La couche 8 comme élément clé de la sécurité informatique – Tec-Bite IT-Security

À propos de cette offre

De nombreux risques peuvent être contrés grâce à des technologies de sécurité multicouches. Le grand risque résiduel est souvent perçu par les responsables de la sécurité comme étant l'utilisateur. Un dernier maillon résistant à l'apprentissage dans cette chaîne fragile ? C’est ainsi que nous pouvons transformer l'utilisateur en notre partenaire dans le crime ou plutôt en partenaire contre le crime. Tout commence par la configuration de base – qui est en fait le "Luser" ? Luser, DAU, problème de couche 8, EIFOK – la liste des appellations "amusantes" pour les utilisateurs est longue. Souvent, deux camps se forment : les départements IT ou de sécurité IT contre les utilisateurs. Il manque une compréhension fondamentale commune et le respect envers la tâche de l'autre. L'utilisateur veut faire son travail, aussi vite et simplement que possible – il ne s'intéresse généralement ni à l'informatique ni à la sécurité informatique. Il la considère plutôt comme un mal nécessaire. Et c’est souvent la même chose de l’autre côté : les départements IT veulent imposer leurs directives, mais ne s'intéressent souvent pas vraiment aux processus de l'utilisateur. Une situation de départ très mauvaise pour atteindre notre objectif commun : faire notre travail sans devenir victime d'une cyberattaque. Dans ce scénario, les deux parties sont perdantes, car des luttes inutiles sont menées, de l'énergie est gaspillée et l'objectif final n'est souvent pas atteint. Coopération plutôt que confrontation Nous devons ouvrir les yeux sur la réalité : on ne peut pas forcer l'utilisateur à comprendre la sécurité. Si les directives sont trop longues et compliquées, il ne les lira pas. Si la formation de sensibilisation est trop ennuyeuse, il n'écoutera pas. Et si les processus sont trop compliqués, il trouvera un moyen de les contourner. La contrainte ne fonctionne donc pas pour atteindre notre objectif. Sans parler du fait que nous ne sommes pas en Corée du Nord. Alors pourquoi ne pas faire de l'utilisateur un partenaire de coopération ? Au lieu de dicter de haut en bas – de l'expert au "DAU" – nous pouvons travailler ensemble vers un objectif – en tant que partenaires à égalité. Et en tant que département de sécurité, nous pouvons vraiment utiliser toute l'aide possible. Car peu importe à quel point l'intelligence artificielle de nos technologies de sécurité est intelligente, elle n'est pas toujours plus intelligente qu'un cerveau humain. Les attaques ciblées sont particulièrement difficiles à contrer. Mais avec tous les utilisateurs dans l'entreprise, nous disposons de nombreux cerveaux humains que nous pouvons utiliser à bon escient. Nous devons simplement activer ces cerveaux pour nous. Jeu multijoueur – pour gagner, il faut se comprendre Henry Ford l'a compris très tôt : « Le secret du succès est de comprendre le point de vue de l'autre ». Nous voulons donc embarquer les utilisateurs de manière proactive. Nous voulons qu'ils comprennent notre point de vue et qu'ils aident activement à respecter les directives de sécurité. Un élément important est la justification des mesures. Il est plus facile pour les gens d'accepter quelque chose s'ils en connaissent la raison. Peu importe que la raison ne change rien au fait lui-même, elle est centrale pour l'acceptation. Par exemple, les CFF indiquent depuis quelques années, si possible, la raison d'un retard de train. Bien que cela n'ait aucune influence sur le retard, les pendulaires semblent mieux le supporter lorsqu'ils connaissent le contexte. Nous devrions aussi utiliser ce savoir à propos des utilisateurs. Nous ne devrions pas seulement expliquer ce qu'ils doivent faire, mais aussi pourquoi ils doivent le faire. Et idéalement aussi ce qui se passe s'ils ne le font pas. Il faut absolument illustrer cela avec des exemples compréhensibles (!). Je souligne ici "compréhensible" – cela signifie que cela doit être clair pour l'utilisateur de A à Z – la signification de chaque mot utilisé