Gérer les menaces internes au sein de l’organisation

Comment les accès autorisés peuvent créer une exposition cachée, et comment les équipes de sécurité, IT et opérationnelles peuvent réduire les risques internes

Ce qu’il faut retenir

• Les menaces internes ne sont pas forcément malveillantes. La négligence, les erreurs involontaires et les comptes compromis représentent une part importante des incidents dus à des membres de l’organisation.
• Le risque augmente à certains moments clés du cycle de vie. L’intégration des nouveaux employés, les changements de poste, les délais serrés et les départs sont systématiquement associés à un risque interne plus élevé.
• La résilience est plus importante que la confiance. Une gestion efficace des risques internes repose sur le principe du moindre privilège, la surveillance des comportements suspects et la conception de contrôles de sécurité adaptés aux workflows réels.

Les menaces internes figurent parmi les risques les plus sous-estimés et les plus inattendus auxquels les entreprises sont confrontées. Les incidents dus à une personne qui dispose d’un accès autorisé sont presque toujours plus difficiles à détecter et à suivre que ceux provoqués pas des individus qui parviennent à contourner des défenses défaillantes. Des études montrent que les incidents internes coûtent aux organisations en moyenne 17,4 millions de dollars par an, les identifiants compromis et les actions négligentes des utilisateurs étant à l’origine des dommages financiers les plus conséquents et des délais de détection les plus longs. L’identification, l’atténuation et l’investigation de ces incidents prennent souvent des mois. Le rapport Verizon Data Breach Investigations 2025 (DBIR) révèle également que les personnes internes sont impliquées dans la majorité des violations, que ce soit par erreur ou par malveillance. Les menaces internes représentent un risque réel pour les entreprises de toutes tailles et de tous secteurs.

Les menaces internes ne se limitent pas aux employés malveillants. Tout utilisateur peut involontairement faire courir un risque à l’entreprise. Si vous envisagez de mettre en place une gestion des risques internes, tenez compte de cette définition proposée par les experts de l’université Carnegie Mellon :

Menace interne : risque qu’une personne ayant ou ayant eu un accès autorisé aux ressources critiques d’une organisation utilise cet accès, intentionnellement ou non, pour nuire à l’organisation. ~Daniel L. Costa, CERT Insider Threat Center, Software Engineering Institute (SEI)

Cette définition est suffisamment large pour inclure tous les types de risque liés à une menace interne. Cela vous aidera à intégrer les risques internes dans votre stratégie de sécurité.    

Principaux types de menaces internes

Employés malveillants causant des dommages intentionnels

Comme leur nom l’indique, ce sont ceux qui veulent voler les secrets de l’entreprise, détruire les actifs numériques, divulguer des données sensibles ou nuire à l’entreprise d’une autre manière.

Plusieurs motifs peuvent expliquer ces actes destructeurs. Des employés mécontents peuvent vouloir sanctionner l’entreprise ou un collègue. Des opportunistes peuvent accepter d’être rémunérés par des acteurs malveillants pour leur fournir un accès ou par des concurrents pour leur fournir des informations. Ce risque augmentant considérablement lors des départs, les entreprises doivent mettre en place une procédure de départ rigoureuse.

Employés négligents qui créent involontairement des risques

Les personnes qui disposent d’un accès autorisé ne veulent pas toujours suivre les règles. Elles n’ont peut-être pas l’intention de nuire à qui que ce soit, mais elles réutilisent des mots de passe, cliquent sur des spams par curiosité, ignorent les étiquettes de sensibilité et contournent les contrôles de sécurité parce que c’est plus facile ou plus rapide que de suivre le protocole.

La plupart du temps, ces personnes pensent résoudre un problème. Elles ont besoin d’une solution rapide et s’envoient donc des fichiers par e-mail pour pouvoir travailler en dehors des heures de bureau, ou partagent leurs identifiants parce que plusieurs personnes ont besoin d’accéder à une ressource réservée à un seul utilisateur. Il est possible de limiter ces problèmes en examinant comment les processus de sécurité s’intègrent aux workflows. Si un utilisateur « cherche simplement à faire son travail », il existe peut-être un meilleur moyen de sécuriser les systèmes concernés. Une formation pourrait aider ces utilisateurs à comprendre le « pourquoi » des contrôles. Recueillir leurs commentaires peut faciliter leur adhésion lors des mises à jour des politiques de sécurité.

Membres de l’organisation qui commettent des erreurs honnêtes

Souvent qualifiés d’« initiés accidentels », ces utilisateurs peuvent envoyer des e-mails aux mauvais destinataires, mal configurer les politiques de sécurité ou stocker des données sensibles dans un espace non protégé. Ces utilisateurs ne sont ni malveillants ni négligents, mais ils commettent des erreurs qui entraînent un risque d’exposition.  

