Quand tout est une menace, rien ne semble en sécurité

Lorsque vous quittez la maison, vous verrouillez la porte. Lorsque vous montez dans la voiture, vous attachez votre ceinture de sécurité. Ce sont des habitudes de sécurité familières. Nous comprenons leur objectif, savons comment les exécuter et avons rarement besoin de nous arrêter et d’y réfléchir.

Nos vies numériques sont différentes. Nous faisons nos achats, effectuons nos opérations bancaires, travaillons et restons en contact avec notre famille et nos amis en ligne, souvent sans aucun signe clair de l’endroit où commence un danger ou de la précaution la plus importante. Nous recevons un flux constant d’avertissements concernant de nouvelles escroqueries, des informations d’identification volées, des violations de données et des vulnérabilités logicielles. Les messages varient en termes d’urgence, mais beaucoup semblent exiger notre attention immédiate.

Le résultat peut être une contradiction inconfortable : les informations destinées à nous rendre plus sûrs peuvent également nous laisser dépassés et moins disposés à agir.

Lors de conversations avec des personnes appartenant ou non au domaine technologique, je continue d’entendre des variations sur les mêmes préoccupations. Il y a une nouvelle arnaque chaque semaine, et aucun moyen de suivre le rythme. Si les grandes entreprises peuvent être piratées, comment un individu peut-il se protéger ? Presque tout ce qui est fait en ligne semble risqué.

Ce sont des questions raisonnables. En tant que professionnel de la cybersécurité, je pense que notre réponse doit aller au-delà de la répétition de l’existence de menaces. Nous devons aider les gens à comprendre quels risques sont pertinents, ce qu’ils peuvent faire pour les gérer et où s’arrête leur responsabilité.

Quand un avertissement devient un bruit de fond

Il existe de bonnes raisons de surveiller le paysage des menaces. Les criminels adaptent leurs techniques, les stratagèmes frauduleux évoluent et les vulnérabilités nécessitent parfois des mesures correctives urgentes. Ignorer ces évolutions n’est pas une stratégie sensée.

Mais l’existence d’une menace n’est pas la même chose que l’exposition d’une personne ou d’une organisation à cette menace. Une vulnérabilité qualifiée de critique ne crée pas nécessairement le même niveau de risque pour chaque entreprise. La réponse dépend des produits utilisés, de la question de savoir si les systèmes concernés sont exposés, des mesures de protection déjà en place et de l’impact potentiel sur l’entreprise.

Une faille technologique critique qu’une organisation n’utilise pas peut mériter d’être notée sans nécessiter une action d’urgence. Un problème moins dramatique affectant un service Internet critique pour l’entreprise pourrait mériter une attention immédiate. Le titre à lui seul ne peut pas faire cette distinction.

Pourtant, les gros titres parlent souvent de la façon dont les gens abordent la cybersécurité. Lorsque les avertissements arrivent sans contexte, sans priorisation ou sans conseils pratiques, ils se disputent une attention limitée. Ce qui devrait être exceptionnel commence à devenir une routine. Une alerte qui nécessite réellement une action peut disparaître dans le bruit.

Il existe une différence significative entre rester informé et se sentir obligé de rester en alerte à chaque instant de la journée.

La lassitude en matière de sécurité n’est pas simplement un manque d’intérêt

Les chercheurs ont un nom pour une partie de cette expérience : . Dans une étude qualitative réalisée en 2016, des chercheurs de l’Institut national américain des normes et technologies (NIST) ont interrogé 40 utilisateurs quotidiens d’ordinateurs sur la sécurité et la confidentialité. Des signes de fatigue sont apparus dans 25 entretiens, même si la fatigue n’était pas l’objet initial de l’étude.

Les participants ont décrit leur frustration face aux exigences et aux conseils répétés, ainsi que des sentiments de résignation et de contrôle diminué. Les chercheurs ont associé ces expériences à l’évitement de décision, au choix de l’option la plus simple disponible et au non-respect des conseils de protection. L’étude étant limitée et qualitative, elle ne doit pas être considérée comme une mesure de l’ampleur de la fatigue aujourd’hui. Sa valeur réside dans l’explication d’un comportement que les équipes de sécurité pourraient autrement qualifier de négligent.

Lorsque quelqu’un ignore un énième avertissement, il se peut qu’il ne soit pas indifférent à la sécurité. Ils ont peut-être simplement perdu la capacité de déterminer ce qui compte, ce qui est urgent et quelle action on attend d’eux.

Cette distinction est importante pour les responsables de la sécurité. Si chaque message est marqué comme urgent, nous ne devrions pas être surpris lorsque l’urgence cesse de fonctionner. Plus d’avertissements ne signifient pas automatiquement une meilleure communication.

