Cybersécurité : le collaborateur n'est pas le maillon faible, c'est le premier rempart

On entend encore souvent que « l'humain est le maillon faible de la cybersécurité ». C'est une formule facile, et je crois qu'elle est contre-productive. Depuis 2024, en tant que chef de pôle à la DSI d'ADA, une partie de ma mission consiste à garantir la sécurité de nos collaborateurs et de leur environnement de travail. Et ma conviction s'est renforcée : le collaborateur n'est pas le maillon faible, c'est le premier rempart.

Pourquoi « maillon faible » est une mauvaise idée

Il est vrai qu'une grande partie des attaques commence par une action humaine : un clic sur un lien piégé, une pièce jointe ouverte trop vite, un mot de passe réutilisé, un appel d'un faux support informatique.

Mais dire aux gens qu'ils sont le problème produit l'effet inverse de celui recherché :

• ils ont peur de se tromper, donc ils n'osent plus poser de questions,
• ils cachent leurs erreurs, alors que chaque minute compte quand un poste est compromis,
• ils voient la sécurité comme une contrainte imposée par l'IT, et non comme une protection collective.

Chaque collaborateur est un capteur

Si une attaque passe par une personne, cette personne est aussi la mieux placée pour la repérer. Un e-mail inhabituel, une demande de virement urgente, une fenêtre de connexion qui ne ressemble pas à d'habitude : ce sont souvent les collaborateurs qui voient les signaux en premier.

Nos outils techniques détectent beaucoup de choses. Mais un collaborateur qui se dit « tiens, c'est bizarre » et qui le signale, c'est une alerte de plus, et souvent la plus précieuse.

C'est pour cela que, chez ADA, nous avons fait deux choix complémentaires : former nos collaborateurs chaque mois, sur des thématiques variées, et leur donner des outils pour signaler simplement une anomalie, ou même un simple doute.

J'insiste sur le doute. On n'attend pas des collaborateurs qu'ils soient sûrs qu'il s'agit d'une attaque : c'est le travail des équipes techniques. Un doute signalé ne coûte rien. Un doute gardé pour soi peut coûter très cher.

Les trois leviers d'une culture de la sécurité

Comprendre

Les collaborateurs ne sont pas des experts en cybersécurité, et n'ont pas à l'être. Ils ont besoin de comprendre les menaces qui les concernent vraiment, avec des exemples tirés de leur quotidien : la fausse facture, le faux colis, le faux conseiller bancaire, le faux collègue pressé. Des formats courts et réguliers valent mieux qu'une formation annuelle de deux heures. Chez ADA, nous formons nos collaborateurs chaque mois, en changeant de thématique : la régularité installe les réflexes, la variété évite la lassitude.

J'y reviens dans l'article sur la sensibilisation au phishing.

Pouvoir signaler facilement

Si signaler un e-mail suspect demande de chercher une adresse, de rédiger un message et de transférer une pièce jointe, personne ne le fera. Le signalement doit être un réflexe en un clic, et le collaborateur doit savoir ce qu'il devient. Nos collaborateurs disposent ainsi d'outils qui leur permettent de remonter en quelques secondes une anomalie ou un doute, sans avoir à se demander à qui s'adresser.

Ne jamais sanctionner un signalement

C'est le point le plus important. Un collaborateur qui a cliqué et qui le signale immédiatement doit être remercié, pas réprimandé. Sinon, la prochaine fois, il se taira. Une culture de la sécurité est d'abord une culture de la confiance.

La sécurité fait partie de l'expérience collaborateur

C'est le lien entre mes deux sujets. Une mesure de sécurité trop pénible sera contournée : un mot de passe trop complexe finit sur un post-it, une validation trop lourde est déléguée, un outil bloqué est remplacé par un outil personnel.

À l'inverse, une mesure bien pensée devient invisible. L'objectif n'est pas de choisir entre sécurité et confort, mais de concevoir la sécurité comme une partie de l'expérience de travail.

Ce que je retiens

La technologie protège beaucoup, mais elle ne protège jamais seule. Une entreprise bien défendue, c'est une entreprise où chaque collaborateur sait reconnaître une menace, ose la signaler, et sait qu'il sera soutenu s'il se trompe.

La cybersécurité n'est pas qu'un sujet d'experts. C'est un sujet d'équipe.