le meilleur parti de la formation.

• Des résultats prouvés. Il a été démontré que les formations à la sécurité réduisent les taux de clics jusqu'à 50 %.
• Des exemples concrets. Formez les employés à l'aide d'exemples concrets afin qu'ils puissent reconnaître plus efficacement un email de phishing.

• Une meilleure conformité. Les formations Proofpoint améliorent la conformité en apprenant aux utilisateurs à effectuer des audits et à tenir des registres lorsqu'ils travaillent avec des données clients.
• Engageant pour les utilisateurs. Toutes les leçons et tous les cours de formation sont créés pour susciter l'intérêt des utilisateurs afin qu'ils tirent le meilleur parti de leurs sessions.