Avec l\u2019aide de l\u2019IA, les attaques de phishing, vishing et smishing augmentent en fr\u00e9quence et en sophistication. Dans ce contexte, il n\u2019a jamais \u00e9t\u00e9 aussi important de comprendre et de g\u00e9rer les cyber-risques humains. C\u2019est ce que conclut le SANS Institute, \u00e0 l\u2019occasion de la publication du SANS 2023 Security Awareness Report\u00ae, intitul\u00e9 Managing Human Risk.<\/p>\n
Le rapport, qui s\u2019appuie sur les exp\u00e9riences de pr\u00e8s de 2.000 participants de 80 pays, souligne les enjeux croissants des cyber-risques humains \u2013 surtout quand on sait qu\u2019en 2022, 20 % des organisations mondiales ont signal\u00e9 des incidents de s\u00e9curit\u00e9 avec leurs t\u00e9l\u00e9travailleurs.<\/p>\n
\u00ab\u00a0Le monde digital s\u2019\u00e9tend \u00e0 grande vitesse, ce qui accro\u00eet l\u2019importance du facteur humain de la cybers\u00e9curit\u00e9, \u00e0 mesure que celui-ci s\u2019impose comme une cible majeure des cybermenaces mondiales\u00a0\u00bb<\/em>, souligne Lance Spitzner, SANS Security Awareness Director et co-auteur du rapport. \u00ab\u00a0Le rapport doit servir de boussole aux entreprises, pour les aider non seulement \u00e0 comprendre les cyberrisques humains, mais aussi \u00e0 g\u00e9rer ces risques de mani\u00e8re proactive. En rassemblant des donn\u00e9es de milliers de participants du monde entier, nous avons mis \u00e0 jour des sch\u00e9mas et des approches pratiques qui pourront aider les organisations \u00e0 transformer leur paysage des risques humains.\u00a0\u00bb<\/em><\/p>\n Le rapport fournit une analyse approfondie et des mesures concr\u00e8tes, qui aideront les professionnels de la s\u00e9curit\u00e9 \u00e0 progresser, \u00e0 affiner leurs programmes de sensibilisation et \u00e0 assurer le benchmarking mondial de leurs programmes \u00e0 l\u2019aide du Security Awareness Maturity Model\u00ae. Quelles en sont les principales conclusions?<\/p>\n Risques humains majeurs :<\/em><\/strong> les principales menaces comprennent les attaques de phishing, vishing et smishing ; les risques d\u2019authentification et ceux li\u00e9s aux mots de passe (malgr\u00e9 les outils avanc\u00e9s existants) ; le d\u00e9fi d\u2019encourager une culture de s\u00e9curit\u00e9 en vue d\u2019une d\u00e9tection\/d\u2019un reporting efficace ; et le risque de configurations erron\u00e9es par les gestionnaires IT, surtout dans des environnements cloud complexes.<\/p>\n Vision de la direction :<\/em><\/strong> comme les ann\u00e9es pr\u00e9c\u00e9dentes, la sensibilisation \u00e0 la s\u00e9curit\u00e9 reste largement envisag\u00e9e comme une t\u00e2che \u00e0 temps partiel au sein des organisations. Pas moins de 70 % des experts en sensibilisation \u00e0 la s\u00e9curit\u00e9 d\u00e9clarent y avoir consacr\u00e9 la moiti\u00e9 ou moins de leur temps de travail en 2023. Ce r\u00e9sultat pointe une fois de plus le d\u00e9fi persistant qui consiste \u00e0 souligner l\u2019importance d\u2019une sensibilisation continue et quotidienne \u00e0 la s\u00e9curit\u00e9 dans les op\u00e9rations quotidiennes des organisations.<\/p>\n R\u00e9mun\u00e9ration :<\/em><\/strong> pour la premi\u00e8re fois, nos donn\u00e9es r\u00e9v\u00e8lent que les professionnels sp\u00e9cialis\u00e9s en gestion du risque humain gagnent jusqu\u2019\u00e0 5 % de plus que leurs coll\u00e8gues employ\u00e9s dans des fonctions de s\u00e9curit\u00e9 plus larges. Il en ressort que ces comp\u00e9tences sont de plus en plus demand\u00e9es et valoris\u00e9es par le secteur.