Cybersecurity awareness is a journey to embed secure behaviours in people’s daily lives

To do so, you need to build a strong cyberawareness program, focus on your key cybersecurity themes, that engages your people and respects their uniqueness, with practical positive actions and diverse activities. In other words, a program that meets your ambitions and aims:

• An effective behavioural change
• The development of a security culture in your organization

We developed our TAMAM framework to formalize our strong beliefs about how best to build a cyberawareness framework.

TARGET: set concrete and measurable objectives

AUDIENCE: adapt the approach according to the people concerned

MESSAGE: choose a concise, positive message that calls for action

ACTIONS: set up effective, concrete and various actions

MEASURES: evaluate the program’s impact on behaviour

This article explains the principles, the stakes and the role that TAMAM has to play to support you!

But first, let’s put some contextual elements about cybersecurity awareness…

Why do they keep clicking on these phishing emails?!

• Our journey doing cybersecurity awareness started more than 15 years ago. And things looked quite different back then. It was the time of the new awareness programs, led by newly appointed cybersecurity managers, with little means and yet a key objective to tell people what they must do to protect the information systems. Nothing more, nothing less. It was the time of the Top 10 best practices; the Do’s and Don’ts; the mass training sessions; etc.

• Once said, these messages were considered to be common knowledge and applied by everyone; and just like that awareness was deprioritized and no longer a priority for the cybersecurity managers. It was the rough time of insufficiency and budget cuts.

• Then came the rising number of cyberattacks and the GDPR. With new risks came new appetite for awareness and education of users. Cybersecurity awareness was back in the agenda, yet with variable means and interests. Over the years it remained part of the cybersecurity topics but with great variability between the organizations when it came to effectiveness and efficiency.

• And here we are now: at the beginning of the year 2023 and the same questions remain: “I’ve tried everything but there are still some people who do not perceive the risks– what can I do?”; “I need to keep my people interested in the topic, what new things can you propose?”. Basically, what we notice is simply a lack of consideration of the effectiveness of the program: they seemed to be reaching a glass ceiling. Efforts were put, investments were made, but little change happened. That triggered our attention and led us to discussions and research until we finally came to the evidence: efforts and investment are vain if they don’t aim at effectively changing behaviours and ultimately establishing a culture of cybersecurity. But how do you do that? That’s the focus of this article.

Are you getting everyone on board with cybersecurity?

Based on these observations of the past years of cyberawareness, we developed a framework to build an effective cybersecurity awareness program. We wanted this model to be customizable so that it could be applied to every organization regardless of its size, maturity, budget, or current culture. Not a one-size-fits-all, but a backbone to be adapted to every organization.

Target

Just like with everything, you have to start with the “why”. This serves to define the objectives: a target to reach, a vision of where to go and a path to reach that place.

These objectives must be targeted to your priority battles, i.e., what change you want to see in your organization, precise behaviours that you expect from your people. They do not just represent good intentions – like “raising awareness among my employees” – but precise behaviours that you want to see every day. For instance, if phishing is one of your primary concerns, and it sure is: “How to educate my employees to report phishing attempts and incidents?”. Like this you see your target and the way to reach it.

Precise objectives also enable measurable results. When you define them, you also define the KPIs and metrics that you will use to assess their success. As a rule of thumb: if you are unable to find a measure for your objective, that means it’s more illusional than achievable.

Finally, you share these with your employees. Isn’t it plain fairness that to tell your people from the beginning what you expect from them? This way, you make them actively engaged in the change of behaviour that you expect from them. By giving them the rules of the game, you enable them to play by these rules and to win the game with you, because cybersecurity is a collective win.

This first step is largely overviewed, and few are the organizations that take the necessary time to reflect on their true target when it comes to cyberawareness. However, it is the essential starting point of our journey. Just like with any journey: we can only reach a friend’s house if know their address.

Audience

And who do you want to reach exactly? That is your audience, your population, your people that need awareness, training, and education. A clear identification of these specific audiences will help you define an approach that is meant to reach them. To know these needs you will need to start by differentiating people in clusters – mostly based on their positions in the organization, their closeness to the topic, their expositions to the risks you want to prevent, their role figures, etc. These clusters can gather newcomers, external staff, local ambassadors, IT staff, etc.

For each of these populations, you will want to assess their current level of mastery of the different targets defined. That is basically performing a skills gap to know what topics requires more attention for each population. This information will be essential to customize the program to the needs of these populations (because you understand what they do in life) and their current level of mastery (which you have assessed precisely).

Message

Off we go now with the messages you want to communicate to these people to reach these objectives; the moment where you find this catchy phrase that will be repeated oftentimes. The people with whom you will be communicating also receive numerous other communications for numerous other causes (name it: CSR, compliance, values, etc.). Hence the importance to select your messages wisely and to stay concise. The time and attention available are limited, this is why you will prefer to select a few messages that address key risks and meaningful objectives.

Eventually, the tone used to communicate these messages is crucial as it must be adapted to the organizational culture: funny messages work in some environment while serious ones work better in others. Regardless of the tone used, the messages will need to be positive and call for action. Drop out the negative injunctions (“don’t”) and embrace the positive actions (“act”).

With these first three steps in mind (Target, Audience and Message), you build up the framing of your cyberawareness program: you know what you want to tell, to whom, in order to reach the expected behaviours.

Actions

Now that you have tailored your messages for your specific audiences to reach the defined objectives, time has come to identify the actions that you will implement in this framing. Although you now open the catalogue of action, you must be focus and pragmatic. The principle when doing so is to think of the effectiveness of the chosen action in your journey to reach your objectives. Creativity and innovation are surely important to keep people motivated but is not the sole success factor. You want to make cybersecurity practical for people, to bring the topic closer to their life and to involve them in their learning (e.g., practical activities, application of the behaviour expected, etc.) on top of a more theoretical top-down approach.

The way you implement these activities is also an essential success factor, with the right resources, people and planning to enforce the selected messages:

• Who is the bearer of these messages? Internal or external?
• How to repeat them in different ways (as different people will respond to different stimuli that can be practical, visual, spoken, etc.)
• From what angles and with what activities should these issues be addressed in order to raise awareness among employees in the most appropriate way?

With few selected messages, you build different activities, at different moments, with different approaches, to embed these behaviours in your audiences’ daily lives.

Measures

Finally, this whole program needs to be evaluated in order to say if it actually allows to change behaviours – for the management that will ask to see the value delivered for its investment, or for the awareness team that will want to show tangible results from its efforts.

In your quest to raise awareness, you must focus on the effectiveness of what you implement, beyond the implementation itself. All too frequently, organizations focus on numbers of activities or people addressed. But these figures seldom provide a real understanding of the change of behaviours happening.

When building your evaluation plan, you need to include quantitative measures and qualitative feedback to obtain a comprehensive understanding of the achievement of your objectives. Perhaps this will require new ways to gather this information – like getting the helpdesk involved, or even obtaining fresh data from the SOC – but the outcome will bring terrific value to your program as it will allow you to review it and keep it continuously adapted to your objectives; which can also be subject to adaptations if the organizational context changes.

Oh, and don’t forget one last thing if you want to create a positive trend in awareness: communicate your achievements and celebrate the victories with everyone. You deserve it.

Take the first letter of these 5 principles and you obtain TAMAM. It is no coincidence if the world translates into “all right” in Turkish; this is what you want from your people: an adherence to your objectives and an agreement to onboard your journey to more secure behaviours.

Where to start?

Now that you have a better understanding of the iterative journey to build a strong awareness program, you must find yourself in the middle on a strong questioning: where do I stand in that and how do I lean more towards what you’ve just said?

A first action to take is probably to take a step back to look at your current maturity level in cyberawareness. You will need to have a clear and honest understanding of how your organization addresses this topic in order to define a path towards a greater maturity.

The power of TAMAM resides notably in its ability to be used regardless of your maturity level, because its principles are adaptable and true to different situations.

Do you TAMAM?

When you TAMAM, you:

• Visualize a clear and precise target – behaviours – that you want to reach
• Tailor your approach around the need of your specific clusters of people
• Define the few messages you want communicate to your audience on these objectives
• Select the best manner to communicate your messages with activities that focus on effectiveness
• Monitor and assess this effectiveness to adapt your approach and finetune your whole program

This article is only a glimpse of what TAMAM can bring to your cyberawareness program. Contact us for a full understanding of how our framework can help you step up your awareness!

Contact us

Cet article Are you ready to TAMAM your cybersecurity awareness? est apparu en premier sur RiskInsight.

However, although companies recognize the importance of awareness content, very few manage to effectively deploy solutions adapted to their teams’ specific needs. In fact, as much as awareness is a priority, choosing the most suitable tool remains a challenge. Companies are confronted to a diverse range of options, from standardized online training to interactive and personalized tools.

A radar of +100 cybersecurity awareness solutions

In an environment where cybersecurity awareness is becoming a priority, the awareness solutions radar proves to be a strategic ally for companies. This tool provides a clear and structured view of available solutions, helping organizations identify the ones best suited to their needs.

A decision-making tool

The radar provides a comprehensive overview of options available and helps assess the size of the market. Thanks to the radar, companies can quickly identify high-performing and innovative solutions, while also distinguishing essential ones. To achieve this, the solutions have been grouped into 7 categories:

1. Maturity Assessment: Solutions offering robust cybersecurity maturity and human risk evaluation tools, going beyond reports or questionnaires
2. E-learning: Solutions providing a variety of structured learning modules
3. Technical Training: Solutions specifically designed for technical audiences (cybersecurity teams, IT, developers, etc.)
4. AI: Solutions based on artificial intelligence tools
5. Chatbot: Solutions integrating an interactive conversational agent
6. Phishing: Solutions specialized in phishing attack simulations, distinct from e-learning modules covering the topic.
7. Games: Solutions focused on gamification, offering engaging cybersecurity awareness activities.

This radar aims to provide a condensed view of our benchmark and is not a ranking. It is a curated selection based on several criteria, including company size, market presence (primarily in France), and our expert evaluation. We have intentionally limited the number of solutions presented to ensure a clear and strategic overview.

The selection favors French solutions, in line with our client base, while also including a few relevant international players. Additionally, only solutions whose core offer is product-oriented, rather than consulting services, have been included, to ensure a product-focused approach.

A benchmark for a tailored solution

The radar is based on a benchmark of over +100 solutions available on the market, providing a comprehensive overview of the cybersecurity awareness solutions’ ecosystem.

The benchmark is designed to guide your selection towards the most suitable solution. Companies fill in their criteria to generate a refined list of options: types of content (phishing, passwords, social engineering, etc.), types of formats (quizzes, videos, chatbot, e-learning, etc.), availability and flexibility of the solution, target population, price, languages, etc. This process helps avoid arbitrary choices and ensures the selection of a solution that is truly aligned with awareness challenges and objectives.

Thus, without trying to be exhaustive, the radar offers a wide range of options to best meet your organization’s needs.

Integration process into the benchmark

The process of integrating a solution into the benchmark is intended to be straightforward. Once a solution is identified, it is analyzed and sorted based on specific criteria, along with feedbacks from our Wavestone consultants. In addition, meetings with solution providers allow us to refine our analysis through demonstrations and the collection of additional information.

As such, a solution with a clear and intuitive interface, offering transcriptions in multiple languages, and covering a wide range of topics (phishing, cloud, chatbot, etc.) in an innovative way will be particularly relevant. If it also receives positive feedback from our consultants, it will have a strong chance of being included in the radar.

The benchmark and its radar also come with detailed presentations of certain solutions. Thanks to our expertise and strong convictions regarding awareness, some solutions deemed relevant have detailed profiles that include a more precise overview of the interface and expert opinions, enriched by discussions with vendors. These presentations not only help select the most suitable tool but also highlight often more effective yet lesser-known alternatives.

Integration process of a solution into the benchmark and radar

Disclaimer

Please note that this radar is a reduced view of the associated benchmark. If you notice that a cyber awareness player you know is missing from this radar, contact us so we can evaluate and add them.

Acknowledgements

We would like to thank Guillaume MASSEBOEUF for his contribution to this radar.

Cet article 2025 cybersecurity awareness solutions radar: how can I find the right solution for my needs? est apparu en premier sur RiskInsight.

Given that human-risk remains significant, with human error accounting for 82% of data breaches according to the 2022 Verizon Data Breach Investigations Report, no wonder CISOs across European organizations are aiming for the most innovative and ground-breaking activities during this crucial time of the year.

Once key risks have been identified, it’s go-time: spread priority secure behaviors throughout your organization using the ultimate medium: gamification.

Fail to play, fail the Cyber Month game

From football matches to Monopoly fights, there is a game for everyone, and whichever your preference goes to, the chosen one will always elicit enthusiasm.

It is then only logical that when meeting an opportunity to learn secure behaviors, employees will favor a game rather than an e-learning that they will have to – let’s face it – painfully sit through.

Gamification is a winner, and although there are many reasons behind this fact, we have selected seven striking pieces of rationale that will shed a light on the benefits that gamification presents in a learning environment.

Gamification increases engagement dramatically

To feel involved in an activity, and therefore reach the holy grail component of attention, interactivity is key.

Games require action from the participant, which transforms the latter into a moving cog of their own learning process.

Additionally, the element of competition, whether between teams or against a fictitious villain, present in games serves as a powerful motivator, further promoting engagement.

Practice beats theory in a learning context

Practice accounts for 70% of the learning process. Why so? Because practice allows to make the materials tangible and embed them into real-life situations, that employees can directly link to their everyday practices.

