Il y a un an est née l’idée de TRUST, nom du nouveau programme de sensibilisation au sein de Wavestone. Avec mon équipe, nous avons passé une année à réfléchir et à développer toute une nouvelle stratégie pour sensibiliser les collaborateurs de Wavestone. Pour information Wavestone, c’est 3500 collaborateurs présents dans 8 pays, dont le métier principal est le conseil (mais pas que !), plutôt jeunes (mais pas que !), qui connaissent l’IT et la cybersécurité (mais pas que !).

Cet anniversaire était l’occasion de réfléchir au bilan et à la suite que nous allons y donner. Au regard des retours très positifs que j’ai recueillis auprès de nos collaborateurs, je considère que ce programme est une réussite par rapport à nos objectifs et j’ai donc souhaité les partager pour vous expliquer comment il est possible de construire un programme et de développer des supports sans forcément disposer d’un budget astronomique. Bref, que la sensibilisation est à la portée de chaque entreprise, même les plus petites.

Tout commence par un bilan et des objectifs

Le constat en début 2019 était simple : j’avais déjà développé depuis plusieurs années divers supports de sensibilisation : un personnage visuel (Sofia), un module de e-learning, des campagnes de phishing, une charte utilisateur très design (mais dont je ne suis pas dupe sur son réel taux de lecture), des vidéos, une page intranet, des mails de sensibilisation, des outils de sécurité à disposition des utilisateurs… mais alors pourquoi nos utilisateurs continuaient toujours à faire comme s’ils ne savaient pas ?

En parallèle, dans le cadre du plan stratégique Wavestone 2021 et de son enjeu d’installer le cabinet dans le top 3 de sa catégorie en matière de RSE, nous nous sommes fixés comme objectif d’être un partenaire de confiance avec 100% de nos collaborateurs sensibilisés à la protection des données.

100% ! Alors que début 2019 je n’obtenais qu’un taux de participation de 70% des collaborateurs au e-learning sécurité.

Mais alors comment faire ? Qu’inventer de plus ?

Après plusieurs séances collectives, les idées étaient là :

• Nos diverses actions étaient trop hétérogènes, il manquait un fil rouge : une marque !
• Les supports digitaux c’est une bonne chose, mais rien ne remplace un échange verbal (par contre, on oublie la traditionnelle formation obligatoire en présentiel de 2H pour tous les nouveaux qui est très chronophage et a un impact limité du fait du grand nombre de messages passés en 2H. J’en ai tellement animées en tant que consultant…)
• Nous communiquons toujours sur le risque et la menace, mais les collaborateurs ont besoin d’exemples plus concrets et bien adaptés au contexte de leur entreprise. Quelles erreurs peuvent-ils faire au quotidien et quel serait le véritable impact pour Wavestone ?
• « De l’humour ! Il faut de l’humour ! » Oui mais pas toujours ! L’humour est un très bon outil pour accrocher vos cibles, pour les appâter, les rendre disponibles à votre écoute… mais ce qu’il faut réellement c’est du pragmatisme !
• Il est difficile pour le collaborateur de savoir finalement ce qu’il doit faire parmi les nombreuses règles qui lui sont données. Au final, une grande partie de la protection des données reste la mission de la DSI en mettant en œuvre des outils de protection, des alertes et des contrôles. Par exemple : est-ce aux utilisateurs d’être plus vigilants face au phishing ou aux e-mails malveillant ? Pour ma part je pense que c’est plus à l’entreprise :

1. 1. de mettre en œuvre une meilleure solution de protection de la messagerie,
   2. un meilleur EDR qui inhibera l’action de la pièce vérolée,
   3. des solutions pour éviter la propagation d’un ransomware ou faire des backups de données,
   4. une solution de multi-facteur qui complexifiera fortement l’utilisation de logins et mots de passes volés via un faux e-mail de réinitialisation de mot de passe.

Il est plus important de travailler sur le fait de limiter les impacts d’un e-mail malveillant qui trouvera toujours une victime bienveillante plutôt que de concentrer son énergie à sensibiliser les utilisateurs sur ce sujet.