Remplacer le volume des titres par des critères de décision

Je ne pense pas que les gens aient besoin de mémoriser chaque nouvelle technique de phishing ou de suivre chaque divulgation de vulnérabilité pour mettre en œuvre une bonne sécurité numérique. Il n’est pas non plus viable pour les équipes de sécurité de traiter chaque problème avec la même importance.

Une meilleure approche commence par trois questions chaque fois qu’une nouvelle alerte apparaît :

1. Est-ce que cela m’affecte ou affecte mon organisation ? L’alerte concerne-t-elle un service, un appareil, un compte ou un processus que j’utilise ou supervise ?

2. Est-ce que cela nécessite une action maintenant ? Existe-t-il des orientations crédibles et une raison concrète d’urgence, ou s’agit-il d’informations générales sur une menace possible ?

3. Quelle est l’action la plus efficace à ma disposition ? Dois-je installer une mise à jour, vérifier une demande inhabituelle via un autre canal, activer une sauvegarde ou avertir l’équipe appropriée ?

Ceci n’est pas une garantie de sécurité. C’est un moyen de séparer les informations utiles du bruit et de préserver l’attention sur les décisions importantes.

Pour les particuliers, une base de référence cohérente est plus précieuse que d’essayer de reconnaître l’arnaque de la semaine : maintenir les appareils et les applications à jour, utiliser des mots de passe longs et uniques avec un gestionnaire de mots de passe, activer l’authentification multifactorielle et vérifier les demandes qui nécessitent une action immédiate ou des informations sensibles. Ces habitudes sont faciles à décrire, même si leur mise en œuvre nécessite parfois de l’aide.

Pour les organisations, l’équivalent est un processus basé sur les risques qui relie les alertes aux actifs réels, à l’exposition, aux priorités commerciales et aux propriétaires clairs. Un bulletin de sécurité doit indiquer qui est concerné, ce que sait l’organisation, ce qui doit se produire et quand. Lorsqu’aucune action n’est requise, le dire est également utile.

Le fardeau ne peut pas reposer entièrement sur les utilisateurs

Il serait injuste de terminer ce débat en imposant aux citoyens une autre longue liste d’obligations. Si pour assurer la sécurité, chaque employé doit interpréter les avertissements techniques, naviguer dans des paramètres déroutants et faire le bon choix à chaque fois, la conception du système fait partie du problème.

Les organisations et les fournisseurs de technologies devraient faciliter par défaut les comportements sécurisés. Cela inclut des paramètres de protection judicieux, des mises à jour automatisées le cas échéant, un filtrage efficace, des canaux de reporting simples et des instructions claires lorsqu’une véritable décision est nécessaire. Cela signifie également se préparer aux erreurs grâce à la détection, à la réponse et à la récupération plutôt que d’assumer un comportement humain irréprochable.

Le travail du NIST sur la cybersécurité centrée sur l’humain défend un argument similaire : les systèmes et les conseils doivent tenir compte des besoins, des capacités et des limites réels des individus. L’objectif est de rendre les mesures de sécurité plus faciles à mettre en pratique, et pas seulement de donner davantage d’instructions.

Les responsables de la sécurité peuvent mettre ce principe en pratique en examinant les avertissements reçus par les employés. Plusieurs équipes envoient-elles des messages qui se chevauchent sur la même menace ? Les alertes expliquent-elles l’action et son propriétaire ? Demande-t-on aux salariés de résoudre des problèmes que le contrôle technique pourrait éviter ? Les gens peuvent-ils signaler un message suspect sans craindre d’être blâmé ?

Ces questions reconnaissent que le comportement des utilisateurs est important, mais qu’il se déroule toujours au sein d’un système qui peut soutenir ou miner les bonnes décisions.

Sensibiliser par la confiance

Je veux que la sensibilisation à la sécurité traite les gens comme des partenaires, et non comme le maillon le plus faible effrayé et poussé à se conformer. Une bonne communication sur les risques doit expliquer pourquoi quelque chose est important, qui est concerné et quelle est la prochaine étape réaliste disponible. Il devrait également être capable de dire quand il n’y a aucune raison de paniquer.

La confiance ne signifie pas supposer que tout va bien. Cela signifie comprendre les risques les plus pertinents, savoir quelles protections sont en place et savoir vers qui se tourner lorsque quelque chose d’inhabituel se produit.

Nous devons donc faire attention à la manière dont nous mesurons la notoriété. Le nombre d’alertes distribuées ou de messages de formation délivrés ne nous dit pas grand-chose sur la capacité des individus à mettre en pratique ce qu’ils ont appris. Je préfère poser une question plus exigeante : après avoir reçu nos conseils, les gens sont-ils mieux équipés pour prendre une décision judicieuse ?

Si la réponse est non, nous devons changer la façon dont nous communiquons sur la cybersécurité.

La sensibilisation ne doit pas avoir pour but d’effrayer les gens. Il doit fournir des connaissances, un sentiment de contrôle et des moyens pratiques d’agir.