Feedback and rewards stimulate positive behaviors

Games imply prizes and rewards to be earned. Not only does it contribute to foster motivation, but it also allows employees to access direct positive feedback about their actions and decisions, which comes with a sense of accomplishment and progress, further embedding the targeted secure behavior.

Games revamp the image of your cyber team

Cyberawareness games have the power to shift the perception that staff hold of your cyber team. Indeed, cybersecurity may seem like an obscure and complex area for many employees.

Offering games helps to make security concepts more tangible, accessible, and applicable into everyday life.

Further, if they are held in-person, they allow your cyber team to gain visibility with end-users and bring a sense of recognition and trust, which in turn will boost the impact of future awareness actions.

Learning together increases team cohesion

As if learning more effectively wasn’t enough, gamification also offers the valuable benefit of boosting team spirit.

Many awareness games provide the opportunity to work collaboratively to attain success. This way, employees leave with fond memories and appreciation on top of precious security tips.

Games allow repetition of security messages in novel and fun ways

When aiming to embed secure behaviors across an organization, repetition is crucial to ensure integration and implementation.

However, repeating awareness communications through the same channels may decrease the attention that employees pay to them.

Games constitute an innovative and enjoyable experience to reinforce security messages, making them stick over time.

Bonus: You collect valuable feedback and inputs from end-users

By interacting with staff through awareness games, your cyber team gets the unique opportunity to collect information on the most urgent security questions that employees ask themselves and uncover which are their biggest challenges in terms of security in their daily activities. This feedback is then useful to prioritise future awareness messages and review or implement processes to facilitate employees’ work life. For example, if staff repeatedly bring up the fact that they may see suspicious-looking emails but don’t know how to report them, this may lead to a special awareness campaign meant to remind employees of the way to report phishing emails, and the implementation of a phishing report button to facilitate the reporting process.

Leveraging gamification: The musts for organizing successful awareness games

Prior to establishing the success factors of an awareness game, let’s pinpoint what makes a fruitful one.

In order to prove truly effective, an awareness game should see its participants leave the activity with a clear idea of the security behaviors that they will change in their own office life.

To achieve this goal, we have identified a set of five key criteria:

A solid game will cover a priority awareness topic, based on the risks identified for the organization and ranked accordingly.

Then, the right level of complexity must be found, based on the level of knowledge of your staff.

Staff who already have a high level of maturity in terms of security behaviors will – at best – not learn anything new during an easy game, and – at worst – be bored or resentful towards the security awareness team for taking away some of their working time to cover elements they already know.

The reverse scenario would also be problematic: confronting beginner staff with a difficult game would only leave them confused.

Having an understanding of the level of security maturity of your target audience is therefore key to adapt the game for optimal results.

Thirdly, the game must have at its center a compelling story. The scenario must be intriguing and should unfold seamlessly. Additionally, it should be adapted to the context of the organization so participants relate to the events happening in the game.

To truly catch, and most importantly, retain employees’ attention, the game will have a strong focus on interactivity. Interactions can happen between the game master(s) and the players, but also between players themselves when collaborating in the context of the activity.

To further exploit this concept, the game may stimulate the 5 senses to render it even more engaging and immersive.

The final key element to an effective game resides in providing a good incentive. Again, there are multiple ways to achieve this: you can for example establish a scoring system to foster playful competition between teams, and implement rewards. Rewards may come in the form of goodies, prizes such as individual or team experiences, or even donations to the charitable organization of the participants’ choice. A solid incentive will boost voluntary participation to the activity, and a decision to participate that comes from the genuine willingness of staff will also be synonymous with higher motivation and involvement in the game for better retention of the shared secure behaviors.

Which awareness game is made for you?

To make your Cyber Month gamification dreams come true, let’s jump from theory to practice!

Take the quiz below to find out which cyberawareness game is tailored to your needs and objectives for maximal impact.

Loading…

Cet article How to activate gamification for an impactful Cyber Month est apparu en premier sur RiskInsight.

In a never-ending quest to find innovative ways to raise awareness on cybersecurity topics, the Wavestone team might have very well unearthed the new golden nugget.

Tested and approved by hundreds of our clients’ employees, read on to find out the secret recipe that makes cybersecurity best practices so easy to digest. 

Employees are assembled into teams of four or five participants. 

The mission starts with a 10-minute briefing where they receive a lightning-fast training to become agents, and step into the shoes of hackers to perform their mission – should they accept it. 

They are then given 15 minutes to uncover as many confidential documents as they will find in their fictional target’s office. The game elaborately weaves in clues of varying difficulty level related to key security topics, including passwords, physical security, and social engineering to name a few. 

Finally, participants come out of their adventure eyes bright and laughing, enthusiastic to move on to a 15-minute debriefing, where best cybersecurity practices are explained. 

In the end, the activity mobilizes employees for a mere 40 minutes, which pass by in a flash, and leaves them motivated to implement concrete actions to protect their organization.

Gamification never disappoints  

Quite a few years might have passed since you and the members of your organization ran around your school’s playground, but one thing remains the same: games are still a unanimously popular way to learn. 

Through gamification, people become actors, instead of spectators, of the learning process and embody the principles that you aim to instill in them. Keeping in mind that practice makes up 70% of the learning process, that is an opportunity that is hard to pass by.

When adopting an active posture, participants get immersed in the activity, and they do not even realize that they are acquiring precious skills that will serve them and their organization’s security well for years to come. 

Spice it up with competition 

What do football, chess, and Monopoly have in common? Besides the fact that they are all games, they also include an element of competition. 

In the context of a challenge, competition acts as a strong motivator and a driver to perform. Add a fun and safe environment to the mix, and you have yourself a perfect combination to tremendously boost engagement. 

Our cyber escape game includes a smart scoring system, so teams feel driven to reach the highest score, and you can gather information on overall performance. That’s what we call a win-win. 

The more the merrier 

When faced with a puzzle to solve, who would be against a little bit of help? 

Indeed, completing an exercise on one’s own can be daunting, if not just plain lonely.  

As part of a cyber escape game, people are encouraged to collaborate to solve clues. Teamwork then makes the challenge even more fun as creative ideas to break codes burst and are implemented, rendering their success all the more rewarding. 

Bring the human touch to learning experiences 

To complement online training initiatives, providing staff with a way to engage in-person with cybersecurity experts allows to go the extra mile in accompanying them on their learning journey. 

Indeed, this format promotes live discussions and gives people the opportunity to receive personalized answers to their specific questions related to security.

The result? Employees coming out of the activity with advice that precisely solves their pain points. 

Not only is the format of the cyber escape game particularly appreciated by employees, it also presents multiple advantages for your organization in terms of implementation. 

Take it from the Wavestone team !

Over the course of the month of October 2022, Wavestone Belgium carried out +100 cyber escape games sessions with +400 players across 6 countries.  

As training sessions last 40 minutes each, up to 45 collaborators can be trained in one day, maximizing time-efficiency. 

Further, customization is at the core of our approach, with a debriefing that exposes concrete ways to apply the best security practices that are most crucial to your organization.

Although we could keep on enumerating the benefits that a cyber escape game can bring to an entity’s security, a game is still worth a thousand words.

Curious to understand how the cyber escape game leaves employees asking for another serving of awareness activities? Get in touch with our expert Thomas Vo Dinh to organize a free session.

See you on the other side, agent

Cet article Cracking the recipe: making employees hungry for more cyber awareness activities est apparu en premier sur RiskInsight.

Yes, experts are not exempt from awareness initiatives… let me tell you a story, I’m hoping that it will help you to get the message across to your organization.

It all started on a Tuesday at 3:34 pm. I received a WhatsApp from my CEO (or that’s what I think at the time!). The message read:

“Hi Noémie, are you available? I need to talk with you about a confidential acquisition in Belgium. Pascal”.

I picked up the message 10 minutes later and replied that I could free up my time and have that call. In my head, I asked myself a few questions: an acquisition, but who could it be? at what stage of the discussions are they? our priority areas are the US and UK, so it would be a bigger firm?… In short, the stress level was rising but I wanted to know more. At this stage, nothing indicated the slightest hint of a fraud or scam and I didn’t see any particular risk. I was more intrigued by the opportunity…

 2 minutes after my message, the following answer appeared:

“No need, but I will need you to prepare a transfer quickly, I will send you the bank information in a few minutes. Thanks”

At that moment, it all clicked into place. One thing was clear: it was a trap! It was urgent that I did nothing

I then decided to investigate because something wasn’t right in this situation:

• The phone number of the WhatsApp contact was not the one I have in my phonebook
• The photo is indeed Pascal’s but it’s a common photo, so easy to get

I then sent 2 messages in parallel:

• The first one to my CEO, to the number registered in my directory. I took a screenshot of the WhatsApp discussion and asked him “Hello Pascal, obviously it’s not you! Can you confirm?”
• The second was to the mystery sender on WhatsApp: “Are you testing me?”

The response on WhatsApp soon arrived, “Well done!”, and a more comprehensive message then followed which clarified:

• This was a campaign to raise awareness about Fake President Fraud.
• That the cases are unfortunately frequent and that several attackers have tried to impersonate a member of the executive management, by SMS, social networks or email by simply changing a photo or name
• What Fake President Fraud is and the objective of the attackers: to make you believe that they have a priority and confidential matter for you to deal with, such as an acquisition, which requires an urgent payment out of the normal processes.
• Rules to follow in case of an attack, clues to thwart attacks, and the security contact to alert.

As you can see, this story has a happy ending. In the cold light of day, you might think that it is quite simple to thwart the attack, but unfortunately that is not always the case.   

Beyond the example, it is the management of emotions that I want to emphasise. This exercise was well done and very credible; it first gave me confidence with an important request but without asking me to take any risky or suspicious actions. The importance of the request generated questions and a little stress – emotions I needed to master in order to keep my decisions and actions logical and reasonable. I am personally familiar with this subject; I know the theory, but I assure you that the real-life situation was very different! I now know that a flood of emotions appears (although they won’t be so new next time!), but I am reassured that my common sense allowed me to keep a level head and investigate without rushing. I thanked my CISO after the exercise – I understand the benefits of practice and this experience was a good test, especially for those experts who may feel safe as they know what to do (to be clear: I don’t put myself in that category!). It tested in a very realistic way whether they would know how to put the theory into practice and recognise the messages for what they were: a scam.

Training your people, even the experts, allows them to be better, to be ready (although not necessarily to be perfect!), because the situation will no longer be new, and the emotions will not be unknown… To shine on the big day, preparation is an essential ingredient, and this is true for everyone!

Summary

Some key elements of Fake President Fraud:

• Confidence building (photo, tone of voice, choice of words, etc.) by the attacker or climate of authority
• Urgency, stress: emotions that create pressure and disturb lucidity
• Demand for unusual, abnormal actions to be carried out within a short period of time

Cet article Fake President Fraud: almost caught me out! est apparu en premier sur RiskInsight.

ORGANISING A CYBER CRISIS EXERCISE IN A LARGE COMPANY 

There are many reasons to organise a Cyber crisis exercise: evaluating the integration of Cyber security in the crisis management system, improving interactions between the different teams, and testing the capacity of the security division to make itself understood by top management. 

From a simple table-top process test to SOC/CERT training to a large-scale exercise involving dozens of crisis teams and months of preparation, the resources allocated to a crisis simulation vary greatly. This article focuses on the last category. 

WHAT’S A TYPICAL CRISIS EXERCISE? 

Looking at the figures, some of the largest crisis exercises in France have consisted of one day of activity, 150 people mobilised, 10-12 crisis teams in several countries, 30 facilitators, 20 observers and more than 300 stimuli. Being able to make a success of such an event requires both a high level of preparation and a very solid facilitation team on the D-day. 

One of the key issues found in these types of exercises is that there is only one take. It is therefore essential that ALL the actors take part in the game, and that the scenario involves all the participants. Preparation and facilitation are key in such exercises to make sure the time spent on the simulation is worthwhile.  

SIX MONTHS TO PREPARE 

1/ Selecting the attack scenario 

The first months of work are always devoted to the attack scenario. Ransomware, targeted fraud, attacking suppliers… the choice of weapons is large. In ambitious exercises, it is not rare to combine several attacks in one crisis: smoke screen launched by the attackers, identification of a second group during the investigation, etc. Whatever the scenario chosen, the key is to be as precise as possible: 

• What are the attackers’ motives? 
• What path of attack did they take? 
• When was the first intrusion? 

The exercise is long and preparation beforehand is needed, especially when 150 players investigate an attack for several hours. Spear-phishing, water holing, code compromise, privilege escalation: the vulnerabilities used by the fictitious attacker are not real, but they must be plausible and “validated” by technical accomplices throughout the preparation. Similarly, for business impacts, they should be reviewed with business specialists: the level of fraud at which the situation becomes critical, critical activities to be targeted as a priority, most sensitive customers, etc. The choice and involvement of accomplices are essential and they should be integrated into the coordination team on D-day.  

2/ Building the script of the exercise 

The script consists in defining minute by minute the information that will be communicated to the players. The calibration of the exercise rhythm is a complex point. The temptation to impose a strict rhythm is great to “master” the scenario but attention needs to be given to leave enough space for reflection.  

The start of the exercise is another complex point: should the scenario start directly in a crisis situation or on an alert that will test the general mobilization process? Most often than not, the second option is chosen. That way, the technical teams (CERT, SOC, IT…)  can be mobilised for the entire duration of the exercise. ExCom members should have their diary freed up during that day as well.  

3/ Preparation of the stimuli 

Technical reports, fake tweets, messages from worried customers, these are all useful stimuli for the players.  