A partir de ce constat, quels sont les messages que je souhaitais faire passer ? Qu’est-ce qui est vraiment à la main du collaborateur Wavestone et non de la DSI ?

Ils se sont résumés à 5 messages (je vous les mets en anglais, vous comprendrez pourquoi) :

1. Transfer documents from your client’s ONLY WITH authorization: Lorsqu’on est un cabinet de conseil dont les collaborateurs passent autant de temps sur le SI de ses clients, le premier risque d’une non sensibilisation est de perdre un client car ses collaborateurs ont sorti des documents sensibles pour plus de simplicité à travailler avec ses postes de travail ou avec son chef de projet qui n’a pas d’accès au SI client (ou pas encore comme cela peut arriver souvent avec de longs processus de fourniture d’accès chez certains clients). Ce n’est pas un risque de sécurité en tant que tel pour Wavestone, mais plutôt un risque d’incident client qui se traite via la sensibilisation à la protection des données.
2. Respect the project confidentiality procedure: respecter les consignes de traitement des données clients. Par contre pour qu’elle soit efficace il faut que cette procédure soit très simple… pas plus de 2 ou 3 règles.
3. Use security tools to protect data : à condition qu’ils soient simples d’utilisation ! On en reparle un peu après.
4. Store personal data only if necessary and process only for the intended purpose : il fallait bien mettre un peu de message RGPD dans la recette.
5. Think twice before opening an attachment, clicking on the web link, and working in transport and public places : “mais il vient juste de nous dire que c’était le role de la DSI !” Oui, certes, vous avez raison, mais ça ne coutait rien de le rajouter à la fin. De toute manière, on oublie toujours le dernier conseil !

5 messages. Peut-être que les plus visuels d’entre vous l’ont remarqué… mais la concaténation des premières lettres de chaque ligne permet d’écrire…

Et voici la marque TRUST qui prend naissance, avec son logo, sa charte graphique et ses visuels.

Nous avons la marque ! Comme tout bon produit marketing, il faut dorénavant la décliner en multiples supports de promotion.

A partir du moment où nous avions notre fil rouge en termes de messages et de visuels, il ne restait plus qu’à le communiquer, mais pas en une seule action, en une déclinaison d’actions les unes liées aux autres pour à la fois multiplier les formats, les canaux, et les messages vis à vis des différentes catégories d’utilisateurs.

Production de la vidéo TRUST. Film de 5 minutes en 3 parties :

1. Une introduction pour poser le décor par des articles de presse ou radio fictifs présentant les conséquences pour Wavestone d’un incident de sécurité (perte de client, perte de chiffre d’affaire, baisse de l’action boursière,…)
2. 5 messages : 5 saynètes humoristiques incluant un collaborateur Wavestone et un RSSI différent. Quoi de mieux que des RSSI pour jouer leur propre rôle ? J’ai eu la chance que les RSSI de 2 sociétés du CAC40, d’une grande entreprise publique française et d’une grande banque anglaise acceptent de se prêter au jeu de manière humoristique. Encore un grand merci à eux ! Chaque conséquence de la scène est ensuite expliquée par le directeur général de Wavestone M. Patrick HIRIGOYEN. Petit extrait de la vidéo ici.
3. Enfin une conclusion par un message de M. Pascal IMBERT, président directeur général de Wavestone, pour rappeler de manière plus solennelle, les risques encourus pour le cabinet et le besoin que chaque collaborateur se sente concerné et applique les mesures proposées.

Très bon retour des collaborateurs sur ce film humoristique qui a été largement diffusé à travers tous les canaux de communication du cabinet.

La marque TRUST a vite été identifiée. Mais ce film n’était que le produit de lancement, il en faut plus !

Création des cybercoffee quizz

Le principe est simple : réponds à minimum 3 questions de sécurité et obtiens un café gratuit et 1 goodie (un cache caméra TRUST pour cette année).

Une excellente occasion d’aller à la rencontre des collaborateurs à un moment où ils sont ouverts à la discussion : lors de leur pause café.

Pour cela, il faut du visuel : Des kakémonos, des polos spécifiques, des écrans avec des films de sensibilisation et 1 machine à café gratuite. Il ne faut pas nous rater !