doit être claire pour lui. Cela peut sembler trivial, mais ce n'est pas si simple, car beaucoup de mots font partie du quotidien des spécialistes de la sécurité, mais les utilisateurs ne savent souvent pas en détail ce qu'ils signifient. Par exemple, phishing, code malveillant, patching, proxy, ce qu'est un pare-feu et comment fonctionne le cloud. Nous devons être conscients que l'utilisateur vient généralement d'un domaine complètement différent et n'est que rarement en contact avec ces termes. Il sait peut-être que le phishing a quelque chose à voir avec les e-mails, mais il ne comprend souvent pas comment cela fonctionne réellement. Si nous voulons que l'utilisateur comprenne nos explications, nous devons utiliser des mots dont il connaît précisément la signification. Il vaut donc mieux mentionner moins de détails techniques et privilégier des explications simplifiées que tout le monde peut suivre. Que s'est-il passé dans d'autres entreprises ? Comment les attaquants procèdent-ils ? Qui sont-ils et que veulent-ils ? Comment les employés ont-ils été piégés ? Quels dégâts cela a-t-il causé ? Il est utile de montrer que le département de sécurité n'est pas complètement paranoïaque, mais s'appuie sur des scénarios réels. Ces dangers réels, communiqués dans un langage compréhensible, convaincront l'utilisateur, car personne ne veut être à l'origine d'une épidémie de virus. Le storytelling à son meilleur Nous savons donc déjà que nous voulons avoir l'utilisateur de notre côté et que nous devons communiquer de manière compréhensible. Maintenant, nous voulons simplement transmettre cela de la meilleure façon possible. Ce qui est génial avec la sécurité informatique, c'est qu'il est si facile de construire une bonne histoire. Comparé à d'autres départements qui veulent aussi faire valoir leurs intérêts, nous avons un avantage évident. Quand le service comptabilité nous explique pourquoi nous devons utiliser tel ou tel centre de coûts et pourquoi le type de coût doit toujours être indiqué de la même manière (même si c'est faux), on s'endort à juste titre. Et ma sympathie va aux pauvres comptables, car leur histoire ne fait pas un carton. C'est tout autre chose en sécurité informatique ! Alors que la cybercriminalité nécessitait encore des explications il y a quelques années, elle est aujourd'hui sur toutes les lèvres, en première page des journaux et même au cinéma – merci Edward Snowden ! Cette situation offre les conditions idéales pour une formation utilisateur divertissante, où l'on ne bâille pas sans cesse. Les simulations d'attaques sont également excellentes, car l'expérience vécue reste mieux en mémoire. Le mieux est de s'inspirer des histoires que la vie écrit et qui sont abondamment disponibles. Que diriez-vous par exemple du cas Maersk ? Il est connu de tous dans le monde de la sécurité – mais la plupart des gens ordinaires n'en ont jamais entendu parler. Ou peut-être préférez-vous le cas Meier-Tobler ? Il y a suffisamment d'exemples et on peut en trouver pour chaque scénario – malheureusement... Conclusion Respect et compréhension envers l'utilisateur, un langage compréhensible et une forme passionnante de transmission d'informations – et alors ça marche aussi avec l'utilisateur. Car il n'est peut-être pas directement intéressé par la sécurité, mais il se laisse toujours enthousiasmer par une bonne histoire. Ma proposition : emballer la formation dans une histoire passionnante et la faire embellir visuellement par le département marketing. Et pour ceux qui aiment joindre l'utile à l'agréable, ajoutez une pizza pour chacun. Lunch & Learn sur la sécurité informatique. Cela coûte environ 20.- par participant et c'est toujours moins cher qu'une faille de sécurité. Bon appétit ! Liens PS : Notre solution pour les nouveaux arrivants xorlab a également reconnu l'utilisateur comme un élément important et l'a intégré en conséquence dans la solution : www.avantec.ch/loesungen/avantec-newcomers/#xorlab L'article "La couche 8 comme élément clé de la sécurité informatique" est paru en premier sur Tec-Bite.