Comment améliorer le niveau de cybersécurité des collaborateurs grâce à la sensibilisation

4

5 enseignements clés de la dernière campagne de formation des collaborateurs de Scality

Octobre est le Mois de la sensibilisation à la cybersécurité, et les leçons pour protéger les données confidentielles et la propriété intellectuelle des cybercriminels concernent tous les employeurs. Former vos collaborateurs à repérer les comportements suspects et les menaces ressemble d’une certaine façon à la dynamique familiale. Quand nos enfants sont petits, nous espérons leur éviter d’apprendre les leçons de la vie à leurs dépens, surtout les plus dangereuses. Adultes, nous avons les moyens d’aller chercher la sagesse auprès d’experts et de pairs pour éviter les erreurs. 

Mais la cybersécurité n’est clairement pas un problème comme les autres. En 2024, le coût moyen d’une violation de données a atteint 4,88 millions de dollars, soit une hausse marquée de 10 % due à la remédiation et aux perturbations de l’activité¹. Aïe. Les cybercriminels qui continuent de nuire aux entreprises trouvent sans cesse de nouveaux moyens de passer à la vitesse supérieure.

Comme le dit l’adage, la meilleure défense, c’est l’attaque

Pour renforcer les défenses d’une organisation, il est essentiel de préparer la certification ISO 27001 (en anglais), une norme internationale de référence pour les systèmes de management de la sécurité de l’information (SMSI). Chez Scality, nous travaillons activement à obtenir la certification ISO 27001, en nous concentrant à la fois sur les contrôles de sécurité techniques et sur la sensibilisation des collaborateurs à la cybersécurité. 

Grâce à de récentes initiatives de sensibilisation et de formation, l’équipe Scality a tiré de précieuses leçons sur la façon d’améliorer le niveau de cybersécurité et l’engagement des collaborateurs dans toute l’organisation. 

Dans cet article, nous partageons nos enseignements, dont les résultats de formation des collaborateurs et les actions de suivi que nous mettons en place.

Le rôle de l’ISO 27001 dans le renforcement de la sécurité

L’ISO 27001 offre aux entreprises une approche structurée pour gérer et protéger les informations sensibles grâce à un ensemble de politiques, de procédures et de contrôles de sécurité. Plus de 58 000 organisations dans le monde sont certifiées, et beaucoup d’autres, comme Scality, visent la certification pour démontrer leur engagement en matière de sécurité.

En adoptant l’ISO 27001, les entreprises peuvent :

• Gérer les risques : identifier systématiquement les vulnérabilités et mettre en place des mesures de protection des données.
• Renforcer la confiance des clients : la certification rassure clients et partenaires sur la sécurité de leurs informations.
• Réduire le coût des violations : l’ISO 27001 améliore la résilience et réduit la probabilité et l’impact des violations.

Chez Scality, la préparation à l’ISO 27001 mobilise toute l’entreprise et associe la formation des collaborateurs à des contrôles de sécurité plus larges. L’objectif ? Créer une culture de la sécurité où chaque collaborateur joue un rôle actif dans la protection des données de l’entreprise.

Les résultats de notre dernière formation interne de sensibilisation à la cybersécurité

Dans le cadre de notre préparation à la certification ISO 27001, Scality a récemment mené une campagne de sensibilisation pour former ses collaborateurs à divers sujets critiques de cybersécurité, notamment :

• La gestion des mots de passe
• L’ingénierie sociale
• Les ransomwares et le phishing
• Le RGPD
• La classification et la gestion de l’information
• Les mises à jour de sécurité des ordinateurs portables
• La gestion des sauvegardes
• Les vulnérabilités et expositions courantes (CVE)

La formation comprenait une série de courtes vidéos sur ces thèmes clés, suivies de quiz pour mesurer la compréhension des collaborateurs. À ce jour, 90 % des collaborateurs de Scality y ont participé et 86,5 % ont réussi les quiz avec un score d’au moins 75 %.

Ces résultats traduisent une nette amélioration de la capacité des collaborateurs à reconnaître les tentatives de phishing, à repérer les comportements suspects et à appliquer les bonnes pratiques de sécurité. Et surtout, ils indiquent à notre équipe sécurité les domaines dans lesquels les collaborateurs ont besoin de formation et d’accompagnement supplémentaires. 

À chaque formation des collaborateurs, en cybersécurité ou dans d’autres domaines, nous analysons non seulement les résultats, mais aussi les retours et les indicateurs qui montrent comment améliorer le processus de formation. 

Les trois difficultés les plus courantes de l’IT pour former les collaborateurs

• Le manque d’engagement des collaborateurs : les collaborateurs ne sont pas toujours intéressés par les nouvelles technologies ou les procédures de sécurité. Ils peuvent y voir une charge supplémentaire en plus d’un emploi du temps déjà chargé, surtout lorsque la formation est obligatoire.
• Des niveaux d’expertise technique variables : les collaborateurs ont des niveaux de connaissances et d’expérience différents. Certains sont très à l’aise avec les nouvelles technologies, d’autres ont besoin de plus d’accompagnement. Il est donc difficile de concevoir des programmes de formation adaptés à tous.
• Le manque de temps : les collaborateurs sont souvent très occupés et n’ont pas toujours le temps de suivre des sessions de formation ou des cours en ligne. C’est un frein majeur à une formation IT efficace.

Pour relever ces défis, notre service IT a récemment mis en place deux changements clés afin d’améliorer l’efficacité de nos programmes de formation internes :

• Des formations courtes, pertinentes et engageantes : la formation doit être adaptée aux métiers des collaborateurs et dispensée de manière engageante et participative.
• Des formats de formation variés : proposer des formations sous différentes formes, comme des cours en ligne, des sessions en présentiel et des ateliers pratiques.

