FRCYBER


Période de PIC


  • Les entreprises ont connu un virage numérique majeur. Pratiquement toutes les fonctions sont affectées.
  • Cette numérisation s'accompagne d'une exposition accrue aux cyberattaques et de possibilités de gains de plus en plus importantes pour les hackers qui deviennent de plus en plus professionnels…
  • Les cyberattaques rendues possibles par une action du collaborateur coûte en moyenne plus d’un million d’euros aux entreprises (1,42 M€ pour les attaques type phishing*).
  • Pour répondre à ces enjeux, nous constatons une augmentation du nombre de solutions innovantes de cybersécurité qui ont été développées et financées avec succès ces dernières années.

*https://www.digitalinformationworld.com/2019/03/phishing-attacks-by-numbers.html


… et pourtant, le facteur de risque le plus évident est plutôt négligé

  • Les hackers ciblent les collaborateurs pour attaquer les entreprises et malgré cela, même les outils récents sur le marché continuent, pour la plupart, de négliger cette réalité de la nécessité d'une contribution humaine dans la mise en œuvre opérationnelle de la cybersécurité.
  • Les cyberattaques ciblant les collaborateurs type phishing, spear phishing, arnaque au président et hoaxes sont très peu détectés par les antivirus et les antimalwares.
  • Les collaborateurs ne sont pas attentifs aux risques liés à leurs comportements (ouvrir une pièce jointe dans un e-mail sans consulter le contenu / la source, etc.). 
  • En outre, les politiques en matière de cybersécurité sont perçues comme des contraintes qui bousculent les pratiques quotidiennes des collaborateurs, les obligeant à être plus rigoureux et à agir de manière consciente.

  La bonne approche en matière de cybersécurité consiste à relever les enjeux à la fois techniques et humains. L'entreprise doit alors se protéger contre les attaques purement techniques mais aussi réduire au minimum le mauvais comportement en matière de cybersécurité de ses collaborateurs.


Les options sont limitées à la formation et aux campagnes de sensibilisation et de tests, ce qui n’est pas suffisant...


Pour limiter les risques d'inconduite de la part des collaborateurs, certaines entreprises s'appuient sur une session de formation en cybersécurité (e-learning généralement) prodiguée généralement lors de la phase d’intégration à l’entreprise. En outre, certaines entreprises s'appuient sur des campagnes de sensibilisation et des tests (de type phishing) censés mener à l'intégration des processus dans la routine des collaborateurs.

  • Premier point d’attention : la fréquence de cette session de formation et ces campagnes de sensibilisation/tests (si existantes) rend leur efficacité limitée. La culture de la cybersécurité est encore récente. Très souvent, ces actions sporadiques ne suffisent pas à permettre aux collaborateurs de développer leurs capacités de réagir dans différentes situations, de maîtriser et d’intégrer les processus de cybersécurité.
  • Deuxième point d’attention : le facteur humain ne repose pas toujours sur un manque de connaissance des règles, mais sur l'absence de culture de la cybersécurité. Il est donc essentiel de continuer à pratiquer la cybersécurité dans un contexte autre que celui de la formation et des campagnes sporadiques de sensibilisation/tests. Le processus d'apprentissage doit s’intégrer dans le monde réel afin d'établir un lien clair entre l'action du collaborateur et chaque risque identifié au cours de son travail.


Notre solution SENSEI

L'agent Sensei accompagne de manière opérationnelle les collaborateurs (chaque mois, chaque semaine ou chaque jour selon les besoins du RSSI) et de façon proactive, lors de moments nécessitant une vigilance en termes de cybersécurité (liste non exhaustive) :


  • Utilisation de fichiers : Création / Modification / Partage / Suppression d'un fichier
  • Utilisation du courrier électronique : envoi / réception d'un courrier électronique et ouverture des pièces jointes
  • Utilisation de périphériques amovibles : utilisation de clés USB
  • Utilisation du PC professionnel à des fins personnelles : comprend le stockage de données personnelles, l'utilisation de réseaux sociaux et le téléchargement de logiciels ne nécessitant pas de droits d'administrateur.
  • Utilisation d'Internet : Consultation de sites Internet tolérés mais susceptibles de compromettre la cybersécurité de l'entreprise (avec gestion des listes associées)
  • Mises à jour : gestion des mises à jour
  • Utilisation des réseaux : Connexion à des réseaux filaires / WIFI

Nous amenons les collaborateurs à avoir le bon comportement pour éviter les "risques" suivants (non exhaustif) :

Phishing, spear-phishing, arnaque au président

Fuite de données


Application non rigoureuse des patchs/mises à jour

Mots de passe non solides

Sur-exposition sur les réseaux sociaux


Shadow IT

CONTACT

Pour plus d'informations