<\/p>\n Actions importantes pour favoriser la r\u00e9ussite du programme<\/em><\/strong><\/p>\n Nommer le risque humain :<\/em><\/strong> souvent, les dirigeants et les \u00e9quipes de s\u00e9curit\u00e9 ne voient pas la sensibilisation \u00e0 la s\u00e9curit\u00e9 comme une composante de la s\u00e9curit\u00e9, mais plut\u00f4t comme un effort de conformit\u00e9 sans v\u00e9ritable rapport avec la gestion du risque humain. Mieux vaut donc utiliser le terme de human risk management qui r\u00e9pond davantage aux priorit\u00e9s de s\u00e9curit\u00e9 strat\u00e9giques de l\u2019entreprise et rencontrera plus d\u2019\u00e9cho au sein de la direction et de l\u2019\u00e9quipe de s\u00e9curit\u00e9. Aidez cette derni\u00e8re \u00e0 comprendre la nature de l\u2019aide que vous lui apportez et collaborez avec ses membres pour identifier les principaux risques humains, ainsi que les comportements cl\u00e9s pour ma\u00eetriser ces risques. Montrez \u00e0 quel point une communication efficace, des formations et l\u2019implication de chacun peuvent modifier ce comportement et r\u00e9duire les risques. Collaborez avec le Security Operations Center et les \u00e9quipes Incident Response et Cyber Threat Intelligence, non seulement pour vous familiariser avec leur travail, mais aussi pour leur montrer que vous pouvez les aider \u00e0 relever leurs d\u00e9fis en mati\u00e8re de risques humains.<\/p>\n Soutien des dirigeants :<\/em> <\/strong>consacrez deux \u00e0 quatre heures par mois \u00e0 la collecte de donn\u00e9es sur l\u2019impact et la valeur de votre programme de sensibilisation \u00e0 la s\u00e9curit\u00e9, et communiquez-les \u00e0 la direction. Il peut s\u2019agir d\u2019indicateurs informels, de KPI ordinaires et m\u00eame de success stories. Gr\u00e2ce \u00e0 ces \u00e9l\u00e9ments, la direction comprendra mieux et constatera r\u00e9guli\u00e8rement la valeur de votre programme.<\/p>\n Taille de l\u2019\u00e9quipe :<\/em> <\/strong>si la s\u00e9curit\u00e9 technique a toujours \u00e9t\u00e9 une pr\u00e9occupation majeure des organisations, le c\u00f4t\u00e9 humain de la s\u00e9curit\u00e9 a souvent \u00e9t\u00e9 n\u00e9glig\u00e9. Ce d\u00e9s\u00e9quilibre fait du personnel une cible de choix des cyberattaques. Il n\u2019est pas rare de voir une \u00e9quipe de s\u00e9curit\u00e9 de 50 membres, dont 49 se consacrent \u00e0 la technologie et seulement un aux risques humains. Ce sous-investissement contribue \u00e0 la prolif\u00e9ration des cyberrisques humains. Pour combler cet \u00e9cart, nous recommandons de commencer par un rapport de 10:1 entre experts en s\u00e9curit\u00e9 technique et experts en s\u00e9curit\u00e9 humaine.<\/p>\n \u00ab\u00a0Dans le contexte actuel des cybermenaces, le mod\u00e8le traditionnel des formations annuelles ciblant la conformit\u00e9 ne tient plus. C\u2019est pourquoi notre rapport regorge de conseils pratiques, imm\u00e9diatement applicables\u00a0\u00bb<\/em>, poursuit Lance Spitzner. \u00ab\u00a0De la gestion des principaux risques humains, comme le phishing par e-mail, au d\u00e9fi classique consistant \u00e0 lib\u00e9rer les ressources et le budget n\u00e9cessaires, notre objectif est double : doter les entreprises des outils n\u00e9cessaires pour am\u00e9liorer leurs strat\u00e9gies de gestion du risque humain et les aider \u00e0 investir de mani\u00e8re proactive dans du personnel, des ressources et des outils, qui leur permettront de s\u2019attaquer de mani\u00e8re approfondie \u00e0 la dimension humaine des cybermenaces.\u00a0\u00bb<\/em><\/p>\n","protected":false},"excerpt":{"rendered":" Avec l\u2019aide de l\u2019IA, les attaques de phishing, vishing et smishing augmentent en fr\u00e9quence et en sophistication. Dans ce contexte, il n\u2019a jamais \u00e9t\u00e9 aussi important de comprendre et de g\u00e9rer les cyber-risques humains. C\u2019est ce que conclut le SANS […]<\/p>\n","protected":false},"author":2,"featured_media":14818,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[65,10],"tags":[1072,3859],"yoast_head":"\n