Videos are often used to captivate. Indeed, nothing is more striking than a fake BBC report relaying the current attack (logo, board, etc. the more realistic the better). For more realism, videos of people “known” in the company (message from the CEO, interview of a factory boss, etc) can be used.  

The same goes for the technical side: the duration of the exercises often does not allow the players to carry out the technical investigations themselves, but they will ask a lot of the facilitators. Everything must be ready to avoid panic: Malware analysis reports, application log extracts, IP address lists, etc. 

As mentioned in the introduction, the most ambitious exercises may require the creation of 300 stimuli to get through the day and remain credible – is represents a lot of work.

D-DAY 

On D-Day, early morning, a meeting is organised with all the animation team and observers for the final adjustments. A few hours later, the observers will go to their crisis cells and start the players’ briefing. 

1/ Starting on a good basis 

For many players, this may be their first exercise. The briefing is therefore essential to avoid confusion between fictional and real-life events:  

• Players call the police in the middle of the exercise

• The players contact a mailing list of 400 people without specifying that it is an exercise

• Real customers be called to be reassured

• A production site is neutralized “by prevention”

To avoid such situations, it is essential to iron out the rules of the game during the briefing: the players must communicate with each other, but they must go through the facilitation unit to contact external stakeholders. Throughout the day, the facilitators and accomplices in each team find themselves in the shoes of a client, a technical expert, a CEO, or a regulator, according to the players’ requests.  

2/ Rely on an efficient facilitation team 

The sequence of events depends on the efficiency of the animation cell. A successful exercise includes a lot of improvisation on the day. Stimuli may have to be readjusted according to the reactions of the players, the score is never fixed and the facilitation cell will be put to the test on the day of the exercise. The largest crisis exercises have particularly professional crisis management teams, including the head of the facilitators, PMO, technical manager, business manager, call management centre, etc.  

We suggest not to take any risks on D-Day and to recreate teams that are used to working together and know each other. Doing so is the best way to gain time that will prevent the organisation team from going into crisis itself. 

Cet article Organise a cyber crisis exercise in a large company est apparu en premier sur RiskInsight.

Aujourd’hui, l’enjeu majeur de la cybersécurité réside essentiellement dans la formation des collaborateurs. L’erreur humaine est impliquée dans plus de 90 % des incidents de sécurité (clic sur un lien de phishing, consultation d’un site Web suspect, activation de virus ou autres menaces persistantes avancées).

Il devient urgent de trouver des moyens efficaces afin de former chaque collaborateur. Pour ce faire, le numérique reste le format idéal pour parvenir à sensibiliser rapidement le maximum de personnes au sein des entreprises.

Dès lors, quels outils peuvent être mis en place afin d’impliquer différents publics, dans cette période où la transformation digitale bouleverse les codes ?

Le rapport au distanciel

Jusqu’à aujourd’hui, il était habituel de faire des actions de sensibilisation au travers d’interventions physiques. Mais au vu de la situation sanitaire, il devient très compliqué d’organiser des sessions en présentiel.

Les actions et jeux de sensibilisation utilisant des cartes ou des plateaux sont difficiles à virtualiser. En revanche, les Escape Games sont plutôt simples à développer sous format digital. Des outils comme Genially ou Bfast accélèrent la création de jeux en ligne grâce à leur facilité de prise en main. En quelques dizaines de jour, il devient possible de créer un jeu sur mesure en fonction des besoins de sensibilisation.

L’avantage du format numérique se trouve dans la simplicité à adapter/changer/mettre à jour les outils. Ainsi, les outils développés sous format numérique seront toujours à l’ordre du jour et même spécialement adaptés pour une occasion particulière.

Adapter les outils au public

La clé pour plaire à tout le monde c’est de s’adapter à tout le monde.

Il n’est pas possible de créer 1 seul outil qui conviendra à toutes les populations visées par votre campagne de sensibilisation. Le but est d’avoir plusieurs outils différents ou bien de pouvoir adapter facilement l’outil à chaque nouvelle population cible.

Si l’on reprend l’exemple de l’Escape Game, le format numérique permet de créer plusieurs jeux de différents niveaux. En gardant le même scénario, il est possible de modifier le nombre d’énigmes, d’ajouter des indices ou encore de rallonger le temps de jeu afin de l’adapter au degré de connaissance des joueurs. Le tout en quelques clics.

Le format numérique: une sensibilisation à moindre coût

Les budgets affectés à la cybersécurité et à la sensibilisation des collaborateurs sont souvent trop faibles par rapport aux besoins des entreprises. Malgré tout, il existe des moyens de sensibiliser les collaborateurs à faible coût.

La transformation digitale s’opère aussi dans l’éducation. De nombreux sites et plateformes en ligne permettent de créer des présentations et jeux ludiques rapidement. Genially, une plateforme de création de contenu interactif, est un bon moyen de créer ce genre d’outil. Très facile à prendre en main, son utilisation ne nécessite aucun savoir-faire particulier.

Aujourd’hui, la création d’un escape game en ligne est réalisable en 30 jours par un seul développeur. Ces 30 jours comprennent la phase de réflexion autour du scénario, le développement du jeu ainsi que les phases de test.

Un dernier avantage, et non des moindres, se trouve dans l’efficacité du jeu digital. Grâce à la version numérique de l’escape game, plus besoin d’animateur et de créneau pour chaque session. L’accès au jeu se fait par un lien, disponible à tout moment. Ainsi, former 1 ou 1000 collaborateurs revient au même prix.

La sensibilisation du futur se joue essentiellement sur l’approche numérique. Avec un développement rapide, à faible coût, adaptable à tous les niveaux et faisable à distance, l’Escape Game digital sera bientôt le nouvel outil phare des campagnes de sensibilisation.

Cet article Comment concevoir la sensibilisation du futur ? est apparu en premier sur RiskInsight.

Today, the major challenge of cybersecurity lies essentially in the training of employees. Human error is involved in more than 90% of security incidents (clicking on a phishing link, visiting a suspicious website, activating viruses or other advanced persistent threats).

There is an urgent need to find effective ways to train every employee. To this end, digital remains the ideal format to quickly reach the maximum number of people within companies.

So what tools can be put in place to involve different audiences in this period when the digital transformation is shaking up codes?

The relationship to distance

Until today, it was usual to raise awareness through physical interventions. But given the health situation, it is becoming very complicated to organise face-to-face sessions.

Awareness-raising actions and games using cards or boards are difficult to virtualise. On the other hand, Escape Games are rather simple to develop in digital format. Tools such as Genially or Bfast speed up the creation of online games thanks to their ease of use. In just a few dozen days, it becomes possible to create a game tailored to the needs of awareness.

The advantage of the digital format lies in the simplicity of adapting/changing/updating the tools. Thus, the tools developed in digital format will always be on the agenda and even specially adapted for a particular occasion.

Adapting the tools to the public

The key to appealing to everyone is to adapt to everyone.

It is not possible to create 1 single tool that will suit all the populations targeted by your awareness campaign. The goal is to have several different tools or to be able to easily adapt the tool to each new target population.

If we take the example of the Escape Game, the digital format makes it possible to create several games at different levels. By keeping the same scenario, it is possible to modify the number of riddles, add clues or even extend the game time to adapt it to the level of knowledge of the players. All in just a few clicks.

The digital format: raising awareness at lower cost

Budgets allocated to cyber security and employee awareness are often too small in relation to the needs of companies. Nevertheless, there are ways to raise employee awareness at low cost.

The digital transformation is also taking place in education. Numerous websites and online platforms make it possible to create fun presentations and games quickly. Genially, an interactive content creation platform, is a good way to create this kind of tool. It is very easy to use and does not require any special know-how.

Today, the creation of an online escape game can be done in 30 days by a single developer. These 30 days include the reflection phase around the scenario, the development of the game as well as the test phases.

Last but not least, a last but not least advantage is the efficiency of the digital game. Thanks to the digital version of the escape game, there is no need for a facilitator and a time slot for each session. Access to the game is via a link, available at all times. Thus, training 1 or 1000 employees costs the same.

Raising awareness of the future is essentially based on the digital approach. With rapid development, low cost, adaptable to all levels and remotely feasible, the digital Escape Game will soon be the new flagship tool for awareness campaigns.

Cet article How to design the awareness of the future? est apparu en premier sur RiskInsight.

After having made several dozen speeches to executive committees, audit committees and boards of directors, I wanted to share with you the essential steps for advancing the relationship over the long term. The first phase of this trip should make it possible to create an initial contact and raise the EXCOM’s awareness on cybersecurity issues. First step, awareness! The objective for these sessions is often to manage to attract attention so as to be able to trigger further reflection within the organization. Later on, we will see the following steps: presenting a balance sheet, obtaining a budget, monitoring the progress on the security level…

An essential prerequisite, knowing where you are starting from and who you are going to deal with

This may seem like a cliché, but it is certainly the most important element before going to meet an executive committee or a board of directors. Thanks to its wide media coverage, cybersecurity is often already present in executives’ minds. But their degree of digital literacy and their level of appetite for the topic can completely change the way the topic is raised. Will it be necessary to be very didactic (going so far as to re-explain the principle of data, applications, if any) or will it be necessary to immediately address complex points such as the latest attacks observed and their methodologies? You would be surprised to see the diversity of levels between companies, but also within the same EXCOM. And it is necessary to interest each of the stakeholders, at the cost of having comments that are not very helpful during the intervention.

It is therefore important to prepare this first meeting by talking with other members of the ECOM their deputies or with people familiar with this forum to determine the tone to be adopted and the level of the speech to be given. Obviously, the operating rules will also have to be known: is it common for questions to be asked as they arise? Can a member be questioned? Should subjects relating to the company be raised from the outset? Plan to clear the ground upstream! And even if there is no perfect recipe, I will give you below the elements I use most often to make these meetings useful and effective.

To start, draw the attention by revealing the behind-the-scenes of an attack…

The topics quickly follow one another during the EXCOM. The directors think very, very quickly, so it is necessary to be concrete and to give food for thought and experience. The element that I find most effective consists in presenting a recent attack, published in the press or having affected the sector, and deciphering the stakes and the background: what is the timeframe? what motivation for the attackers? what weaknesses in the company? what is the reaction internally? publicly? with the authorities? This will have the effect of mentally projecting the directors concerned into their role as if they were going through the same thing. We at Wavestone are fortunate enough to frequently manage major cyber crises and we use these elements, both as a benchmark but also by anonymizing them or in agreement with the victims, to give a very concrete meaning to our feedback.

Follow-up with a generalization about cybercrime

An case is good to understand, but it doesn’t explain everything! After zooming in on a case, it is a question of generalizing it by explaining what are the mainsprings cybercriminality ways of proceeding. We then analyze the motivations of criminal groups, their organizations, but also and perhaps above all how they make money!

For an EXCOM to know that it is a DDoS attack or ransomware that has done damage is of little interest, it is especially important to show them that cybercriminal activities are profitable, even very profitable. We have calculated the ROI of several types of attacks and I can tell you that when you explain a 600% profitable attack like a ransomware, the eyes of the directors are wide open. We then highlight very concretely why their structure could be attacked and especially how much money the criminals would make. This often puts an end to the question “but why would we be targeted by an attack? We’re not known/we’re small/we don’t do anything strategic”.

Explain the company’s current situation in concrete terms

This is the right time to present the company’s IT posture and its current organization in terms of security. It is then a question of presenting it simply, with clear and meaningful images: are you rather in an old-fashioned “fortress” model? Or have you already opened your doors as a result of the digital transformation and have you adopted a porch model where security is reinforced the further you go towards critical systems? This will help to make the situation more concrete.

After this phase of mobilization and explanation, comes naturally the phase of questioning by the members of the executive committee. “But then, where are we now, or are we facing this risk of a cyberattack? ». Faced with this question, either you are lucky enough to have a detailed maturity assessment and you can present it immediately, or you can bring in initial qualitative or even partial quantitative elements and explain that today you need to have more visibility. The elements that speak for themselves are the latest audit reports, the latest incidents, budgetary elements.

If it is difficult at the beginning of the process to talk about the budget and to compare oneself because of a lack of data, it is possible to use a simple and effective indicator, that of your staff dedicated to cybersecurity. We have a database on this point and we can quickly show a EXCOM where it is just by mobilizing its HR. It’s simple and effective to convince them!

Don’t leave emprty-handed

The major risk of this awareness is that everything goes well but nothing moves. Indeed, you may have a positive message, “thank you and see you in a year for an update”, you will be happy but you will not have helped cybersecurity situation moving forward. It is then necessary to prepare the next step by indicating from this presentation the main points of weakness or strength felt and how you would like to evaluate them more precisely.

Indeed, the second step is often the realization of a dedicated maturity assessment in order to know how to position yourself! If at this point the meeting has taken place, the EXCOM, intrigued and interested in the topic, will want to know more and will give an agreement in principle. Beware that this may not be a budget directly, it will certainly refer you to the CIO or the Risk Director to get it, but with their agreement you will have a great lever to move on to the next step! See you on the next episode.

Cet article Creating a relationship of trust with the EXCOM: first step, raising awareness! est apparu en premier sur RiskInsight.

However, it is a difficult exercise to raise their awareness to security risk and to teach them good practices. Headache for CISOs, lack of interest or even state of tension from end-users interpreting security measures as restrictions. Ways to raise awareness on information security must evolve continuously.

Is an escape game the way to bring end-users and cybersecurity back together?

