Blog – FR

Les débats récents sur l’efficacité de la sensibilisation à la cybersécurité ont été relancés par une couverture médiatique de grande ampleur. En particulier, un article du Wall Street Journal, s’appuyant sur l’étude « Understanding the Efficacy of Phishing Training in Practice », remet en question la capacité des simulations de phishing et des actions de sensibilisation à produire une réduction du risque réellement significative.

Le débat en lui-même est sain. Les conclusions qui en sont tirées nécessitent toutefois une approche plus nuancée.

Un nombre croissant d’études empiriques montre que des programmes de sensibilisation à la cybersécurité bien conçus améliorent effectivement les comportements face au risque dans des contextes réels. Ce qui échoue le plus souvent, ce n’est pas la sensibilisation en tant que telle, mais une vision trop restrictive de ce qu’est l’awareness, de la manière dont elle doit être intégrée au sein de l’organisation et des critères utilisés pour en mesurer le succès.

Erreurs courantes commises par les clients lors de la mise en œuvre de projets de sensibilisation à la sécurité

Comme pour tout autre projet, vous pensez que c’est trop facile, vous n’écoutez pas ou vous écoutez les mauvais experts, vous pensez que vous allez tout maîtriser ou que vous pouvez y arriver seul, vous ne communiquez pas suffisamment entre vous et les objectifs et les exigences ne sont pas aussi clairs qu’ils devraient l’être. Si vous commencez alors avec un état d’esprit inapproprié et que la direction ne reconnaît pas l’objectif, la valeur et les avantages de la sensibilisation, le projet peut connaître des débuts très difficiles.

Les e-mails de phishing sont de plus en plus difficiles à détecter, même pour les humains. Une étude récente a testé divers modèles linguistiques à grande échelle (LLM) afin d’évaluer leur capacité à reconnaître les intentions malveillantes dans les e-mails, révélant des différences significatives en termes de performances.

Claude 3.5 Sonnet s’est particulièrement distingué, avec un score supérieur à 90 % et un faible taux de faux positifs, et a même signalé des e-mails suspects que les humains avaient négligés. Lorsqu’on lui a explicitement demandé d’évaluer les soupçons, il a correctement classé tous les e-mails de phishing tout en évitant les fausses alertes sur les messages légitimes. Cependant, il a eu du mal avec les e-mails de phishing conventionnels, n’atteignant qu’un taux de vrais positifs de 81 % dans cette catégorie…

Les fondateurs d’entreprises présentent leur projet aux investisseurs afin d’obtenir des financements et d’autres formes d’aide pour leur idée commerciale. Le reverse pitching renverse la situation : ce sont les investisseurs, les business angels et les sociétés de capital-risque qui sollicitent les entrepreneurs en démarrage afin d’être autorisés à investir dans leurs entreprises.

Est-ce une bonne idée ? Non et oui. ☺

Au cours des 15 dernières années, j’ai eu des centaines de conversations avec des investisseurs, mais je ne m’étais jamais vraiment demandé ce que cela ferait si c’était un investisseur qui devait me présenter son projet, et non l’inverse.

Que rechercherais-je ?

À l’inverse, cela signifie-t-il qu’une fois l’adéquation produit-marché atteinte, vous pouvez immédiatement commencer à vous développer et être sûr de réussir ? Je dirais : peut-être, mais probablement pas.

Oui, 9 start-ups sur 10 échouent. Et oui, la plupart d’entre elles ont probablement échoué parce qu’elles proposaient quelque chose que le marché ne voulait pas vraiment. Mais j’ai quelques réserves quant au fait que les autres réussissent parce que l’adéquation produit-marché a été atteinte.

Au début, la formation en cybersécurité n’était pas encore bien comprise. La plupart des entreprises tentaient de sensibiliser leur personnel par le biais de formations, et les premières campagnes de phishing à des fins éducatives ont été menées. La conformité n’était pas encore très importante.

Une entreprise existe parce que ses employés croient qu’il y a un moyen d’y arriver, que ses clients croient qu’elle résout un problème et que ses investisseurs croient qu’elle a de la valeur. 😉

Malgré une formation complète en matière de sensibilisation à la sécurité, de nombreuses organisations continuent de subir des violations de la cybersécurité résultant d’erreurs humaines. Nous pensons que cela s’explique par le fait que beaucoup de gens comprennent les menaces liées à la cybersécurité en théorie, mais ont du mal à appliquer ces connaissances de manière cohérente dans la pratique pour agir en toute sécurité.

Cet écart entre l’attitude face au risque (savoir ce qui est risqué) et le comportement face au risque (agir de manière sécurisée) est le sujet de l’article d’aujourd’hui. 😉

Le « IBM Cost of a Data Breach Report » (rapport IBM sur le coût des violations de données) est publié chaque année depuis deux décennies.

Il est souvent consulté pour ses chiffres : le coût moyen mondial des violations (actuellement 4,4 millions de dollars), les secteurs les plus touchés ou les amendes (qui, aux États-Unis, font grimper le coût moyen à 10 millions de dollars).

Mais en y regardant de plus près et en y apportant votre propre expertise, le rapport de cette année révèle quelque chose de plus fondamental sur la sensibilisation à la cybersécurité.