Tous les 15 jours, mon équipe s’installait ainsi à une salle de pause différente dans nos locaux pour présenter TRUST, faire jouer les collaborateurs et répondre à leurs questions. Une initiative fortement appréciée des collaborateurs. Au-delà de l’appât du gain, ces derniers étaient ravis qu’on prenne du temps pour leur expliquer individuellement des choses qu’ils ne connaissaient pas ou mal et tous les éléments simples qui étaient à leur disposition. « Ce n’est pas si compliqué que cela en fait la sécurité ! »

Déclinés en format présentations dans des réunions management ou réunions d’équipes dans nos différents bureaux, ces quizzes nous ont permis de rencontrer physiquement plus de 1 000 collaborateurs en 9 mois, soit environ 1/3 du personnel. Certes chronophage, cette action reste l’une des plus impactantes pour se faire connaitre et faire connaitre les messages.

Astuce technique : concrètement, c’est très facile à mettre en œuvre :

• Un formulaire de 3 questions, pour nous, réalisé sur Microsoft Forms,
• Un QR code affiché sur un kakémono ou une affiche pour que depuis son smartphone, le participant ait facilement accès à ce formulaire (il suffit de sortir l’appareil photo, pas besoin d’application à installer)
• Enfin un simple workflow (via Power Automate) pour enregistrer le résultat dans une base et envoyer automatiquement un mail récapitulatif au participant avec les messages clés et les liens vers les vidéos.

Le score et les corrections s’affichant directement sur le smartphone après validation, l’animateur peut directement échanger avec le participant pour lui expliquer ses erreurs et lui offrir son cadeau.

Et si les outils de sécurité étaient des superhéros ?

« Chiffre ton document », « Protège tes mots de passe », « Chiffre tes mails », tant de consignes données à des utilisateurs qui, malgré leur bonne volonté, se retrouvent souvent à dire « Je veux bien, mais comment faut-il faire ? »

Nous avions tout un catalogue d’outils installés sur les postes ou à disposition des collaborateurs qui étaient tous simplement méconnus de tous. Il nous fallait donc les sortir de l’ombre et leur permettre de révéler au grand jour leur existence et leur utilité. C’est ainsi qu’est née notre ligue des Trustees !

A chaque outil son super héros dont le devoir est de montrer à nos collaborateurs à quoi ils servent et comment il est si simple de les utiliser en moins de 1 minute :

« Je veux envoyer un document sécurisé à mon client » : Chiffre le avec 7zip !

« Je veux protéger les documents sur ma clé USB » : Chiffre la avec BitlockerToGo c’est sur ton poste !

Affiches et petits films de démonstration à l’appui ont permis de communiquer sur nos différents canaux et d’en faire la présentation lors de nos Cybercoffee quizzes.

Je n’irais pas à dire qu’ils sont dorénavant utilisés à tous les coups, mais à minimum qu’ils sont plus connus et donc toujours plus utilisés qu’ils ne l’étaient avant.

Astuce technique : saviez-vous qu’il n’y avait pas besoin d’un logiciel professionnel et un bac+5 en audiovisuel pour réaliser des petits films d’animation ?

Il existe des outils du type Powtoon ou Vyond qui vous permettent de réaliser des films de sensibilisation très facilement avec toute une série de personnages ou de décors déjà proposés. En 1 à 2 jours vous arrivez déjà à faire votre première vidéo d’une minute. Rapidement il ne vous faudra qu’une demie-journée de montage. Le plus complexe reste toujours l’écriture du script, étape dont la durée peut être très variable selon le message que vous souhaitez passer, votre contexte ou votre degré d’exigence (c’est ce dernier point qui me prend personnellement beaucoup de temps !)

Pour des films plus simples incluant des extraits de vidéos et du texte, personnellement, mon nouvel outil de montage de vidéo est devenu Microsoft PowerPoint ! Vous savez déjà tous l’utiliser pour mettre du texte, des animations, des transitions. Il ne vous suffit plus que d’utiliser les fonctions d’insertion vidéo, d’enregistrement d’écran et d’export en vidéo. 3 fonctionnalités qui vous simplifient la vie car habituellement il faut toujours trouver des outils tierces pour enregistrer son écran, couper les rushs, convertir les vidéos.