A fun approach to raise awareness among end-users

Like any classic escape game, the game master welcomes players and introduces the game’s context and rules. They get into the game’s room where they have to reach their goals in a limited time.

During the game, the game master follows remotely the team progress and gives clues if the players encounter difficulties.

At the end, the game master performs a debriefing. He goes through the different bad security practices used by the team during the game and remind them the good security practices.

 Goals to be reached during the game depends on the scenario. It can be:

• Someone pretending to apply for a job that will search the desk of the R&D director of a competitor company to steal the design and technical details of a new product.
• A hacker forcing people to steal classified documents and to do bank payments within their own company by threatening them to reveal private sensitive information.
• Someone using the opportunity of an invitation at their CEO’s home to steal evidence of their involvement in misappropriation of funds.

Which awareness areas are raised?

An escape game enables to raise awareness on different topics:

Let us take as example the “Password” area. The game will expose players to bad practices they will have to leverage to reach their goals:

• Straightforward password based on personal information (first name, last name, birthdate…),
• Passwords saved in Web browsers,
• Same passwords used for personal and professional life,
• Passwords written on a post-it.

Players will exploit themselves vulnerabilities set-up in the game and will get a better understanding of associated risks than if they had to read a policy.

Furthermore, the escape game will help them understand the part they have to play to avoid being unintentionally accomplice of a cyberattack. It means to have a cautious behavior like being discreet on social media, being careful when talking to someone new, having reflexes to identify phishing e-mail, shredding confidential papers, etc.

How to successfully build a cybersecurity escape game?

First, define the overall scenario: goals to be reached, roles taken by players and location of the game.

Then, design secondary objectives and the series of actions that will allow the players to reach the main goals. Let us take an example: to reach the goal “steal the confidential document of a product’s design”, players will have to:

• Rebuild a document torn apart manually from the trash,
• Use this document to find the answer of a secret question to reset a user password,
• Leverage the account hacked to connect to a SharePoint to fetch the confidential document.

A classic escape game is using clues / objects in unexpected hiding places. On the contrary, the idea of a cybersecurity escape game is to recreate real life circumstances that players will be able to reflect on their own working life.

It is important to adjust the difficulty level according to the people targeted. Clues must be comprehensible to people with no IT expertise if the escape game is targeting a large group of coworkers. On the contrary, clues must be more complex if the target is IT people. Like, having them do easy SQL injections on an application to access confidential data. The approach to use the SQL injection can be provided through a Web app thanks to a bookmark saved in a Web browser.

Finally, once everything is designed and ready, test sessions are required to refine the game and adjust when the game master needs to give clues. It is important that players reach all goals to ensure they see all security awareness topics expected.

A very effecient tool to be included in a global awareness strategy

Role-playing provided by escape game enable great awareness and ensure a good assimilation of messages. Players spontaneously create links between life experience and ones encountered during the game which allows rich debriefings: multiple discussions and players are engaged in depth in the topic approached.

Escape game does not replace other methods of awareness campaigns. It must be part of a global strategy which alternate actions with strong impact (but costly) and other cheaper actions (but with less impact) to allow continuous awareness with a controlled budget.

Finally, cybersecurity escape game is also an excellent teambuilding tool!

Cet article Is cybersecurity escape game the best way to raise awareness? est apparu en premier sur RiskInsight.

A campaign launch is all well, but how do you keep it going over time?

The creation of TRUST was not an end in itself, but a stepping-stone for the future.

At the start of the project, we immediately envisaged the annual pace of our two awareness plans.

Two, because we had to keep in mind that we were raising awareness for two distinct populations: newcomers and existing employees.

For newcomers, the solution is simple: plan the launch of all existing TRUST resources over one year to space out messages.

For all other employees, it’s more complex. How to get the messages across again without giving a feeling of déjà vu, fatigue or even an overdose?

We have therefore organized our awareness plan with 3 major initiatives spaced out over time.

A new monthly meeting: The Trust minute

A one-minute film broadcasted on all our communication channels to present 5 different messages per month:

1. An example of an anonymous user or client incident
2. A Trustee, our security tool presented in the previous article
3. A security indicator (e.g. the percentage of new recruits who have completed e-learning, the number of those leaving the firm detected downloading documents before they leave). Sharing these indicators helps raising awareness and demonstrates that controls have been lifted.
4. A daily tip given by our friend Sofia
5. A popularized cyber news story

A new campaign of cybercoffee quizzes because it gets results

Of course, we must reinvent it, change the quizzes (but not necessarily the themes) and change the prize? All of this is easy and requires little preparation. Admittedly, this period of lockdown slightly challenged our initial plan. But it has been an opportunity to be creative and to release, in partnership with my colleagues in the Cybersecurity & Digital Trust practice, the new #TotalCyberAwakening video series about lockdown.

An annual global event in October during Cyber Security Month

In 2019, we organized a firm-wide competition on the theme of protecting personal digital information.

Every week, all employees received a question by email which they could answer directly via option buttons (sending a multiple-choice approval via Power Automate). Depending on their answer, they received a second email with the answer and the various tips associated to be used on a personal basis.

Answering a question and getting a correct answer would help contributing to a Euro prize fund. More than €2,100 was donated to the ISSA association, an association which Wavestone has partnered with to promote cybersecurity among schools and children.

This first game, based entirely on voluntary participation, enabled us to reach more than a third of Wavestone’s employees.

We are already preparing for next October’s initiative and this time we will go further with videos, games, meetings, quizzes under a global theme inspired by a famous TV series. What if this time, the new threat of Wavestone was the return of the White Walkers?

6 key elements to keep in mind

To sum up, the key elements for creating a successful awareness program are as follows:

1. Set achievable goals
2. Define a common thread (a theme, a brand) that will allow users to easily associate your messages with security
3. Define a short list of messages to be communicated and stick to it
4. Diversify the media and channels (posters, films, emails, e-learning, games) but always keep at least one event to meet the users
5. First use the tools already at your disposal (PowerPoint, emails, PowerAutomate) before acquiring new interesting solutions if needed, but not necessarily a priority to get started
6. Be creative and use humor to get your messages across (however, culture differences may have an impact in case of an international group)

Cet article The creation of Wavestone’s new internal awareness program (2/2) est apparu en premier sur RiskInsight.

Un lancement de campagne c’est bien, mais comment tenir dans la durée ?

La création de TRUST n’a pas été une finalité, mais un tremplin pour la suite.

Au démarrage du projet, nous avions tout de suite imaginé quel serait le rythme annuel de nos 2 plans de sensibilisation.

Nous devions avoir en tête de gérer la sensibilisation de 2 populations distinctes : les nouveaux et les anciens collaborateurs.

Pour les nouveaux, la solution est simple : planifier le lancement de tous les supports TRUST existants sur une année pour espacer les messages.

Pour tous les autres collaborateurs, c’est plus complexe. Comment faire à nouveau passer les messages sans donner un sentiment de déjà vu, de lassitude, voire d’overdose ?

Nous avons donc organisé notre plan de sensibilisation avec 3 grandes actions espacées temporellement.

Un nouveau rendez-vous mensuel : The Trust minute

Un film d’une minute diffusé sur tous nos canaux de communications pour présenter 5 messages différents par mois :

1. Un exemple anonymisé d’incident utilisateur ou avec un client
2. Un Trustee, nos outils de sécurité présentés dans l’article précédent
3. Un indicateur de sécurité (ex : le pourcentage de nouveaux ayant réalisé le e-learning, le nombre de démissionnaires détectés à télécharger des documents avant leur départ). Le fait de partager ces indicateurs permet de sensibiliser sur la problématique et de démontrer l’existence des contrôles.
4. Une astuce du quotidien donnée par notre amie Sofia
5. Une actualité cyber vulgarisée

Une nouvelle campagne de cybercoffee quizz car le résultat est au rendez-vous.

Evidemment, il faut se renouveler, changer les questionnaires (mais pas forcément les thèmes), changer le goodie, mais tout cela est facile et demande peu de préparation. Certes, je vous l’avoue, cette période de confinement a légèrement remis en cause notre plan initial. Cependant, cela a été l’occasion d’être imaginatif et de sortir, en partenariat avec mes collègues de la practice Cybersécurité & Digital Trust, la nouvelle série en vidéo TotalCyberAwakening sur le confinement.

Un évènement global annuel en octobre lors du mois de la cybersécurité.

En 2019, nous avions organisé un jeu concours à l’échelle du cabinet sur le thème de la protection de la vie numérique personnelle.

Chaque semaine, tous les collaborateurs recevaient une question par mail à laquelle ils pouvaient répondre directement via des boutons de choix (envoi d’une approbation à choix multiples via Power Automate). En fonction de leur réponse, ils recevaient un second email leur annonçant la réponse et différents conseils associés à utiliser à titre personnel.

La participation à une question et une bonne réponse alimentaient une cagnotte en euros. Plus de 2100€ ont ainsi été reversés à l’association ISSA à laquelle Wavestone s’est associée pour promouvoir la cybersécurité auprès des écoles et des enfants.

Ce premier jeu sur base de volontariat nous a permis d’atteindre plus d’un tiers des collaborateurs de Wavestone.

Nous sommes déjà en train de préparer celui d’octobre prochain et cette fois-ci nous irons plus loin, avec des vidéos, des jeux, des rencontres, des quizz sous un thème global inspiré d’une célèbre série TV. Et si cette fois-ci la nouvelle menace de Wavestone était le retour des marcheurs blancs ?

6 éléments clés à retenir

Pour résumer, les éléments clés de succès pour la création d’un programme de sensibilisation réussi sont les suivants :

1. Se fixer des objectifs chiffrables et atteignables
2. Définir un fil rouge (un thème, une marque) qui va permettre aux utilisateurs d’associer facilement vos messages à la sécurité
3. Définir une courte liste de messages à faire passer et s’y tenir
4. Diversifier les supports et les canaux (affiches, films, mails, e-learning, jeux) mais toujours conserver au moins un évènement permettant d’aller à la rencontre des utilisateurs
5. Utiliser dans un premier temps les outils déjà à votre disposition (PowerPoint, mails, PowerAutomate) avant d’acquérir si besoin de nouvelles solutions intéressantes mais pas forcément prioritaires pour démarrer
6. Faire preuve de créativité et utiliser l’humour pour faire passer vos messages (attention toutefois à prendre en compte les différences de culture dans le cadre d’un groupe international)

Cet article Récit de la création du nouveau programme de sensibilisation interne de Wavestone (2/2) est apparu en premier sur RiskInsight.

A year ago, the idea of TRUST was born, the name of the new awareness program at Wavestone. My team and I spent a year thinking about and developing a whole new strategy to raise awareness among Wavestone employees. Wavestone has 3,500 employees in 8 countries, whose main job is consulting (but not only!), rather young (but not only!), who know about IT and cybersecurity (but not only!).

This anniversary was an opportunity to reflect on the results and think about what we are going to do next. In view of the very positive feedback that I have received from our employees, I consider this program to be a success in terms of our objectives and I would therefore like to share it with you to explain how it is possible to build a program and develop materials without necessarily having an enormous budget. In a nutshell, awareness-raising is within the reach of every company, even the smallest.

It all starts with a review and objectives

The assessment at the beginning of 2019 was simple: for several years, I had already developed various awareness-raising tools: a virtual character (Sofia), an e-learning module, phishing campaigns, a very stylish user charter (but I am not fooled by its actual read rate), videos, an Intranet page, awareness-raising emails, security tools available to users… but then why did our users always continue to act as if they didn’t know?

At the same time, within the framework of the Wavestone 2021 strategic plan and its aim to position the firm in the top 3 of its category in terms of CSR, we have set ourselves the objective of being a trusted partner with 100% of our employees being aware of data protection issues.

100%! At the beginning of 2019, I only had a 70% participation rate of employees in e-learning safety.

But then how? What more could I do?

After several group sessions and one or two sleepless nights, the ideas were there:

Our various actions were too diverse, a common thread was missing: a brand!

A digital format is a good thing, but there is no substitute for a verbal discussion (we forget the traditional 2 hour face-to-face mandatory training for all newcomers, which is very time consuming and has a limited impact due to the large number of messages addressed in the 2 hours. I have led so many of them as a consultant).

We always talk about risk and threat, but employees need more practical examples that are well adapted to their company’s situation. What mistakes can they make on a daily basis and what would be the actual impact for Wavestone?

“Humor! We need humor!” Yes, but not always! Humor is a great tool to grab the attention of your target audience, to lure them in, to make them receptive to you… but what you really need is pragmatism!

It is difficult for the employee to ultimately know what to do with the many rules given. In the end, a large part of data protection remains the mission of IT management, by implementing protection tools, alerts and controls. For example: is it up to users to be more vigilant against phishing or malicious emails? For my part, I think it’s more up to the company:

1. to implement a better messaging protection solution,
2. a better EDR that will block the action of the faulty part,
3. to have solutions to avoid the spread of ransomware or data backups,
4. to have a multi-factor solution that will greatly reduce the use of stolen logins and passwords via a fake password reset email.

It is more important to work on limiting the impact of a malicious email that will always find a willing victim, rather than focusing energy on educating users on this topic.

Based on this observation, what are the messages I wanted to convey? What is really in the control of the Wavestone employee, and not IT management?