Cinq enseignements clés pour améliorer le niveau de cybersécurité des collaborateurs

Sur la base de nos actions internes et des enseignements de la préparation à l’ISO 27001, voici quelques enseignements clés qui pourraient vous être utiles dans votre propre organisation.

1. Organiser régulièrement des simulations de phishing
   Les cybercriminels s’appuient largement sur les e-mails de phishing pour pousser les collaborateurs à révéler des informations sensibles. Le phishing est d’ailleurs considéré comme l’une des méthodes les plus répandues pour déclencher une violation de données. Selon un rapport Verizon de 2022 (en anglais), 36 % des violations de données impliquaient du phishing. Chez Scality, nous organisons chaque mois des simulations de phishing pour tester les réactions des collaborateurs en temps réel. Ceux qui cliquent sur des liens suspects sont redirigés vers une formation de sensibilisation complémentaire, ce qui leur permet d’apprendre de leurs erreurs sans conséquences réelles. 

• Trois exemples d’e-mails de phishing dans lesquels des escrocs se font passer pour des entités de confiance, en reprenant  une image de marque et un langage familiers, pour inciter les victimes à cliquer sur des liens malveillants. Cela peut entraîner l’installation de logiciels malveillants ou la divulgation d’informations sensibles.

3. Utiliser des outils d’IA pour une protection en temps réel
   Pour nos simulations de phishing régulières, nous faisons appel à Mantra, une société tierce qui génère des e-mails de phishing pour la sensibilisation des collaborateurs. Nous utilisons aussi l’outil Mantra (en anglais) « Smart Banners », fondé sur l’IA, qui alerte en temps réel les collaborateurs de Scality lorsque des menaces sont détectées dans les e-mails entrants (à partir de l’analyse du contenu). Les Smart Banners aident les collaborateurs à reconnaître les e-mails potentiellement dangereux avant d’interagir avec eux.

4. Se concentrer sur l’erreur humaine

Sensibilisation au phishing : le phishing restant l’un des points d’entrée les plus courants des cyberattaques, utilisez des campagnes de phishing simulées pour apprendre aux collaborateurs à reconnaître les e-mails suspects.

Hygiène des mots de passe : rappelez l’importance de la MFA (authentification multifacteur) (en anglais) et de l’utilisation de gestionnaires de mots de passe. Soulignez que des identifiants faibles associés à une connexion en une seule étape restent l’une des principales vulnérabilités.

5. Découper la formation en modules courts
   L’une des clés d’une formation réussie est un contenu concis et ciblé. Plutôt que de submerger les collaborateurs avec de longues sessions, nous proposons de courts modules vidéo sur des thèmes précis comme les ransomwares, le phishing et la gestion des mots de passe. Après chaque module, les collaborateurs répondent à un quiz pour consolider leurs acquis. En plus des vidéos, nous nous appuyons sur la documentation de sécurité interne, où les collaborateurs trouvent les réponses aux quiz, ce qui les familiarise avec un plus large éventail de ressources.

6. Promouvoir une culture de la vérification
   L’équipe IT et sécurité de Scality rappelle régulièrement aux collaborateurs de vérifier toute demande inhabituelle ou sensible, par e-mail comme par téléphone. Les inciter à contrôler les demandes — en particulier celles qui portent sur des virements ou l’accès à des systèmes critiques — aide à prévenir les attaques d’ingénierie sociale.

Préparer l’ISO 27001 : prochaines étapes 

Alors que Scality se prépare à la certification ISO 27001 d’ici fin 2024, nous avons appris que le chemin compte autant que la destination. 

Voici comment nous nous préparons :

• Intégrer la formation ISO 27001 à notre programme continu de sensibilisation à la cybersécurité.
• Élaborer et tenir à jour un manifeste de conception en tant qu’éditeur de logiciels aligné sur l’ISO 27001. Notre manifeste intègre aussi les recommandations, initiatives et normes de sécurité récentes, comme la directive européenne NIS 2 et le décret présidentiel américain sur l’amélioration de la cybersécurité nationale.
• Définir des politiques et procédures claires pour gérer les incidents de sécurité et les violations potentielles.
• Des formations et quiz réguliers pour évaluer et améliorer les connaissances des collaborateurs.
• Des formations par simulation de cybermenaces, avec des outils de phishing et d’IA qui apprennent aux collaborateurs à identifier les risques liés aux e-mails entrants.
• Une veille continue sur les nouvelles cybermenaces, les technologies de sécurité, les réglementations et les exigences légales, pour informer nos collaborateurs des événements, changements et évolutions majeurs.

Responsabiliser les collaborateurs : la clé d’une cybersécurité renforcée

La cybersécurité est l’affaire de tous, pas seulement de l’équipe IT. En investissant dans la sensibilisation des collaborateurs, en organisant des simulations et en favorisant une culture de la vérification, vous pouvez renforcer considérablement les défenses de votre organisation. Les résultats de notre récente formation — 90 % de participation et 86,5 % de réussite — montrent qu’avec la bonne approche, les collaborateurs peuvent devenir la première ligne de défense contre les cybermenaces.

Alors que nous avançons vers la certification ISO 27001, ce parcours nous a confirmé que la protection de nos données commence par la responsabilisation des collaborateurs. Il a rapproché nos services autour d’un objectif commun : protéger les informations sensibles et atteindre les normes de sécurité internationales.

En adoptant une stratégie similaire, votre organisation peut renforcer sa résilience face à l’évolution des cybermenaces et mieux se préparer à ce que l’avenir lui réserve.

1 https://www.ibm.com/reports/data-breach