Sensibilisation, Formation et Éthique en Cybersécurité

1. Sensibilisation, Formation et Éducation : trois niveaux distincts

Il est crucial de comprendre la différence entre ces trois concepts, car ils correspondent à des niveaux croissants de profondeur, d’objectifs et d’impact :

2. Méthodes et techniques de présentation

La sécurité couvre de nombreux aspects d’une organisation, et il peut être difficile de communiquer la bonne information aux bonnes personnes. En utilisant un processus formalisé de sensibilisation, on s’assure que les exigences de sécurité sont présentées de manière adéquate à chaque groupe. Les niveaux supérieurs de formation sont plus généraux et traitent de concepts larges ; à mesure que la formation descend vers des tâches spécifiques, elle devient plus situationnelle.

Trois audiences, trois approches

Un programme de sensibilisation à la sécurité est typiquement conçu pour au moins trois types d’audiences : direction, personnel administratif et employés techniques. Chaque type de formation doit être adapté à son public pour que chaque groupe comprenne ses responsabilités, obligations et attentes.

Direction générale

• Actifs de l’entreprise et gains/pertes financières • Impact sur les cours boursiers • Menaces possibles et conséquences • Pourquoi la sécurité doit être intégrée comme tout processus métier

⚠ Pas de détails techniques : « leurs yeux se vitreraient dès qu’on parlerait de protocoles et pare-feux »

Doivent MENER le reste de l’entreprise

Management + Personnel

• Politiques, procédures, standards et guidelines • Rôle critique de leur soutien par département • Conséquences de la non-conformité • Exemples concrets de comportements attendus, recommandés et interdits • Comment les utilisateurs alertes sont des capteurs d’alerte précoce

Volume le plus important de l’organisation

Département technique

• Présentation alignée aux tâches quotidiennes • Formation approfondie sur les configurations techniques • Gestion des incidents • Reconnaissance des différents types de compromissions

Formation la plus technique et pratique

L’ingénierie sociale et le phishing

Peut-être aucun autre sujet n’est plus important — ou n’illustre mieux la nécessité — de communiquer les enjeux de sécurité différemment à chaque audience. L’ingénierie sociale (social engineering) est la manipulation délibérée d’une personne ou d’un groupe pour les amener à faire quelque chose qu’ils ne feraient pas autrement — et qu’ils ne devraient pas faire. Dans un contexte de sécurité, cela signifie typiquement inciter un membre de l’organisation à violer une politique de sécurité ou à aider un attaquant à compromettre un système.

La forme la plus courante d’ingénierie sociale est le phishing (hameçonnage), qui utilise des e-mails frauduleux. Tous les employés doivent savoir qu’ils ne doivent pas cliquer sur des liens ou ouvrir des pièces jointes dans des e-mails s’ils ne reconnaissent pas l’expéditeur. Cependant, les cadres dirigeants, les managers et les utilisateurs finaux doivent se voir présenter le problème sous un angle différent, adapté à leurs responsabilités et à leur niveau de compréhension technique.

Formalisation et documentation

Quelle que soit la manière dont la formation est présentée, il est recommandé de faire signer à chaque employé un document attestant qu’il a entendu et compris tous les sujets de sécurité abordés et qu’il comprend les conséquences de la non-conformité. Cela :

• Renforce l’importance des politiques auprès de l’employé
• Fournit une preuve si l’employé prétend qu’on ne lui a jamais communiqué les règles

La sensibilisation à la sécurité doit intervenir dès le processus de recrutement et au moins annuellement par la suite. La participation doit être intégrée aux rapports d’évaluation de performance.

Méthodes complémentaires de renforcement

Différentes méthodes doivent être employées pour renforcer les concepts de sécurité au quotidien :

• Bannières d’écran (screen banners)
• Manuels de l’employé
• Affiches
• Newsletters internes

La gamification — l’application d’éléments de jeu à d’autres activités comme la sensibilisation à la sécurité — peut améliorer la rétention des compétences des employés de 40 % selon certaines estimations.