They can be summed up in 5 messages:

1. Transfer documents from your client ONLY WITH authorization:When you are a consulting firm whose employees spend so much time on your clients’ IS, the primary risk is a lack of awareness and the loss of a client because your employees have taken out sensitive documents to make it easier for them to work on their workstations, or with their project manager who does not have access to the client’s IS (at least not yet, which can often happen with long processes for providing access to client’s IS). This is not a security risk as such for Wavestone, but rather a risk of a client incident that is dealt with through data protection awareness.
2. Respect the project confidentiality procedure: the fundamentals! Comply with the instructions for handling client data. On the other hand, for it to be effective, this procedure must be very simple… no more than 2 or 3 rules.
3. Use security tools to protect data: as long as they are easy to use! We’ll talk about this later.
4. Store personal data only if necessary and process only for the intended purpose: you have to put a little GDPR message in the formula…
5. Think twice before opening an attachment, clicking on the web link, and working in transport and public places: “but you just told us it was the role of IT management!” Yes, sure, you’re right, but it doesn’t cost anything to add it at the end. Anyway, we always forget the last piece of advice!

5 messages. Perhaps the more visual among you have noticed… but the first letter of each line combines to form…

And here’s the TRUST brand that was born, with its logo, design, style guide and visuals.

We have the brand! Like any good marketing product, it must now be broken down into multiple promotional formats.

Once we had our central theme in terms of messages and visuals, all that remained was to communicate it, but not in a single action, in a series of actions linked to each other to simultaneously increase formats, channels and messages to different categories of users.

Production of the TRUST video. 5-minute film in 3 parts:

1. An introduction to set the scene with fictional press or radio articles presenting the consequences for Wavestone of a security incident (loss of clients, loss of turnover, stock market decline, etc.).
2. 5 messages: 5 humorous sketches including a Wavestone employee and a different CISO. What better than CISOs to play their own role? I was lucky that the CISOs of 2 CAC40 companies, a large French public company and a large English bank agreed to play the game in a humorous way. Many thanks again to them! Each consequence of the scene is then explained by the managing director of Wavestone, Mr Patrick HIRIGOYEN. Small video excerpt here.

3. Finally, a conclusion with a message from Mr. Pascal IMBERT, Chairman and Chief Executive Officer of Wavestone, as a more serious reminder of the risks involved for the firm and the need for each employee to feel committed and to apply the proposed measures.

We received a very good feedback from the employees on this humorous film, which was widely distributed through all the firm’s communication channels.

The TRUST brand was quickly identifiable. But this film was just for the launch, it needs more!

Creation of cybercoffee quizzes

The principle is simple: answer at least 3 security questions and get a free coffee and 1 goodies (a TRUST webcam cover for this year).

An excellent opportunity to meet employees at a time when they are open to discussion: during their coffee break.

For this, you need visuals: kakemonos, polo shirts, screens with the awareness film and 1 coffee machine with free coffee. You can’t miss us!

Every fortnight, my team would go to a different break room in our offices to introduce TRUST, get the staff playing and answer their questions. This initiative was greatly appreciated by the employees. Beyond the lure of winning, they were delighted that we took the time to explain to them individually things they didn’t know or didn’t know well and all the simple things that were available to them. “It’s not as complicated as it sounds!”

These quizzes, in the form of presentations at management meetings or team meetings in our various offices, enabled us to meet with more than 1,000 employees in person in 9 months, i.e. around 1/3 of our staff. Although time-consuming, this action remains one of the most impactful in terms of making ourselves known and getting our messages across.

Technical tip: it’s very easy to implement in practice:

• 3-question form, for us, made on Microsoft Forms,
• QR code displayed on a kakemono or a poster so that from its phone, the participant can easily access this form (just take out the camera, no application to install)
• Finally, a simple workflow (via Power Automate) to save the result in a database and automatically send a summary email to the participant with key messages and links to videos.

The score and corrections being displayed directly on the phone after confirmation, the facilitator can directly discuss with the participant to explain their mistakes and offer them their gift.

What if the security tools were superheroes?

“Encrypt your document”, “Protect your passwords”, “Encrypt your emails”… so many instructions given to users who, despite their good intentions, often find themselves saying “I want to, but how can I do it?”

We had a whole catalog of tools installed on the workstations and were available for employees, which were simply unknown to everyone. So, we had to bring them out of the shadows and into the spotlight to show their existence and their usefulness. That’s how our League of Trustees was born!

Each tool has its own superhero whose duty is to show our employees what they are used for and how easy it is to use them in less than 1 minute:

“I want to send a secure document to my client”: Encrypt it with 7zip!

“I want to protect the documents on my USB flash drive”: Encrypt it with BitlockerToGo, it’s on your computer!

Posters and short demonstration videos were used to communicate on our different channels and to present them during our Cybercoffee quizzes.

I wouldn’t say that they are now used every time, but at least they are better known and therefore are used more than they were before.

Technical tip: did you know that you don’t need professional software and a 5-year degree in audiovisuals to make short animated films?

There are tools such as Powtoon or Vyond that allow you to make awareness videos very easily with a whole series of characters or settings already proposed. In 1 to 2 days you can already make your first one-minute video. Quickly, you will only need half a day of editing. The most complex part is always the script writing, the duration of this step can be very varied depending on the message you want to convey, your context or requirements (it’s this last point that personally takes me a lot of time!).

For simpler films, including video clips and text, personally, my new video editing tool has become Microsoft PowerPoint! You all already know how to use it to put text, animations and transitions. All you have to do now is use the video insertion, screen recording and video export functions. 3 features that make your life easier because usually you always have to find third party tools to record your screen, cut them and convert videos.

You can even save your films in GIF format to integrate them directly into your awareness emails! No need to redirect your user to a video site!

The ultimate advantage is that you can have your videos edited by other people and modified afterwards by others without training because most of your employees know how to use PowerPoint. Creativity becomes your only limit.

3 new materials, that’s it?

As soon as our new materials were ready, we took the opportunity to bring our old awareness tools back to TRUST’s colours:

The e-learning for all new employees has been revamped with TRUST visuals by integrating the videos presented previously and refocusing the questions on our 5 messages. This more entertaining aspect enabled us to achieve our goal of having 100% of our new employees completing this e-learning programme by 2019. It is also thanks to good follow-up efforts and perseverance that this objective has been achieved! It’s not that easy getting 100%…

The Intranet page has also undergone a makeover to centralize all these resources and highlight the messages.

The security alerts for employees have also been rebranded under the TRUST brand. It should not be forgotten, but these alerts can be a great tool for raising awareness. Between the automatic email saying “We saw you, it’s not right, you’re going to be punished” and the prevention email sent by the awareness character explaining the right way to do things, the message gets across differently. And I strongly believe that it is more effective… the proof is in the observed decrease of these alerts since their implementation.

End of the first article… how to keep it going and my conclusion soon to be published in part 2.

Cet article The creation of Wavestone’s new internal awareness program (1/2) est apparu en premier sur RiskInsight.

Après avoir réalisé plusieurs dizaines d’interventions auprès de comité exécutif, de comités d’audit ou de conseil d’administration, je souhaitais partager avec vous les étapes essentielles pour faire progresser la relation dans la durée. La première phase de ce voyage devra permettre de créer un premier contact et à sensibiliser le comité exécutif aux enjeux de cybersécurité. Première étape, la sensibilisation ! L’objectif pour ces séances est souvent d’arriver à attirer l’attention pour pouvoir déclencher une réflexion plus approfondie dans l’organisation. Nous verrons plus tard les étapes suivantes : présenter un bilan, obtenir un budget, suivre la progression du niveau de sécurité…

Un pré-requis essentiel, savoir d’où l’on part et avec qui l’on va échanger !

Cela peut apparaitre comme un poncif, mais cet élément est certainement le plus important avant d’aller rencontrer un comité exécutif ou un conseil d’administration. Grâce à sa large couverture médiatique, le sujet de la cybersécurité est souvent déjà présent dans l’esprit des exécutifs. Mais leur degré de connaissance du numérique et leur niveau d’appétence pour le sujet peuvent changer complètement la manière d’aborder le sujet. Faudra-t-il être très didactique (en allant jusqu’à réexpliquer le principe de données, d’applications, si si) ou alors faudra-t-il tout de suite aborder des points complexes comme les dernières attaques observées et leurs méthodologies ? Vous seriez surpris de voir la diversité des niveaux entre les entreprises, mais aussi au sein d’un même COMEX. Et il est nécessaire d’intéresser chacun des acteurs, au prix d’avoir des commentaires peu amènes pendant l’intervention.

Il s’agit donc de bien préparer cette première réunion en échangeant avec d’autres membres du COMEX, leurs adjoints ou avec des personnes familières de cette enceinte pour déterminer le ton à adopter et le niveau du discours à tenir. Evidemment, les règles de fonctionnement devront aussi être connues : est-il courant que les questions soient posées au fil de l’eau ? Peut-on interpeller un membre ? Doit-on évoquer dès le début les sujets relatifs à l’entreprise ? Prévoyez de déminer le terrain en amont ! Et même s’il n’y a pas de recette parfaite, je vous livre ci-dessous les éléments que j’utilise le plus souvent pour faire de ces rencontres des moments utiles et efficaces.

Pour commencer, attirer l’attention en dévoilant les coulisses d’une attaque

Les sujets s’enchaînent rapidement durant les COMEX, les directeurs réfléchissent très très vite, il faut donc très rapidement être dans le concret et donner de la matière à réflexion, du vécu. L’élément que je trouve le plus efficace consiste à présenter une attaque récente, parue dans la presse ou ayant touché le secteur, et en décrypter les enjeux et les coulisses : quelle temporalité ? quelle motivation pour les attaquants ? quelles faiblesses dans l’entreprise ? quelle réaction en interne ? publique ? avec les autorités ? Cela aura pour effet de projeter mentalement les directeurs concernés dans leur rôle s’ils vivaient la même chose. Nous avons la chance chez Wavestone de gérer fréquemment des grandes crises cyber et nous utilisons ces éléments, à la fois sous forme de benchmark mais aussi en les anonymisant ou en accord avec les victimes, pour donner un sens très concret à nos retours d’expérience.

Enchaîner avec une généralisation sur la cybercriminalité

Une attaque, c’est bien mais ça n’explique pas tout ! Il s’agit après avoir zoomé sur un cas de le généraliser en expliquant quels sont les ressorts du fonctionnement de la cybercriminalité. Nous analysons alors les motivations des groupes criminels, leurs organisations, mais aussi et peut être surtout comment ils gagent de l’argent !

Expliquer concrètement où en est l’entreprise

C’est le bon moment pour présenter la posture IT de l’entreprise et son organisation actuelle en terme de sécurité. Il s’agit alors de la présenter simplement, avec des images claires et parlantes : êtes-vous plutôt dans un modèle « château fort » à l’ancienne ? Ou avez-vous déjà ouvert vos portes suite à la transformation numérique et avez-vous adopter un modèle porche de l’aéroport ou la sécurité est renforcée plus on va vers des systèmes critiques ? Cela permettra de concrétiser la situation.

Après cette phase de mobilisation et d’explication, vient naturellement la phase d’interrogation par les membres du comité exécutif. « Mais alors nous, nous en sommes ou face à ce risque de cyberattaque ? ». Face à cette question, soit vous avez la chance d’avoir un bilan de maturité fin et vous pouvez tout de suite le présenter, soit vous pouvez amener des premiers éléments qualitatifs voire quantitatifs partiels et expliquer qu’aujourd’hui vous avez besoin d’avoir plus de visibilité. Les éléments qui parlent sont les derniers rapports d’audits, les derniers incidents, des éléments budgétaires.

 

S’il est difficile au début de la démarche de parler budget et de se comparer car les données manquent, il est possible d’utiliser un indicateur simple et efficace, celui de vos effectifs dédiés à la cybersécurité. Nous disposons d’une base de données sur ce point et nous pouvons rapidement montrer à un COMEX où il en est rien que par sa mobilisation sur le plan RH. C’est simple et efficace pour les convaincre !

Ne pas repartir bredouille

Le risque majeur de cette sensibilisation, c’est que tout se passe bien mais que rien ne bouge ! En effet, vous pouvez avoir un message positif, « merci et rendez-vous dans un an pour une mise à jour », vous serez content mais vous n’aurez pas débloqué pour autant la situation. Il faut alors bien préparer l’étape d’après en indiquant dès cette présentation les principaux points de faiblesses ou de force ressenti et de quelle manière vous souhaiteriez les évaluer de manière plus précise.

En effet la deuxième étape est souvent la réalisation d’un bilan de maturité dédié pour bien savoir comment se positionner ! Si à ce moment, la réunion s’est déroulé, le COMEX intrigué et intéressé par le sujet voudra en savoir plus et donnera un accord de principe. Attention cela ne sera peut-être pas directement un budget, il vous renverra certainement vers le DSI ou le directeur des risques pour l’obtenir, mais vous aurez avec leur accord un levier formidable pour passer à l’étape d’après ! Rendez-vous au prochain épisode.

Cet article Créer une relation de confiance avec son comité exécutif : première étape, la sensibilisation ! est apparu en premier sur RiskInsight.

La prévention des risques cyber auprès des plus jeunes, mais aussi des parents, est un véritable enjeu de société. C’est pour apporter une nouvelle solution de sensibilisation et d’accompagnement que le Centre de la Cybersécurité pour les Jeunes (CCJ) et le cabinet de conseil Wavestone – avec la contribution de Cybermalveillance.gouv.fr – lancent le kit de jeu “1,2,3 CYBER!”, une initiative ludique et participative.

