Le point aveugle que tout RSSI doit voir : la fidélité

L’hypothèse de longue date selon laquelle l’ancienneté, les mesures de performance ou l’engagement exprimé servent d’indicateurs fiables de la fiabilité d’un employé persiste dans de nombreux secteurs. En effet, la grande majorité du personnel est fidèle. Mais, bien que faible, le pourcentage de ceux qui ne le sont pas reste bien au-dessus de zéro.

De plus, cet amalgame de loyauté et de sécurité néglige une réalité fondamentale : la loyauté n’est pas un trait statique, mais une réponse humaine dynamique façonnée par l’équité perçue, les circonstances personnelles et l’alignement organisationnel. Lorsque les griefs restent sans réponse ou que les pressions extérieures s’accentuent, ce qui apparaît comme une allégeance inébranlable peut tranquillement évoluer vers la désaffection, le ressentiment ou une rupture délibérée de la confiance.

Un demi-siècle de modèles observés

Au cours de mes plus de 50 années d’activités au sein du gouvernement, du secteur privé et du journalisme, j’ai vu ce schéma se reproduire à plusieurs reprises.

Ce qui commence comme un véritable engagement peut s’éroder sous le poids d’attentes non satisfaites, de tensions financières, de différences idéologiques, d’influences extérieures ou simplement du passage du temps dans des rôles qui exigent une vigilance constante.

L’initié qui semblait autrefois irréprochable devient le vecteur même par lequel les données sensibles, la propriété intellectuelle ou l’intégrité opérationnelle sont compromises. Il ne s’agit pas d’échecs isolés en matière de contrôle ou de technologie ; ce sont des échecs dans la reconnaissance du fait que la loyauté est relationnelle et conditionnelle, et non absolue.

Comment la mauvaise lecture apparaît dans la pratique

Des exemples récents illustrent ce point. Dans la sphère fédérale américaine, les licenciements brusques dans le cadre d’initiatives de réduction des effectifs ont laissé les anciens employés avec un accès persistant à des systèmes sensibles, amplifiant le potentiel d’exposition des données ou de représailles. Les cas d’entreprises montrent une dynamique similaire : des ingénieurs ou des cadres qui ont passé des années à acquérir des connaissances institutionnelles repartent soudainement avec des informations exclusives, motivés non par l’espionnage mais par l’opportunité ou le ressentiment.

Ces incidents ne sont pas des anomalies. Ils reflètent un modèle plus large dans lequel existent des jugements subjectifs de loyauté, ce que j’en suis venu à appeler des « baromètres personnels ». Par exemple, de collègue à collègue, « Janet adore cette entreprise, elle est ici depuis 20 ans » peut constituer un consensus, mais il n’est pas accompagné de mesures objectives, cohérentes et transparentes.

Angles morts de l’histoire du personnel

Les organisations fonctionnent depuis longtemps avec la conviction que la loyauté, une fois démontrée, devient un bouclier durable contre les risques internes. Un mandat prolongé est récompensé par des privilèges d’accès croissants, les plus performants se voient accorder des droits système plus étendus sans examen comportemental correspondant, et les affirmations verbales d’engagement sont prises au pied de la lettre. Pourtant, les schémas se répètent encore et encore.

Ce qui commence comme une confiance mutuelle s’affaiblit non pas à cause d’une trahison dramatique mais à cause de subtils réalignements dans l’engagement personnel. Un employé qui s’identifiait autrefois fortement à la mission peut commencer à se sentir sous-évalué, négligé en matière d’avancement ou alourdi par des pressions extérieures. L’organisation, s’appuyant sur son évaluation subjective des performances passées, ne remarque le changement que lorsque la vache s’est enfuie de l’étable.

Ces modèles ne sont ni nouveaux ni rares. Ils reflètent une réticence systémique à considérer la fidélité comme une relation vivante qui nécessite un entretien et une vérification actifs.

L’angle mort devient visible

Aujourd’hui, nous sommes confrontés à une confluence de forces qui mettront en évidence les limites des modèles de fidélisation hypothétiques. La volatilité économique, notamment l’inflation persistante, les suppressions d’emplois en cours dues à l’IA et les réductions d’effectifs, augmenteront les facteurs de stress personnels et professionnels pour les employés à tous les niveaux.

À l’élément humain s’ajoute l’émergence rapide d’agents d’IA en tant qu’initiés autonomes. Ces systèmes, qui bénéficient d’un accès privilégié aux données sensibles et aux flux de prise de décision, introduisent des risques à la vitesse de la machine : erreur d’orientation rapide, désalignement des objectifs ou exfiltration involontaire sans intention ni surveillance humaine. Nous savons que les agents IA font partie des vecteurs internes qui connaissent la croissance la plus rapide, avec des capacités autonomes dépassant les contrôles traditionnels.