Security Champions

Une approche complémentaire consiste à identifier des employés qui ne font pas formellement partie du programme de sécurité mais qui possèdent les compétences et aptitudes pour devenir des ambassadeurs de la sécurité au sein de leurs propres unités. Ces individus peuvent être identifiés, délibérément encouragés et devenir des security champions — des membres de l’organisation qui, bien que leurs fiches de poste ne mentionnent pas la sécurité, informent et encouragent l’adoption des bonnes pratiques de sécurité au sein de leurs propres équipes.

3. Revue périodique du contenu

Puisque le seul constant dans la vie est le changement, il faut maintenir à jour les programmes et supports de formation. La revue du contenu doit être un processus délibéré, pas ad hoc :

• Planifier des rafraîchissements à intervalles réguliers (semestriel ou annuel)
• Assigner la responsabilité de la mise à jour à un propriétaire individuel
• Travailler avec une équipe pour réviser et actualiser le plan et les supports

La revue peut aussi être déclenchée par des événements :

• Une politique de sécurité est ajoutée, modifiée ou supprimée
• Un incident majeur (ou un schéma d’incidents mineurs) se produit qui aurait pu être évité ou atténué par une meilleure sensibilisation
• Une nouvelle menace majeure est découverte
• Un changement majeur est apporté aux systèmes d’information ou à l’architecture de sécurité
• Une évaluation du programme de formation révèle des lacunes

4. Évaluation de l’efficacité du programme

Beaucoup d’organisations traitent la sensibilisation à la sécurité comme un exercice de « case cochée » (check in the box), fait simplement pour satisfaire une exigence réglementaire. La réalité est qu’une formation efficace a à la fois :

• Des objectifs (objectives) — pourquoi nous le faisons
• Des résultats attendus (outcomes) — ce que les personnes peuvent faire après

Les objectifs sont généralement dérivés des politiques ou directives de haut niveau et orientent le développement des résultats attendus, qui à leur tour guident le contenu et les méthodes de livraison.

Exemple concret : Si l’objectif est de réduire le nombre d’attaques de phishing réussies, alors le résultat attendu serait que les utilisateurs soient capables de détecter un e-mail de phishing. L’objectif et le résultat sont tous deux mesurables, ce qui permet de répondre à la question : « est-ce que cela fonctionne ? »

Mesurer avant et après

On peut évaluer si le programme est efficace en mesurant simplement les choses avant la formation et après. Par exemple :

• Compter le nombre d’attaques de phishing réussies avant et après la formation
• Tester la capacité d’utilisateurs formés et non formés à détecter des e-mails de phishing

5. Éthique professionnelle

La sensibilisation et la formation reposent sur la notion qu’il existe de bonnes et de mauvaises façons d’agir. C’est le cœur de l’éthique, qui peut être fondée sur de nombreux principes différents et interprétée différemment selon les individus et les situations. Certains types d’éthique sont moins controversés que d’autres et plus faciles à attendre de tous.

Relation entre loi et éthique

Il existe une relation intéressante entre la loi et l’éthique. Le plus souvent, les lois sont fondées sur l’éthique et visent à garantir un comportement éthique. Cependant, les lois ne couvrent pas tout — c’est là que l’éthique doit prendre le relais. Certaines choses peuvent ne pas être illégales, mais cela ne signifie pas qu’elles sont éthiques.

Sophismes éthiques courants en informatique

Certains sophismes (ethical fallacies) sont utilisés par de nombreuses personnes dans le monde informatique pour justifier des actes non éthiques. Ils existent parce que les gens voient les problèmes différemment et interprètent (ou détournent) les règles et lois en place :

1. « Les hackers ne veulent qu’apprendre et améliorer leurs compétences. Beaucoup d’entre eux ne font pas de profit de leurs actes ; par conséquent, leurs activités ne devraient pas être considérées comme illégales ou non éthiques. »
2. « Le Premier Amendement protège le droit des citoyens américains à écrire des virus. »
3. « L’information devrait être partagée librement et ouvertement ; par conséquent, partager des informations confidentielles et des secrets industriels devrait être légal et éthique. »
4. « Le piratage ne fait de mal à personne en réalité. »

6. Code d’éthique professionnelle (ISC)²

(ISC)² exige de tous les professionnels de la sécurité certifiés qu’ils s’engagent à soutenir pleinement son Code d’éthique. Si un CISSP viole intentionnellement ou sciemment ce Code, il peut être soumis à un panel d’examen par les pairs qui décidera si la certification doit être révoquée.