L’erreur est humaine, surtout en cas de stress ou de fatigue, mais certains facteurs environnementaux peuvent contribuer à réduire ce risque. Des audits de sécurité réguliers et des analyses automatisées permettent d’identifier les failles et vulnérabilités de sécurité susceptibles d’échapper aux équipes informatiques. Des règles claires concernant la sensibilité des données et un chiffrement automatisé simplifient la sécurité pour les utilisateurs.

Acteurs internes compromis qui fournissent involontairement un accès aux pirates

Il s’agit d’utilisateurs internes dont l’accès a été « détourné » par un acteur malveillant externe. Celui-ci prend le contrôle d’un compte légitime et agit en tant qu’utilisateur, se fondant dans le trafic normal et progressant lentement pour obtenir davantage d’accès sans déclencher d’alerte. Cela commence souvent par une tentative d’hameçonnage ou l’installation accidentelle d’un malware. L’attaque d’août 2025 contre l’État du Nevada en est un exemple classique.

Tiers autorisés

Les fournisseurs, sous-traitants et autres partenaires tiers disposent souvent d’un accès légitime à un domaine, mais sont soumis à des contrôles et à une supervision différents. Cela élargit votre surface d’attaque et peut créer des angles morts dans votre posture de sécurité. Même si vous faites confiance à vos partenaires tiers, n’oubliez pas qu’ils sont également exposés à des risques internes et à d’autres menaces.

Vous pouvez atténuer ce risque en appliquant la segmentation, des contrôles d’identité stricts, le principe du moindre privilège et l’accès juste-à-temps, ainsi que d’autres bonnes pratiques.

Prévoir le risque interne

Le risque interne n’est pas réparti de manière égale au sein d’une entreprise ou d’un partenariat. Son niveau augmentera en fonction des événements et autres facteurs de stress.

Bonnes pratiques pour atténuer les menaces internes

• Élaborez un programme de gestion des risques internes (IRM) : mettez en place un programme formel qui traite le risque interne comme un risque métier transversal, et non comme un simple problème de sécurité. Impliquez les équipes chargées de la sécurité, de l’informatique, des RH, des affaires juridiques et de la conformité.
• Appliquez le principe du moindre privilège avec un accès juste-à-temps (JIT) : n’accordez des privilèges élevés qu’en cas de besoin et révoquez-les une fois l’utilisation terminée. Cette approche peut engendrer davantage de tâches administratives qu’un accès permanent, mais elle réduit l’impact des actions malveillantes internes, des comptes compromis et des utilisations abusives par des tiers.
• Concevez des contrôles de sécurité adaptés aux workflows : les utilisateurs apprécient la simplicité, notamment en matière de sécurité. Analysez les méthodes de travail de vos employés et repensez les processus afin que le chemin sécurisé soit le plus simple possible.
• Automatisez la protection autant que possible : le chiffrement automatique et les paramètres de partage sécurisés par défaut contribueront à éliminer les erreurs humaines.
• Renforcez l’identité et l’authentification : imposez des identités uniques et l’authentification multifacteur (MFA) à tous les utilisateurs. Adoptez et appliquez les principes zero trust, tels que l’authentification continue et la surveillance des sessions.
• Surveillez les schémas de risque : concentrez la détection sur les combinaisons d’actions inhabituelles, comme l’accès aux données suivi d’un téléchargement local et d’un transfert externe.
• Ajustez les contrôles selon les besoins : les périodes à haut risque comme l’intégration, les transitions de fournisseurs, les changements de poste et les départs d’employés peuvent nécessiter un accès restreint et une surveillance accrue.
• Automatisez autant que possible la configuration du cloud, des applications et des appareils : l’automatisation réduit les taux d’erreurs et limite les dommages en cas d’erreur. L’analyse automatisée des vulnérabilités peut aider à hiérarchiser les mesures de correction.
• Considérez l’accès des tiers comme un domaine de risque distinct : segmentez l’accès des tiers et appliquez des identités individuelles et d’autres contrôles techniques.

La gestion des risques internes n’est pas seulement une question de confiance à l’égard des employés ou des partenaires, mais surtout de résilience. Les organisations doivent concevoir des systèmes capables de résister aux erreurs, aux abus ou aux compromissions internes, non pas si, mais quand ils se produisent.

Plus d’informations sur les menaces internes :

• Menaces internes et rotation du personnel : ce que vous devez savoir | Blog de Barracuda Networks
• Les menaces internes s’accentuent en période de crise économique | Barracuda Networks Blog
• Comprendre et combattre les menaces internes | Barracuda Networks Blog