Face aux cybermenaces, les employés de PME n’ont toujours pas les bons réflexes

Un clic peut suffire à faire vaciller une entreprise. Pourtant, plus d’un dirigeant de PME sur deux ignore encore l’ampleur du risque cyber, laissant la porte grande ouverte aux hackers selon Cybermalveillance.gouv.fr. « Comment voulez-vous mettre en place des outils pour se protéger des cyberattaques, si on pense être préservé ? », s’étonne Jérôme Notin, son directeur général, lors d’une table ronde organisée par le Cyber Show en début d’année pour sensibiliser les PME. Si le diagnostic fait l'unanimité, une question brûle les lèvres : comment inscrire la culture du cyber dans une entreprise ? Pour Marie-Noëlle Brisson, administratrice certifiée de l'IFA et co-fondatrice de Cyber Ready, ouvrir le dialogue constitue le premier pas, c’est-à-dire ne plus restreindre la cybersécurité à la filière RSSI et sensibiliser toutes les strates, du directeur général au stagiaire estival. Les collaborateurs doivent être des acteurs proactifs de la sécurité numérique et il en va de même pour les fournisseurs, quitte à externaliser une partie du budget cyber. « Ils appartiennent tous à la supply chain. Malheureusement, la chaîne est aussi forte que le maillon le plus faible », explique la membre de l’IFA.

18 % des salariés trompés par le phishing

D’autant plus que tous les membres de l’entreprise peuvent endosser la posture du maillon faible, devenir une porte d’entrée aux cyberattaques. De ce constat est né Riot, une plateforme d'évaluation et de gestion des risques de cybersécurité. La start-up française lance des campagnes de phishing pour évaluer la vulnérabilité des entreprises. Résultat. 18% des employés en moyenne tombent dans le piège. Mais pour Benjamin Netter, fondateur de Riot, restreindre la formation des agents aux bonnes pratiques numériques au travail, reviendrait à oublier leurs agissements quotidiens. « Les risques et les attaques sont plus rapides que la diffusion de la culture cyber. Ça ne sert à rien de comprendre ce qu’est un ransomware, il faut surtout changer de posture », déclare le jeune entrepreneur. Le décloisonnement de la vie personnelle et professionnelle - engendré par la période COVID - offre davantage de portes d’entrée aux hackers. Ces-derniers personnalisent donc leurs intrusions en fonction des faiblesses personnelles accumulées sur le long terme. Pour s’adapter à cette réalité, Albert, le chatbot de Riot, personnalise la formation des salariés en fonction de leur score Karma – niveau de posture individuelle. « L’authentification forte ne doit pas concerner que les outils professionnels. En revanche, forcer les employés à changer de mot de passe tous les 90 jours, c’est une fausse bonne idée », souligne Benjamin Netter. Cette pratique crée en effet une opportunité d’e-mails frauduleux et convaincants, informant de l’expiration du mot de passe. Le tout reste de déculpabiliser les collaborateurs pour permettre la correction des erreurs.