Le préambule du code stipule : « La sécurité et le bien-être de la société et le bien commun, le devoir envers nos mandants, et les uns envers les autres, exigent que nous adhérions, et que nous soyons vus comme adhérant, aux plus hauts standards de comportement éthique. »

Les quatre canons du code (ISC)²

I Protéger la société, le bien commun, la confiance publique nécessaire et l’infrastructure

II Agir de manière honorable, honnête, juste, responsable et légale

III Fournir un service diligent et compétent aux mandants (principals)

IV Faire progresser et protéger la profession

7. Code d’éthique organisationnel

De plus en plus de réglementations exigent que les organisations aient une déclaration éthique et potentiellement un programme éthique en place. Le programme éthique a pour but de servir de « ton au sommet » (tone at the top) — les dirigeants doivent s’assurer non seulement que leurs employés agissent de manière éthique, mais aussi qu’eux-mêmes suivent leurs propres règles.

L’objectif principal est de s’assurer que la devise « réussir par tous les moyens nécessaires » n’est pas la culture — exprimée ou tacite — du milieu de travail.

Structures favorisant les comportements non éthiques

Certaines structures organisationnelles peuvent créer un terreau fertile pour les comportements non éthiques :

• Si la rémunération du PDG est indexée sur le cours de l’action, il pourrait être tenté de gonfler artificiellement les prix, nuisant directement aux investisseurs et actionnaires
• Si les managers ne peuvent être promus que sur la base du volume des ventes, les chiffres pourraient être manipulés et ne pas refléter la réalité
• Si un employé ne peut obtenir une prime que si un budget bas est maintenu, il pourrait prendre des raccourcis qui nuisent au service client ou au développement du produit

L’éthique doit être concrètement mise en œuvre à travers les processus métier et les styles de management — pas seulement proclamée comme un idéal.

8. Les dix commandements de l’éthique informatique

Le Computer Ethics Institute, une organisation à but non lucratif créée pour promouvoir l’utilisation éthique de la technologie, a développé ses dix commandements de l’éthique informatique :

1. Tu n’utiliseras pas un ordinateur pour nuire à autrui.
2. Tu n’interféreras pas avec le travail informatique d’autrui.
3. Tu ne fouilleras pas dans les fichiers informatiques d’autrui.
4. Tu n’utiliseras pas un ordinateur pour voler.
5. Tu n’utiliseras pas un ordinateur pour porter faux témoignage.
6. Tu ne copieras ni n’utiliseras un logiciel propriétaire pour lequel tu n’as pas payé.
7. Tu n’utiliseras pas les ressources informatiques d’autrui sans autorisation ni compensation appropriée.
8. Tu ne t’approprieras pas la production intellectuelle d’autrui.
9. Tu réfléchiras aux conséquences sociales du programme que tu écris ou du système que tu conçois.
10. Tu utiliseras toujours un ordinateur de manière à assurer considération et respect envers tes semblables.

9. Synthèse du chapitre 1

Ce chapitre a couvert certains des principes fondamentaux de la cybersécurité : la signification de la sécurité, la façon dont elle est gouvernée, et les moyens par lesquels elle est mise en œuvre en entreprise. Il s’est ensuite concentré sur l’aspect le plus important de la sécurité : les personnes. Elles sont l’actif le plus précieux d’une organisation et peuvent aussi bien être les plus grands champions que les plus grands détracteurs de la cybersécurité.

La différence réside dans les personnes que nous recrutons, les rôles que nous leur assignons, et la façon dont nous les formons. Placer les bonnes personnes aux bons postes et les former adéquatement, c’est la recette d’une posture de sécurité robuste.

L’objectif collectif en sécurité de l’information est d’assurer la disponibilité, l’intégrité et la confidentialité de l’information dans un environnement riche en facteurs d’influence : objectifs organisationnels, actifs, lois, réglementations, vie privée, menaces, et bien sûr les personnes. En tant que CISSP, nous devons être habiles à créer des liens entre la sécurité et chacun de ces facteurs.