La sensibilisation à la sécurité est l'effort continu visant à garantir que chaque personne dans une organisation comprend les menaces qui la concernent, connaît ses responsabilités et prend des décisions avisées dans son travail quotidien. Elle couvre des sujets tels que la reconnaissance des messages suspects, la manipulation appropriée des données et le signalement rapide des préoccupations. La sensibilisation s'attaque au facteur humain, impliqué dans une large part des incidents de sécurité.
Dans le cadre de la gouvernance opérationnelle, les programmes de sensibilisation font vivre le programme au quotidien en maintenant la sécurité présente dans les comportements habituels du personnel. Les politiques et les contrôles fixent les attentes, et la sensibilisation est le moyen par lequel ces attentes atteignent les personnes et deviennent des habitudes. Elle complète les contrôles techniques plutôt qu'elle ne les remplace.
La sensibilisation est importante car des personnes informées constituent une solide ligne de défense. Les collaborateurs capables de repérer une demande douteuse ou qui savent comment signaler un problème réduisent la probabilité et l'impact des incidents, alors qu'une culture faible peut saper même des contrôles bien conçus.
Un programme mature est continu plutôt qu'un simple événement annuel. Il recourt à des canaux variés, adapte ses messages à différents publics et renforce les comportements clés dans la durée. La mesure fait passer la sensibilisation de l'activité au résultat : les taux de signalement, la participation et les résultats des exercices simulés aident à montrer si le comportement change réellement et sur quoi concentrer les efforts ensuite.
Références#
- NIST SP 800-50, Building an Information Technology Security Awareness and Training Program.
- ISO/IEC 27002, qui traite de la sensibilisation, de l'éducation et de la formation à la sécurité de l'information.