Les tensions géopolitiques amplifient encore la menace. Les acteurs des États-nations et leurs mandataires exploitent de plus en plus les pressions économiques et les divisions idéologiques pour préparer ou contraindre les individus, brouillant ainsi les frontières entre mécontentement personnel et influence extérieure hostile.

Dans les secteurs critiques (transport, finance, médecine, énergie) où les rôles élevés font déjà l’objet d’une plus grande attention, le modèle s’avère résilient. Pourtant, dans des environnements moins réglementés, l’absence de normes universelles et consensuelles expose les organisations à des risques. Ce qui était autrefois un subtil désalignement devient une exposition systémique lorsque la volatilité humaine rencontre l’autonomie des machines et l’opportunisme géopolitique.

Parallèles à l’empoisonnement de l’IA et à la double crise de confiance

Ces thèmes découlent directement d’une de mes précédentes chroniques, « L’empoisonnement de l’IA et la crise de confiance du RSSI ». Cette discussion a examiné comment les données de formation empoisonnées compromettent l’intégrité fondamentale des systèmes d’intelligence artificielle, créant une crise de confiance dans les outils dont les organisations dépendent de plus en plus. Le parallèle avec la loyauté humaine est clair : tout comme les entrées corrompues érodent la fiabilité des résultats de l’IA, la loyauté humaine non examinée ou mal interprétée érode la fiabilité des individus qui conçoivent, exploitent, protègent et comptent sur ces systèmes.

Dans les deux domaines, la remédiation réactive est insuffisante. La confiance doit être rétablie grâce à une vérification délibérée et continue plutôt qu’à des hypothèses périodiques. La crise de confiance du RSSI est donc double : architecturale dans le domaine machine et relationnelle dans le domaine humain. La cohérence dans ces domaines, garantissant que les comportements humains et machines restent alignés sur l’intention de l’organisation, apparaît alors comme le principe essentiel de la résilience à long terme.

La voie à suivre

La voie à suivre consiste à adopter une vérification consensuelle et à plusieurs niveaux, où une responsabilité élevée exige un examen plus approfondi. Les postes ayant accès aux joyaux de la couronne – données sensibles, systèmes financiers ou dossiers du personnel – ou aux postes de direction nécessitent par nature une surveillance proportionnellement plus importante, comme l’ont montré les secteurs réglementés. Les professionnels occupant ces postes acceptent cela comme faisant partie du terrain, l’histoire démontrant une perte de talents minime lorsque les cadres sont transparents et favorables.

Federal Trusted Workforce 2.0 fournit un modèle vital pour le secteur privé. D’ici 2026, avec une mise en œuvre complète dans les agences gouvernementales, ce programme permettra à des millions de personnes de bénéficier d’un contrôle continu, en utilisant des vérifications automatisées des dossiers pour examiner une pléthore de risques en temps réel et en réduisant le recours aux examens périodiques. Les adaptations privées sont réalisables et essentielles : sécuriser les libérations du personnel clé pour une surveillance continue, reflétant la philosophie de soutien de TW 2.0 sans mandats fédéraux. Ces mesures sont bien moins coûteuses que les coûts de plusieurs millions de dollars d’un seul événement interne malveillant (4,9 millions de dollars à 13,9 millions de dollars par incident selon les analyses IBM/Mimecast 2025).

Les pratiques plus larges incluent des enquêtes ponctuelles et des outils d’engagement pour détecter rapidement les désalignements, des examens RH intégrés et des interventions de bien-être. Gartner indique que les programmes comportementaux intégrés à l’IA réduisent de 40 % les incidents provoqués par les employés. Ces investissements sont économiques, évolutifs et consensuels, favorisant la confiance mutuelle.

Il faut mettre fin à la folie consistant à assimiler la loyauté à la sécurité. Grâce à une vigilance vérifiable et centrée sur l’humain, y compris un examen consensuel adapté à la responsabilité, les organisations peuvent gagner la confiance, et non l’assumer, transformant ainsi leurs vulnérabilités en résilience. À l’ère de la confiance zéro, il ne devrait y avoir aucun obstacle à l’adoption de politiques du personnel « faire confiance mais vérifier ».

Voir aussi :

• Risque interne à une époque de volatilité de la main-d’œuvre
• Cohérence : le nouveau principe clé de la stratégie risque interne