Une approche ludique pour sensibiliser les plus jeunes aux dangers du net

Face au constat de l’exposition croissante des plus jeunes aux multiples visages de la menace cyber, l’association « Centre de la Cybersécurité pour les Jeunes » (CCJ) s’est rapprochée du cabinet de conseil Wavestone au début de l’année 2019. L’objectif : relever le défi de la création d’un jeu destiné à sensibiliser les 11-14 ans aux dangers du net tout en s’amusant, mais également outiller les éducateurs et les parents pour un accompagnement adapté à cette tranche d’âge. De cette collaboration est né le jeu « 1, 2, 3 Cyber ! ».

1,2,3 CYBER – un jeu de sensibilisation des plus jeunes au risque cyber

Le jeu de société met en avant 35 thématiques clés telles que le cyberharcèlement, l’ami virtuel, la vie privée, le hameçonnage, les mots de passe, le signalement, le chantage, le challenge, la cellule d’écoute, sans oublier les fake news…. Une session, qui peut compter de 6 à 12 joueurs, dure environ 1h15 (l’introduction, le temps de jeu et le bilan).

Le jeu est inspiré du Time’s Up, souvent connu et apprécié par la population visée, et se déroule en trois manches. Le but étant, à chacune de ces manches, de faire deviner un maximum de mots inscrits sur les cartes mises à disposition.

• Lors de la première manche, les joueurs doivent user de leur voix pour faire deviner les mots inscrits sur la carte. Si le jeu est trop simple et que les joueurs sont particulièrement sachants en la matière, il est possible d’apporter une complication : trois mots sont inscrits sur la carte qu’il ne faut pas prononcer, et ce sous peine de pénalité.
• Lors de la deuxième manche, les joueurs doivent faire deviner les mots grâce au dessin. Pour cela, il vous est conseillé de vous munir d’ardoises / feutres véledas.
• Enfin lors de la troisième manche, les joueurs ne peuvent prononcer qu’un mot afin de faire deviner celui inscrit sur la carte.

Les mêmes cartes sont utilisées pour les trois parties, et le niveau de difficulté est croissant pour assurer la bonne appropriation des termes par tous les participants. En déroulant le jeu, il est possible que les participants rencontrent des difficultés pour faire deviner certains mots. C’est notamment le cas de hameçonnage, vie privée, etc. Pas de panique pour autant, la difficulté permet de s’imprégner davantage de leur signification et les jeunes trouvent toujours un moyen de s’en défaire (rébus, devinette, etc.).

L’animateur joue un rôle clé dans ce jeu : à la fin de chaque manche, celui-ci doit déboucher sur un moment d’échange sur plusieurs mots. Il devra ainsi faciliter les échanges avec et entre les joueurs, orienter les discussions pour en déduire les bonnes pratiques à adopter sur Internet. Pour ce faire, un livret est mis à sa disposition. Il contient les règles du jeu détaillées ainsi qu’un guide leur permettant de rebondir sur certains termes clés et les bonnes pratiques qui devront être partagées.

Un jeu testé en conditions réelles à diverses occasions

La période de mai à juillet a été l’occasion de tester le jeu en conditions réelles à plusieurs dizaines de reprises, auprès de plusieurs tranches d’âge, potentiels joueurs ou animateurs (11-14 ans, 15-18 ans, etc.). Un franc succès, tant auprès des joueurs que des animateurs rencontrés ! Jusque-là, nous sommes ravis de l’engouement des jeunes et des animateurs pour ce jeu. Les premières sessions de test nous ont conforté sur le format qui permet d’échanger librement sur les usages d’Internet et les bonnes pratiques associées.

Nous avons notamment pu constater que la sensibilisation effectuée dans les écoles ou par les diverses organisations portent leurs fruits : beaucoup de jeunes sont d’ores et déjà à l’aise avec certains termes inscrits sur les cartes, ce qui constitue une base solide au développement d’une meilleure hygiène numérique. L’objectif de ce jeu sera ainsi d’approfondir ces connaissances, de découvrir de nouvelles notions mais surtout de leur permettre d’en retirer des bonnes pratiques concrètes, à mettre en application sans plus attendre.

Un jeu gratuit et accessible à tous

Pour une diffusion et une utilisation les plus larges possible, le kit 1, 2, 3 Cyber est en téléchargement libre et gratuit depuis début août sur la plateforme Github. Ainsi, tous les parents, éducateurs et toute autre personne ayant des jeunes de cette tranche d’âge dans leur entourage peuvent sans difficultés dérouler le jeu.

Pour répondre aux besoins de tous et continuer à le faire évoluer, le jeu est diffusé en licence libre : « la mise à disposition du jeu en open source n’est que le début, le but est que chacun puisse participer à son amélioration dans le temps ! » affirme Etienne Capgras, manager cybersécurité chez Wavestone. Création de nouvelles cartes de jeu, ajout d’informations pratiques spécifiques à d’autres pays que la France, traduction dans d’autres langues… Toute volonté de contribuer sera la bienvenue ! Pour cela, il suffit de se rendre sur la plateforme Github ou de contacter le CCJ (contact@cyberccj.com) et Wavestone (123cyber@wavestone.com).

* Sondage réalisé par questionnaire auto-administré en ligne du 13 au 14 février 2019 auprès d‘un échantillon de 1 003 personnes, représentatif de la population âgée de 18 ans et plus résidant en France métropolitaine.

Cet article Prévention des risques cyber : sensibiliser les plus jeunes par le jeu ! est apparu en premier sur RiskInsight.

« Va parler à la maitresse si quelqu’un t’embête à l’école », « Je ne te louerai pas ce DVD, ce film est trop violent pour toi » ou encore le classique « Surtout, ne suis pas un inconnu, même s’il t’offre des bonbons ». On a tous encore en tête, même après des décennies, les conseils de nos parents concernant notre sécurité dans la vie de tous les jours. Mais avec une utilisation de plus en plus précoce d’Internet par les enfants, cette vie de tous les jours s’est maintenant étendue à la toile. Il est donc devenu impératif de sensibiliser les plus jeunes aux risques auxquels ils s’exposent en surfant sur le web pour qu’ils puissent en tirer tous les bénéfices !

L’éducation aux risques numérique, une nécessité

C’est la mission que se donne ISSA France sous le patronage du secrétariat d’état chargé du numérique avec son cahier de vacances « Les As du Web ». Et le besoin est là : selon un récent sondage IPSOS, plus d’un tiers des jeunes interrogés (entre 9 et 17 ans) ne protègent en rien les informations personnelles qu’ils mettent en ligne. Plus inquiétant, un cinquième de ces enfants pourrait envisager de donner rendez-vous à un étranger rencontré sur Internet, et 10% discutent d’ailleurs régulièrement avec de parfaits inconnus.

La sensibilisation de cette population à ces dangers est d’autant plus importante que l’autorité parentale ne suffit pas toujours : ils sont 65% à déclarer ne pas respecter au moins une règle de conduite édictée par leurs parents… Ces derniers ne sont d’ailleurs pas toujours très au courant eux-mêmes des dangers de la toile.

Sensibiliser les enfants, et par transitivité des parents, est donc un enjeu qui a déjà fait l’objet d’initiatives, avec notamment la création du Permis Internet par le Ministère de l’Intérieur. La publication de ce cahier de vacances « Les As du Web » est une étape supplémentaire dans l’intégration du numérique au sein de l’éducation des jeunes générations.

Comment parler simplement d’un sujet complexe

Pour autant, aborder une thématique technologique avec un public aussi particulier peut relever d’une véritable gageure, et ce d’autant plus qu’ISSA France a choisi de s’adresser aux 7 – 11 ans. Cibler cette tranche d’âge tombe sous le sens car c’est l’âge auquel ces internautes en herbe accèdent à Internet et sont les plus vulnérables.

Le premier challenge est donc d’arriver à isoler les sujets à aborder dans l’ouvrage. Ils doivent traiter les grands risques auxquels les enfants seront exposés de la manière la plus didactique et rassurante possible. Le choix d’un cahier de vacances, avec ses jeux et son graphisme ludique répond à cet objectif. Ensuite, il s’agit de trouver les bons mots. Le monde du numérique est truffé d’anglicismes et utilise un vocabulaire très particulier qu’il faut simplifier et expliquer si besoin au jeune lecteur afin de faciliter sa compréhension.

Les grands thèmes du petit cahier

Le cahier de vacances « Les As du Web » aborde donc dans un ouvrage ludique et pédagogique d’une vingtaine de pages les six thématiques suivantes :

• Qui se cache derrière ton écran ? Et pour quoi faire ? Pour bien expliquer que l’on peut facilement masquer son identité et prétendre être celui que l’on n’est pas.
• Tes données personnelles : apprends à les reconnaitre et protège-les ! Pour montrer la valeur de ses données et les enjeux à long terme.
• Le monde numérique n’est pas que pour les enfants. Ne t’y promène pas seul. Pour démontrer que le web n’est finalement pas si différent du monde « réel ».
• Le cyberharcèlement : c’est grave ! Cette partie donne les bons réflexes sur comment réagir lorsque l’on est visé ou témoin ?
• Internet ne dit pas toujours la vérité. Gare aux mensonges pour ne pas les répéter. Important en ces temps-de « fake news ».
• Sur Internet, reste cool et toi-même. Afin de démystifier et donner les bons réflexes de posture.

De la page web aux enfants, il reste du chemin à parcourir

Le projet est maintenant arrivé au bout de sa première phase : la création du contenu. Wavestone est d’ailleurs très heureux d’y avoir, avec d’autres, participé. Mais cette première étape ne constitue que 10% du chemin car tout l’enjeu maintenant est de faire que ce contenu atteigne sa cible !

Pour se donner les moyens d’y arriver, ISSA France souhaite imprimer un million de copies papier d’ici cet été. Car si pour le moment, le cahier n’est disponible qu’en ligne, l’association souhaite en effet placer de nombreux exemplaires physiques à des endroits stratégiques, comme les gares, les aéroports ou les aires d’autoroute lors des départs en vacances. Et c’est là que vous pouvez aider et participer au succès de cette initiative. A votre échelle en partageant autour de vous le cahier de vacances mais aussi à l’échelle de votre entreprise, puisqu’ISSA France est toujours à la recherche de partenaires pour participer à la diffusion de cet ouvrage et lui permettre d’atteindre sa cible.

Cet article Les As du Web : Participez à l’initiative de sensibilisation des 7-11 ans aux risques du web est apparu en premier sur RiskInsight.

Il n’y a pas que les athlètes qui préparent l’événement sportif international de l’année, les cybercriminels également. Chaque spécialité est bien représentée et va lutter pour obtenir la médaille d’or de la méthode la plus efficace de vol et de fraude. Tour d’horizon des équipes en présence et de leur stratégie.

L’équipe Phishing et son lancer de faux emails

Habituée des grands événements, l’équipe Phishing inonde les boîtes emails de faux messages demandant de communiquer des données sensibles comme ses identifiants ou ses coordonnées bancaires. Leur meilleure technique pendant les JO : vous proposer des loteries pour gagner des tickets gratuits ou des accès à des retransmissions TV ! Le meilleur moyen de leur résister ? Être attentif aux messages trop alléchants, trop urgents et qui contiennent des fautes de frappe ou de grammaire. Un bon réflexe : ne jamais aller sur un site en cliquant sur un lien depuis un email, mais le retaper directement dans le navigateur.

Les cybersquatters et leurs tours de passe-passe quasi indétectables

Les cybersquatters affutent leurs méthodes depuis plusieurs mois, ils ont créé près de 4000 faux sites web dont l’adresse ressemble étrangement à celle des sites officiels mais qui vous emmènent dans leurs pièges ! Quoi de plus ressemblant entre www.rio-olympics.com et www.rio-olympisc.com ? Restez donc attentifs aux sites que vous visitez en vous assurant qu’ils ne contiennent pas d’erreur dans leur nom. Vous éviterez ainsi de tomber sur des sites dangereux qui pourraient vous forcer à télécharger des logiciels malveillants ou vous demander des données personnelles.

L’équipe Ransomware et sa clé de bras numérique

Cette équipe a un moyen très efficace pour vous soutirer de l’argent, elle bloque votre ordinateur et/ou votre téléphone portable et vous demande une rançon ! Une vraie clé de bras numérique digne d’un lutteur ou d’un judoka. L’équipe Ransomware joue collectif car elle fait souvent alliance avec les équipes Phishing et Cybersquatteurs qui leurs ouvrent la route via des faux emails ou des faux sites qui ensuite vous demande d’installer des logiciels complémentaires… Et c’est là où l’équipe Ransomware surgit et qu’elle déploie ses outils qui bloqueront votre ordinateur. Pour éviter d’être piégé, soyez très attentif et surtout n’installez pas d’applications alléchantes qui vous propose des accès gratuits à des flux TV ou à du contenu exclusif. Utilisez les boutiques d’applications officielles qui disposent d’un choix très fourni et légal.

Les cybercriminels locaux et leurs faux points d’accès Wi-Fi

Une équipe à domicile est toujours plus forte, c’est bien connu ! Et il faut s’attendre à ce que les cybercriminels brésiliens, présent sur place, essaient de détourner les bornes Wifi mises à disposition des visiteurs dans les lieux publics pour intercepter leurs échanges et ainsi voler des données. Le meilleur réflexe c’est d’acheter une carte SIM locale pour utiliser votre téléphone et accéder à Internet. Pour les plus férus de technologies, un VPN apportera également un bon niveau de protection, il existe de nombreuses applications comme celle d’Opera. Et si vous devez vraiment utiliser du Wi-Fi, restez attentifs au moindre message d’erreur concernant la sécurité. Lorsque vous allez sur des sites Internet et que de tels messages apparaissent, c’est un signe que le point d’accès est peut-être piraté : déconnectez-vous immédiatement.

