Pour les TPE et PME, une cyberattaque, qu’il s’agisse de phishing, de ransomware, de fraude au président ou de fuite de données, peut avoir des conséquences très graves. En plus de générer une crise de communication potentielle et une atmosphère de panique, elle peut entraîner une mise à mal des finances et même l’interruption des activités de l’entreprise. Nicolas Thore, fondateur de Guiddy, souligne qu’il ne s’agit pas de savoir si une attaque se produira, mais quand elle surviendra, il est donc impératif de anticiper au mieux l’événement. « La cybersécurité devrait constituer une routine, comparable à l’assurance de son véhicule ou de son logement lors d’un emménagement, ou à la fermeture des fenêtres avant de quitter son domicile. »

Depuis deux ans, Guiddy s’efforce de rendre la cybersécurité accessible à toutes les entreprises, en proposant des formations engageantes et des solutions adaptées aux besoins des PME. Étant donné que la majorité des failles en matière de cybersécurité sont causées par des erreurs humaines, cette société mise sur la formation de l’ensemble des employés. « En effet, il existe parfois un fossé entre la perception des dirigeants et celle du terrain, influencée par la réalité quotidienne et les imprévus. » Le principe fondamental de Guiddy est d’impliquer chaque membre de l’équipe dans la sécurité cybernétique, en gagnant l’adhésion de toute l’organisation, depuis la direction jusqu’aux employés opérationnels.

L’importance des Ressources Humaines

Les ressources humaines, souvent ciblées par les cyberattaques, détiennent des informations sensibles telles que les salaires, les RIB et les numéros de sécurité sociale. Ce département occupe ainsi une position délicate, où ses compétences en cybersécurité sont doubles : assurer la protection des données sensibles tout en sensibilisant les collaborateurs.

En tant que lien entre différents services de l’entreprise, les ressources humaines se trouvent au centre des préoccupations liées à la cybersécurité. Aux côtés de la direction et des équipes informatiques (DSI, RSSI, DPO), elles forment un trio complémentaire nécessaire à l’élaboration d’une politique de cybersécurité robuste. Ces acteurs ont un rôle déterminant dans la sensibilisation aux risques, le dialogue interfonctionnel et la mise en œuvre des actions à entreprendre.

Grâce à leur fonction transversale, les ressources humaines interagissent de manière continue avec les employés, de leur première journée jusqu’à leur départ. Cette relation privilégiée est essentielle pour promouvoir l’adoption des bonnes pratiques dès le processus d’intégration.

Bonnes pratiques des ressources humaines face aux risques cyber

Pour Guiddy, l’intégration d’une nouvelle recrue doit inclure dès le départ la problématique de la cybersécurité. Cette mission incombe en bonne partie aux ressources humaines : « Il est essentiel de lui transmettre des guides pratiques, les politiques internes de l’entreprise et d’assurer son intégration dans un programme de formation continu afin qu’il devienne un acteur de la sécurité de l’entreprise. » Lorsqu’un collaborateur quitte l’entreprise, il incombe également aux ressources humaines de gérer la suppression des accès et des équipements.

Pour établir une culture de cybersécurité durables, Guiddy a recours à des méthodes ludiques et interactives : « Discuter de cybersécurité à l’aide de 50 diapositives complexes est rarement captivant. L’approche par le jeu et les mises en situation suscite un réel intérêt, favorise l’engagement, et prépare mieux en cas d’incident. » Selon l’expert, viser l’adhésion est fondamental pour assurer l’intégration rigoureuse et durable d’une politique de cybersécurité. En plus d’un soutien constant de la direction, qui doit allouer des ressources financières à cette problématique, les employés peuvent également partager leurs connaissances avec leurs pairs. Les ressources humaines ont donc tout intérêt à rappel régulièrement l’importance de la cybersécurité à travers divers canaux : mailing, événements, formations, échanges informels… En tout état de cause, il est crucial de se fixer des objectifs clairs et atteignables pour maintenir le cap et proposer des sessions de formation récurrentes.

Finalement, Nicolas Thore déconseille les techniques qui « piègent » les collaborateurs avec des faux courriels de phishing : « Nous ne devons pas viser à stigmatiser ceux qui échouent, mais à trouver des solutions constructives. » En se détournant des méthodes de tests à risque, l’effort se concentre désormais sur la sensibilisation et la formation continue des employés.

Pour lui, il est fondamental d’inculquer les notions de cybersécurité à tous les collaborateurs, en particulier aux nouvelles recrues. Les ressources humaines ont un rôle clé à jouer dans l’éducation de ces jeunes entrants sur le marché du travail. En leur fournissant une formation adéquate, on assure que les bonnes pratiques de cybersécurité s’ancrent dès leur arrivée dans le monde professionnel et perdurent tout au long de leur carrière. Investir dans cette démarche représente un atout précieux pour les entreprises.

Source : rapport annuel 2022, ANSSI