Une stratégie de sécurité « à long terme » implique de renforcer les bonnes pratiques et la formation du personnel.

La cybersécurité n'est pas une destination ; il s'agit d'une quête perpétuelle. L'importance de cet aphorisme a récemment été portée à l'attention des entreprises du secteur dans de nouvelles directives du National Cyber Security Centre (NCSC) du Royaume-Uni. L'agence de sécurité s'inquiète du fait qu'une période prolongée de cybermenaces élevées liée à la guerre en Europe de l'Est puisse avoir des effets négatifs sur les systèmes, les processus et les équipes de sécurité.

Son document offre de nombreux conseils aux leaders de la sécurité informatique, et ce, quelle que soit la taille de l'entreprise. Mais surtout, il souligne aussi bien l’importance des bonnes pratiques en matière de contrôles de sécurité et de processus de cyberhygiène, que la nécessité de s’occuper plus attentivement de l’aspect humain de la cybersécurité. Avec une approche globale à l'entreprise fondée sur une formation efficace à la sensibilisation des utilisateurs, les entreprises peuvent non seulement soutenir leurs équipes de sécurité, mais aussi construire une formidable première ligne de défense contre les menaces.

Effets pernicieux

Au cinquième mois du conflit en Ukraine, le NCSC a toutes les raisons de s'inquiéter. Une période prolongée de tensions accrues pourrait avoir de lourdes répercussions sur le personnel et exiger un recalibrage des décisions relatives aux risques prises il y a quelques mois, lorsque nous pensions que la guerre ne durerait que quelques semaines. L'agence établit une différence entre deux phases distinctes de tensions géopolitiques :

• Une phase aiguë, durant laquelle les entreprises doivent renforcer leurs défenses et corriger les vulnérabilités


• Une phase prolongée, durant laquelle cette situation renforcée doit être maintenue pour gérer le risque résiduel

Ci-après, certaines des bonnes pratiques classiques recommandées par le NCSC pour mettre en place des défenses à la hauteur :

• Gestion et correction des vulnérabilités


• Contrôles d'accès améliorés


• Antimalware à jour et firewalls correctement configurés


• Journaux et surveillance


• Backups réguliers


• Outillage et planification des réponses aux incidents


• Analyses des vulnérabilités


• Outils anti-phishing


• Examens de l'accès des tiers

Prendre soin de vos employés

Toutefois, outre les bonnes pratiques, le NCSC est particulièrement préoccupé par les méfaits d'une phase de tension prolongée sur le bien-être du personnel de sécurité. Une augmentation de la charge de travail et de la pression au fil du temps peut entraîner une baisse de la productivité, des comportements dangereux et un risque accru d'erreur humaine. Tout cela est particulièrement vrai compte tenu des sévères pénuries de compétences dans le secteur, qui ont engendré un déficit de plus de 2,7 millions de travailleurs dans le monde, dont 402 000 en Amérique du Nord et 199 000 en Europe.

Le NCSC recommande plusieurs étapes pour y remédier, notamment :

• Donner à davantage de personnel de sécurité les moyens de prendre des décisions afin d’améliorer la flexibilité et de permettre aux leaders de se concentrer sur les priorités à moyen terme


• Répartir les charges de travail plus uniformément parmi un plus grand nombre de personnes afin de réduire le risque d’épuisement professionnel et de permettre aux employés moins expérimentés de bénéficier d’opportunités de perfectionnement


• Offrir au personnel la possibilité de se ressourcer par le biais de pauses plus fréquentes et de s'éloigner du bureau, ainsi que de travailler sur des tâches moins urgentes


• Se préoccuper les uns des autres en restant à l'affût de signes de détresse de la part de collègues et en s'assurant qu'ils disposent toujours des ressources appropriées

Une approche globale à l'entreprise

Toutefois, le conseil le plus important est sans doute le dernier : impliquer l'ensemble de la main-d'œuvre pour renforcer les défenses de l'entreprise. Cette approche de la « sécurité dès la conception », basée sur les bonnes pratiques, exige que les entreprises développent une culture d'entreprise où chaque membre du personnel comprend l'importance de la cybersécurité pour la mission de l'entreprise et ce qu'il peut faire personnellement pour réduire les risques.

La première étape dans cette démarche est sans aucun doute une amélioration de la formation à la sensibilisation des utilisateurs. Les entreprises peuvent trouver une vaste gamme d’outils sur le marché pour les aider dans cette tâche. Les meilleurs leur permettront d’exécuter des exercices de simulation d'hameçonnage et de piratage des comptes de messagerie professionnels qui imitent les campagnes de menaces réelles, de collecter et d’analyser des données sur les performances de chaque membre du personnel, puis d’adapter le programme à l’avenir. La meilleure chance d’obtenir un véritable changement de comportement est d’organiser régulièrement de petits cours, d'une durée de 10 à 15 minutes. Il va sans dire que le PDG comme le personnel à temps partiel et les fournisseurs se doivent de participer.

À l'heure où le lieu de travail hybride devient une réalité et que de plus en plus de personnes télétravaillent régulièrement, une telle formation n'a jamais été aussi importante, notamment en raison du nombre croissant d'employés affirmant qu'ils se sentent plus distraits lorsqu'ils ne travaillent pas au bureau.

Le NCSC souhaite ajouter un autre point important : les entreprises doivent également mettre en place les processus de communication interne adaptés afin de réunir toutes les personnes impliquées dans la mission de sécurité.

La nouvelle normalité

À bien des égards, ce conflit et la période prolongée de cybermenaces accrues qu'il représente sont la nouvelle réalité de la cybersécurité des années 2020. Parallèlement à l’annonce du NCSC, les leaders du MI5 et du FBI ont donné une conférence de presse conjointe sans précédent pour mettre en garde contre la menace « massive » chinoise à l'encontre des entreprises, universités et des systèmes politiques occidentaux. Cette menace est sans fin.

La compréhension des phases aiguës et prolongées de ce qui pourrait être une augmentation et une baisse cycliques des tensions sera une discipline de plus en plus importante pour les responsables de la cybersécurité en entreprise. Plus tôt vous planifiez, mieux c'est !

Combattez les menaces qui pèsent sur la sécurité grâce à une formation de sensibilisation à la sécurité.