L’équipe APT et sa précision redoutable

Cette équipe ne vise pas le grand public, elle cherche à gagner la course en s’introduisant frauduleusement dans les systèmes de l’organisation des JO. Elle pourra ainsi y voler directement les données des athlètes, des spectateurs, mais aussi aller jusqu’à modifier des résultats, interrompre des compétitions ou empêcher leur rediffusion ! Le CIO est mobilisé sur ces menaces depuis de nombreuses années et met en œuvre un dispositif spécifique de cybersécurité. Le retour des JO de Londres nous montre clairement la réalité de cette menace avec plus de 165 millions d’événements liés à la cybersécurité qui ont conduit à 6 attaques majeures. Rio devrait subir une pression encore plus forte au regard de l’évolution de la cybercriminalité sur ces 4 dernières années.

Un bon réflexe : ce qui est trop beau pour être vrai est certainement un piège

Ne tombez pas dans les pièges des cybercriminels, soyez attentifs lorsque vous surfez et lisez vos emails. Et n’oubliez pas de faire une sauvegarde de vos données, de mettre à jour votre ordinateur et votre téléphone en appliquant les correctifs de sécurité proposés et en vous assurant d’avoir un anti-virus à jour.

Voici l’entraînement que vous devez suivre pour vivre des Jeux Olympiques en toute cybersécurité !

Cet article JO2016 : qui aura la médaille d’or chez les cybercriminels ? est apparu en premier sur RiskInsight.

Fondée sur un panel de 28 000 personnes interrogées dans 12 entreprises majeures, cette étude met en lumière des points cruciaux sur lesquels les entreprises doivent agir aujourd’hui afin d’éviter d’être, une fois de plus, victimes de cyberattaques. Cette analyse complète, unique en France, a été réalisée avec la solution ISAM de Conscio Technologies, qui permet d’auditer le niveau de sensibilisation des salariés en matière de sécurité informatique.

46% des collaborateurs ne connaissent pas les comportements à adopter face à l’ingénierie sociale

Premier enseignement, la fragilité des entreprises face à l’ingénierie sociale (faux emails de type phishing, escroqueries au président, appels téléphoniques frauduleux…) est clairement démontrée. 46% des collaborateurs ne connaissent pas les comportements à adopter face à ce type d’attaques. « L’ingénierie sociale est aujourd’hui le vecteur n°1 pour réaliser des fraudes ou s’introduire dans les réseaux d’entreprise. L’ensemble des collaborateurs doit connaître cette menace et surtout savoir comment se comporter, en particulier en alertant rapidement les responsables sécurité » détaille Gérôme Billois, senior manager cybersécurité chez Solucom. « La majorité des incidents ou pertes de données sont déclenchés par le facteur humain. Il est donc primordial de sensibiliser les salariés aux bonnes pratiques et d’envisager la sécurité dans son ensemble » confirme Michel Gérard, directeur de Conscio Technologies.

Les bonnes pratiques de sécurité des mots de passe maitrisées par 47% des collaborateurs

Deuxième enseignement, les mots de passe restent un sujet complexe pour les collaborateurs des entreprises. 88% d’entre eux sont sensibilisés sur la nécessité d’avoir un mot de passe de bonne qualité (longueur, absence de mots existants…) mais seulement 47% adoptent les bonnes pratiques dans leurs activités quotidiennes. « Ce chiffre montre que malgré de bonnes intentions, seule la mise en place de mécanismes techniques pour forcer la qualité des mots de passe fera évoluer la situation » analyse Gérôme Billois.

La réglementation, un sujet connu uniquement par 63% des collaborateurs

Enfin, il apparaît que les collaborateurs des grandes entreprises sont très peu sensibilisés aux réglementations sur la protection des données à caractère personnel. Ce thème obtient globalement le plus faible des scores, avec 63% des répondants connaissant les règles de base sur la protection des données des clients ou des collaborateurs. « Ceci fait courir un risque juridique direct aux entreprises, d’autant plus que la réglementation va très prochainement se durcir avec le nouveau règlement européen sur les données à caractère personnel » détaille Gérôme Billois.

La sensibilisation des collaborateurs est un facteur clé de la cyberprotection des entreprises. Aujourd’hui, de nombreuses structures réalisent des actions dans ce domaine mais peu en évaluent réellement l’effet. « C’est pourtant cette évaluation qui permet de mesurer l’efficacité et d’orienter les prochaines actions vers les populations les plus à risque » ajoute Michel Gérard.

Téléchargez le benchmark 2015 de la sensibilisation à la cybersécurité

Etude menée par Solucom et Conscio Technologies en 2015 sur un panel de 28 000 utilisateurs de la solution ISAM de 12 entreprises majeures en France. L’étude est disponible auprès de Solucom et Conscio Technologies et sera distribuée lors du FIC 2016 qui se tiendra à Lille les 25 et 26 janvier 2016.

Cet article Sensibilisation à la cybersécurité : où en sont les entreprises françaises ? est apparu en premier sur RiskInsight.

Un message à faire passer “Sur Internet, je reste en alerte”

Alors que les menaces se multiplient concernant aussi bien les entreprises que les citoyens, cette opération ludique et décalée a pour objectif de montrer qu’il est possible de lutter contre le piratage en adoptant les bons réflexes.

Conçue par l’agence W, cette campagne de sensibilisation se décline au travers du site internet www.hack-academy.fr. Le CIGREF a choisi de se servir des codes qui parlent à tout le monde, ceux de la télé-réalité pour faire passer des messages et élever le niveau de conscience.

Qui sera le hacker de demain ?

Les quatre vidéos publiées sur le site mettent en scène des jeunes candidats révélant leurs talents de pirate informatique devant un jury de professionnels de la “Hack Academy” dont l’objectif est de découvrir les hackers de demain.

Les candidats Jeny, Dimitri, Martin et Willy s’attaquent aux principales attaques auxquelles les internautes peuvent être confrontés. Ils abordent avec humour le phishing, le piratage de mot de passe ou encore le cheval de Troie.

En plus des vidéos, le site hack-academy.fr propose également de défier chacun des candidats au travers d’un quizz encore une fois basé sur l’humour et la pédagogie.

Le site permet également d’accéder à des fiches pratiques sur les différents types d’attaques et les façons de se protéger.

Pour Jean-Paul Mazoyer, Président du cercle Cybersécurité du CIGREF : « Grâce à l’efficacité des campagnes grand-public par exemple sur l’alcool au volant ou la ceinture de sécurité, nous nous sentons maintenant concernés par ces questions… Hack-academy  sera la première campagne touchant la cybersécurité ! L’histoire du premier geste qui protège les données sur Internet ne fait que commencer »

Découvrez Willy, le spécialiste du phishing, selon lui « Avec un simple mail et une photo on peut berner n’importe qui … »

Et pour voir toutes les vidéos, rendez-vous sur : www.hack-academy.fr

Cet article La Hack Academy, première campagne nationale de sensibilisation à la cybersécurité est apparu en premier sur RiskInsight.

Parmi les raisons qui ont pu conduire à cette situation, il est possible de recenser notamment le manque de budget ; la difficulté de mobiliser des intervenants aux métiers différents ; la difficulté de montrer des résultats car l’effort doit être porté dans la durée ; les a priori de certains dirigeants : «  la sensibilisation, ça ne sert à rien. »

C’est pourquoi, si l’on veut être capable de placer le traitement du volet humain de la sécurité et donc la sensibilisation à sa juste place, il est indispensable de disposer d’une mesure qui va nous permettre de savoir d’où on part, quel est le chemin parcouru et donc de placer les travaux de sensibilisation dans une démarche d’amélioration continue.

Enfin si l’on veut pouvoir intégrer le processus de sensibilisation dans l’élaboration d’un tableau de bord SSI, il est nécessaire de disposer des bons indicateurs.

Que mesure-t-on ?

Un modèle de maturité

A des fins de benchmark et pour pouvoir se donner des objectifs clairs et réalistes, il peut être utile de pouvoir se positionner et se fixer des objectifs à atteindre au travers d’un modèle de maturité.

C’est pourquoi nous proposons ici un modèle de maturité adapté à la problématique de sensibilisation. La classification ci-dessous illustre les différents niveaux que l’on peut rencontrer quant au développement d’une culture sécurité :

• Niveau 0 : les utilisateurs sont laissés à eux même, aucune consigne particulière ne leur est donnée, seuls les équipements d’infrastructure assurent la sécurité ;
• Niveau 1 : des outils sont mis en place sur l’initiative de l’équipe SSI (charte, affiches…) Aucun retour quant à l’efficacité de ces mesures n’existe, on communique quelques messages en espérant qu’ils seront entendus.
• Niveau 2 : la Direction s’assure que tout le personnel est formé. Elle a délégué à l’équipe SSI le soin d’assurer des actions d’information et de sensibilisation. Des tests sont menés afin de s’assurer que la connaissance des bonnes pratiques est bien diffusée ;
• Niveau 3 : correspond aux caractéristiques du niveau 2 auxquelles on rajoute une communication claire et directe par la direction d’une vision ; des actions sont menées afin de modifier les comportements et des indicateurs sont mis en place et suivis ;
• Niveau 4 : on retrouve les caractéristiques du niveau 3 et : la sécurité est intégrée à chaque processus et fait partie de la culture d’entreprise, chaque manager suit la qualité du travail fourni en regard de la sécurité, les incidents sont analysés et cette analyse donne lieu à une amélioration continue.

Dans notre modèle de maturité, il apparaît clairement que le fait d’apporter une mesure dans la mise en œuvre des campagnes de sensibilisation n’apparaît qu’au niveau 2. Ce n’est qu’à partir de ce niveau qu’on commence à se préoccuper des résultats de ce qui est fait.

Une mesure sur 3 axes

Le niveau de maturité d’une population concernant la sécurité numérique se mesure sur trois axes :

• L’axe sensibilité correspond à la perception que les collaborateurs ont de la sécurité comme étant un sujet important dans l’organisation.
• L’axe connaissances correspond au niveau de connaissance des utilisateurs sur les enjeux, les bonnes pratiques.
• L’axe comportements correspond au niveau de respect, par les utilisateurs, des comportements souhaités.

Plusieurs méthodes existent pour visualiser les mesures obtenues. Une manière classique consiste à représenter sur une figure multi axes les résultats obtenus en pourcentage d’un résultat maximal possible. C’est ce que l’on retrouve dans le schéma suivant.

Figure 1. C’est en développant la sensibilité et les connaissances au travers d’une communication engageante que l’on finit par obtenir les comportements souhaités

La valeur obtenue pour chacun des axes est directement liée à la campagne de mesures qui est faite sur les indicateurs propres à chaque axe. Les graphiques suivants donnent des exemples de ce qui peut être fait en la matière.

Ainsi la mesure des connaissances peuvent se faire selon les thématiques choisies pour les campagnes et regroupant l’ensemble des sujets à traiter.

La mesure de la sensibilité peut se faire sur quelques indicateurs permettant d’objectiver un sujet à priori difficile à évaluer. Ainsi cette mesure peut s’effectuer en évaluant au travers d’un processus d’audit tout ce qui participe à faire du sujet quelque chose d’important et la perception que les collaborateurs en ont.

On définit ensuite, pour chacune des réponses proposées, le nombre par lequel sera incrémenté l’attribut si cette réponse est choisie. Chaque répondant obtient ainsi une note sur cet attribut. On calcule ensuite la moyenne des résultats obtenus que l’on met en regard de la note maximale qu’il est possible d’obtenir.

La mesure des comportements portera sur certaines catégories de comportements a priori plus facilement observables.

Comment mesure-t-on ?

Réalisation d’une enquête physique

Relativement peu usité, la réalisation d’une enquête physique peut avoir l’avantage de permettre de prendre le pouls d’une population au regard de la sécurité de l’information. En effet, au-delà des aspects quantitatifs, le retour effectué par des enquêteurs peuvent, dans ce cas, incorporer des éléments d’ « ambiance » difficile à évaluer par d’autres procédés. En revanche le procédé prend du temps et est couteux.

L’enquête est alors réalisée sur un échantillon représentatif de la population ciblée. L’échantillonnage sera effectué selon la méthode des quotas, c’est-à-dire respectant en proportion les différentes caractéristiques de la population de l’organisation.

Cet état des lieux s’exprime ensuite au travers d’un rapport constitué d’éléments qualitatifs et quantitatifs.

La situation de l’organisation au regard du développement d’une culture sécurité sera rapprochée du modèle de maturité. On tentera également de dégager des axes de progression et de définir des objectifs à atteindre en vue de faire progresser la culture sécurité dans l’organisation.

Mesure en ligne

La réalisation d’une enquête en ligne est un excellent moyen pour réaliser une évaluation de la maturité d’une population au regard des questions de sécurité. Ce procédé permet de cibler la totalité de la population et de rester à un coût de mise en œuvre raisonnable.

Afin de permettre, comme nous l’avons vu, une mesure sur les trois axes de sensibilité, de connaissances et de comportements, une telle enquête doit :

• Être composée d’une série de QCM, traitant des différentes thématiques à couvrir (aspects légaux, organisation, mot de passe, ingénierie sociale…) ;
• Permettre la mesure de la connaissance par un rattachement des questions aux différents sujets à couvrir ;
• Associer les attributs sensibilité, connaissances et comportements aux questions afin de donner une valeur à ces attributs en fonction des réponses choisies par le répondant.

La diffusion de l’enquête pourra également s’appuyer sur un outil permettant d’identifier les niveaux de réponses en fonction d’un profilage particulier de la population cible. Cela permet notamment de mesurer l’impact d’une campagne de sensibilisation en fonction des métiers de l’entreprise.

Des questions sont donc posées en ligne dans le cadre d’une enquête menée sur une période de quelques semaines.

Évaluation des comportements par observation

La finalité des campagnes de sensibilisation étant d’avoir un impact réel sur les comportements, il peut être particulièrement intéressant de mesurer l’évolution dans le temps de certains comportements réels. Il s’agit ici de mesurer ce que font les collaborateurs réellement et non ce qu’ils déclarent ou ce qui transparait dans leur réponse à une enquête. Cela passe par l’observation de ces comportements et la mise en œuvre de tests. On peut ainsi citer, à titre d’exemple :

• Test sur l’utilisation de la messagerie et sur le respect de la politique antivirale par envoi de messages de source inconnue avec une pièce jointe exécutable mais inoffensive et mesure du taux d’ouverture de ces pièces jointes ;
• Test de phishing : envoi d’un message de type phishing mais au contenu inoffensif et permettant de mesurer le taux de clics ;
• Test sur le respect de la politique de création de mot de passe par un test de résistance sur la base de mots de passe ;
• Test sur le respect de la politique de l’utilisation d’Internet par examen des traces et le recensement des urls visitées;
• Etc…

A chacun de ces tests est associé un indicateur qui peut être à chaque fois le taux de bons comportements sur le nombre de comportements observés. Ces indicateurs viennent ensuite enrichir la mesure faite sur l’axe comportements

Rattachement au tableau de bord sécurité

Le traitement du volet humain de la sécurité est un aspect essentiel de toute stratégie sécurité. Ainsi, s’il est élaboré un tableau de bord de la sécurité, il convient d’intégrer la mesure de maturité des collaborateurs de l’entreprise dans son élaboration.

Si ce tableau de bord suit une approche de type tableau de bord équilibré (Balanced Score Card) on doit identifier les Indicateurs Clés d’Objectif (ICO) et les Indicateurs Clés de Performance (ICP) applicables au processus de sensibilisation.

L’objectif de tout processus d’acculturation est, rappelons-le, d’obtenir des comportements conformes aux bonnes pratiques et, par-là, de diminuer le nombre d’incidents trouvant leur origine dans une cause humaine. Il est donc possible de choisir comme ICO :

• Le nombre d’incidents ayant pour origine un défaut de comportement d’un collaborateur, dans la mesure où le processus de gestion des incidents le permet ;
• Le nombre de constatations de défauts de comportements dans le cadre d’un audit ou d’une enquête récurrents portant sur un référentiel constant.

Et comme ICP :

• Les indicateurs choisis pour mesurer la sensibilité ;
• Et, les indicateurs choisis pour mesurer la connaissance.

En conclusion

Il faut inscrire la mesure dans une dynamique

A la question : « Comment intéresser ma Direction Générale aux opérations de sensibilisation ? »

La réponse est : « Donner lui un retour quantifié ! »

La mise en place d’une mesure dans le temps du niveau de maturité du Personnel au regard des questions de sécurité ne peut qu’intéresser une Direction Générale et la motiver à accorder des moyens à des actions dont elle mesure l’impact.

Le processus d’acculturation d’une population est un chantier de longue haleine, seule la mise en place d’une mesure permet de démontrer le chemin parcouru et de se donner des objectifs.

Extrait du livre blanc « Comment mesurer les impacts des campagne de sensibilisation » rédigé par Hapsis en février 2015.

Cet article Comment mesurer l’impact des campagnes de sensibilisation ? est apparu en premier sur RiskInsight.

[Par Marion Couturier en collaboration avec  Loïc Dechoux]

Cet article Sensibilisation : quelles pratiques chez les grands comptes ? est apparu en premier sur RiskInsight.

Sensibiliser, mais à quel prix ?

Affiches, e-mails, jeux, etc., il existe une multitude de moyens de sensibilisation présentant chacun leurs avantages et leurs défauts.  Largement plébiscité par 78% des entreprises du panel étudié, l’e-mail est le vecteur de sensibilisation le plus utilisé. Facile à déployer, peu coûteux, il n’est néanmoins pas suffisant pour garantir l’efficacité d’une campagne de sensibilisation à la sécurité de l’information. Ainsi, plus de 60% des entreprises optent pour la mise en place complémentaire d’évènements sécurité et de contenu dynamique sur Intranet, la diffusion de plaquettes et de fiches pratiques. Seules 25% des entreprises utilisent des solutions plus élaborées telles que la diffusion de contenu multimédia, la mise en place d’e-learning ou encore le déploiement de jeux et de quizz.

Comment expliquer l’utilisation massive d’e-mails qui ne seront pas forcement efficaces alors que la diffusion d’un contenu multimédia assurerait un impact plus important auprès des collaborateurs à sensibiliser ? La réponse tient en un mot : budget. Là où une campagne de mailing représentera un coût pratiquement nul pour l’entreprise, le tournage d’un clip vidéo de sensibilisation ou la mise en place d’un e-learning peuvent s’élever à plusieurs dizaines de milliers d’euros, notamment en cas de recours à une agence de communication. Seules les entreprises ayant les budgets sensibilisation les plus importants peuvent donc orienter vers cette solution.

 Les mêmes moyens de sensibilisation pour tous ? Focus sur le Plan de Continuité d’Activité (PCA)

Seules 25% des entreprises utilisent l’e-mail comme moyen de sensibilisation au PCA alors qu’elles sont 78% à l’utiliser pour la sensibilisation à la sécurité de l’information. Cette différence tient dans le fait que la sensibilisation au PCA vise notamment à inculquer les réflexes à avoir en cas de sinistre informatique. Les supports dématérialisés ne seraient donc plus accessibles ! Les plaquettes sont dès lors beaucoup plus utilisées. Cela illustre la nécessité d’adapter les supports de sensibilisation, que ce soit en fonction de la cible visée ou des spécificités du sujet traité.

 La sensibilisation à la sécurité de l’information et nouvelles technologies : une course contre la montre

Web 2.0, réseaux sociaux, Bring Your Own Device, etc., ces nouvelles pratiques ne cessent de se développer au sein des entreprises, amenant avec elles de nouvelles menaces pour la sécurité de l’information. La maîtrise des risques liés à ces services évoluant en permanence nécessite un effort constant pour rester efficace et ne pas subir l’innovation. La démocratisation progressive de l’utilisation de ces services au sein de l’entreprise doit donc s’accompagner d’une sensibilisation à leur utilisation en toute sécurité.

Parmi les usages récents, l’utilisation des réseaux sociaux s’est généralisée depuis 2008. 65% des entreprises en autorisent maintenant l’usage, majoritairement en en limitant l’accès à certaines populations métier (55%). Mais ces outils ayant pénétré aussi nos vies personnelles, elles sont aujourd’hui plus de 90% à sensibiliser leurs collaborateurs aux risques inhérents à leur utilisation. En revanche, le BYOD et les services de cloud computing personnels (Dropbox, Google Drive…) qui sont plus récents et moins répandus font encore peu l’objet de l’attention des utilisateurs : 12% des entreprises sensibilisent leurs collaborateurs au risque de fuite d’information que représentent ces derniers, et seulement 8% les sensibilisent aux risques du Bring Your Own Device.

L’un des grands enjeux de la sécurité de l’information aujourd’hui est donc, à défaut de pouvoir traiter immédiatement toutes les menaces, de tenter de réduire le délai entre leur apparition et leur prise en compte effective !

[Article rédigé en collaboration avec Loïc Dechoux, consultant]

Cet article Sensibilisation à la sécurité de l’information : où en sont les entreprises ? est apparu en premier sur RiskInsight.

Le défi aujourd’hui est de réussir à ancrer la sécurité durablement dans les pratiques de chacun des utilisateurs.

L’inventivité, facteur de renouveau

Que ce soit lors de la mise en place, ou dans les piqûres de rappel, l’originalité, la créativité, peut être un réel facteur d’attractivité et de différentiation de la compagne de sensibilisation à la sécurité. Pour autant ce facteur doit être mis en regard de la culture de communication interne de l’entreprise, et ce pour trouver le meilleur compromis entre originalité et crédibilité de la démarche.

La campagne doit ensuite évoluer dans le temps, ainsi que la posture en elle-même, mais également les canaux de communication. Nombreux sont les concepts, les supports qui peuvent être intégrés à la sensibilisation. Les serious games, la gamification et les applications pour smartphones ou tablettes en sont des illustrations.

L’adaptabilité, une réponse aux nouveaux usages et les risques afférents

L’évolution des usages permet de donner un nouveau souffle au catalogue de communication et formation, mais elle doit aussi être considérée sous l’angle des risques. Le BYOD (Bring Your Own Device) ou encore le Cloud en sont des cas concrets. Les objectifs de communication, les messages à diffuser vont évoluer, et ce dans l’objectif de responsabiliser davantage le personnel qui en fera l’usage. Un axe intéressant est de dresser un parallèle avec la vie quotidienne des collaborateurs afin de les responsabiliser.

La mesure d’efficacité, source d’amélioration

Chercher à s’améliorer implique de mesurer l’efficacité dans l’atteinte des objectifs initiaux. In fine, les collaborateurs sont-ils tous acteurs de la protection de l’information chacun à leur niveau ? La clé réside dans le fait que la sensibilisation est un dispositif de sécurité, et par conséquent il est important :

• D’identifier les éléments du plan de contrôle qui sont en lien avec le facteur humain d’une part. Un exemple ? Les audits  intègrent-ils la notion de « bureau net », de protection physique du matériel, d’exigence de port de badges, etc. ?
• D’intégrer de nouveaux contrôles spécifiques d’autre part. Il peut s’agir de contrôles par échantillonnage qu’ils soient techniques (vérification des mots de passe par exemple) ou de l’ordre de la simple observation « terrain ».

En conclusion, comme toute démarche liée à sécurité, la sensibilisation et la formation doivent s’inscrire dans un cycle de revue tant sur le fond (messages à faire passer, collaborateurs à cibler…), que sur la forme (canaux, supports, et conception…). L’ensemble doit s’intégrer dans l’existant de l’entreprise en respectant les pratiques des ressources humaines en termes de formation et de communication interne !

Cet article La sensibilisation : un dispositif à inscrire dans la durée ! est apparu en premier sur RiskInsight.

Un nouvel enjeu pour la sensibilisation à la sécurité de l’information : la génération Y pousse la porte des entreprises

La sensibilisation n’est pas un chantier sur lequel on peut se reposer une fois la première campagne achevée ! Comme toute campagne de prévention, des « piqûres de rappel » doivent être faites régulièrement, en variant la manière de communiquer pour assurer l’assimilation des messages dans la durée sans provoquer de lassitude.

Par ailleurs, il est nécessaire de prendre en compte les nouveaux arrivants dans l’entreprise, qui n’ont pas reçu la sensibilisation initiale. Et il ne faut pas oublier que ces nouveaux arrivants sont majoritairement une population avec laquelle le niveau de risque pour la sécurité de l’information augmente : la fameuse génération Y.

Les « digital natives », suréquipés, connectés en permanence, rendent de plus en plus perméable la frontière entre l’entreprise et leur vie personnelle. Leurs usages exposent largement les informations qu’ils manipulent : données personnelles, mais aussi professionnelles ! Et selon le Connected World Technology report de Cisco, 70% des jeunes employés admettent ne pas respecter les politiques de sécurité bien qu’ils en aient connaissance.  Plus exigeants que les générations X et baby-boomers, ils sont moins réceptifs à des campagnes de communication traditionnelles que leur aînés sur des sujets avec lesquels ils se sentent familiers, et ont encore plus besoin d’être convaincus et motivés.

La gamification pour renforcer l’engagement et la motivation des collaborateurs

Face à ce nouvel enjeu, il est nécessaire de diversifier les méthodes et outils de sensibilisation pour assurer leur efficacité. La gamification, phénomène récent, apparaît comme un nouvel outil prometteur pour laquelle de plus en plus d’éditeurs  (Bunchball, Badgeville, Gamify…) proposent des solutions. Elle a pour principe l’application des mécanismes et de la dynamique du jeu à des activités non ludiques : points, niveaux, badges, challenges, statuts sont utilisés pour engager les gens, déclencher la motivation et changer les comportements (par exemple dans le domaine de la protection des données)

Initialement utilisée auprès des clients à des buts marketing (Flying Blue, Accor, Starbucks…)  ou communautaires (Foursquare, Farmville, Nike+…), elle peut se transposer aisément au monde de l’entreprise et être un outil puissant pour accompagner les campagnes de sensibilisation, conduire le changement ou encore améliorer les performances. Cette technique rencontre un vif succès auprès de la génération Y aux codes de laquelle elle répond par ses dimensions sociale, ludique et technologique.

Lancer le challenge sécurité !

Il n’y a plus qu’un pas à faire pour l’adapter à la sécurité de l’information en entreprise. En premier lieu, il s’agit de cibler les utilisateurs  et de définir les objectifs. Sur cette base, les compétences (savoir construire un mot de passe complexe…) et actions attendues (changer son mot de passe, suivre une formation, etc.) peuvent être formalisées avant de définir l’univers et les mécanismes de jeu qui seront appliqués. C’est là que résidera toute la dynamique de la démarche et l’adhésion des utilisateurs, il est donc nécessaire de travailler soigneusement cette partie, pour laquelle les solutions du marché offrent de nombreuses possibilités !

Cet article La gamification : une solution pour sensibiliser la génération Y ? est apparu en premier sur RiskInsight.