Vous pouvez même enregistrer vos films en format GIF pour les intégrer directement dans vos e-mails de sensibilisation ! Pas besoin de rediriger votre utilisateur vers un site de vidéos !

L’avantage ultime, c’est que vous pouvez faire faire vos vidéos par d’autres personnes, les modifier à posteriori par d’autres sans formation car la plupart de vos collaborateurs savent utiliser PowerPoint. La créativité devient votre seule limite.

3 nouveaux supports, c’est tout ?

Dès que nos nouveaux supports étaient prêts, nous en avons profité pour remettre aux couleurs de TRUST nos anciens outils de sensibilisation :

1. Le e-learning à destination de tous les nouveaux collaborateurs s’est vu repeindre des visuels TRUST avec l’intégration des films présentés précédemment et un recentrage des questions vis-à-vis de nos 5 messages. Ce côté plus ludique nous a permis d’atteindre notre objectif que 100% des collaborateurs arrivés en 2019 réalisent ce e-learning. C’est également grâce à une bonne énergie de relances et une persévérance que cet objectif a été atteint ! Pas si facile que ça le 100%…
2. La page Intranet a également fait l’objet d’un relooking pour centraliser tous ces supports et mettre en avant les messages.
3. Les alertes de sécurité à destination des collaborateurs sont également passées sous la marque TRUST. Il ne faut pas l’oublier mais ces alertes peuvent être un formidable outil de sensibilisation. Entre l’e-mail automatique indiquant « On t’a vu ce n’est pas bien, tu vas être puni » et le mail de prévention envoyé par le personnage de sensibilisation expliquant les bonnes manières de faire, le message passe différemment. Et je pense fortement qu’il est plus efficace… la preuve en est de la baisse observée de ces alertes depuis leurs implémentations.

Fin du premier article… comment tenir dans la durée et ma conclusion prochainement dans la partie 2.

Cet article Récit de la création du nouveau programme de sensibilisation interne de Wavestone (1/2) est apparu en premier sur RiskInsight.

Des craintes à relativiser …

Disponibilité du Cloud

Chaque incident touchant l’un des grands acteurs du Cloud fait la « Une » de l’actualité, mettant sur le devant de la scène la question de sa disponibilité.

Il s’agit pourtant d’un faux problème : les taux de disponibilité des services Cloud sont souvent  supérieurs à ceux des systèmes internes des entreprises. La situation, d’un point de vue médiatique, est comparable à celle des accidents aériens : bien que rares, ils choquent l’opinion et intéressent les journalistes beaucoup plus que les accidents de voiture, qui font pourtant annuellement plus de victimes. La disponibilité n’est donc pas un risque inhérent au Cloud. Il reste néanmoins une spécificité à laquelle il faut prêter attention : la connectivité avec le fournisseur Cloud. Si celui-ci utilise internet comme unique moyen d’accès à ses datacenters, le risque d’indisponibilité de cet accès et d’internet en tant que tel doit être pris en compte.

 Confidentialité des données

Mes données sont-elles isolées de celles des autres clients ? Les administrateurs peuvent-ils y accéder ? Il est important de remettre ces craintes en perspective. D’une part, toutes les données de l’entreprise ne sont pas critiques en termes de confidentialité. D’autre part, si ces questions se justifient dans certains cas, elles ne sont pas nouvelles et ont trouvé leurs réponses il y a déjà plusieurs années, à l’heure des premiers contrats d’externalisation IT ou de l’emploi d’administrateurs prestataires. Les principales différences résident dans l’éloignement potentiel et le degré de contrôle possible du fournisseur.

La confidentialité des données vis-à-vis des Etats reste un sujet plus complexe à adresser. Ces derniers disposent en effet de textes leur permettant d’accéder aux données présentes dans les systèmes hébergés sur leur sol. Les USA font souvent figure d’épouvantail, leurs textes ayant en plus une portée extraterritoriale (Patriot Act, FISAA). Ces textes permettent à la justice et aux forces de l’ordre américaines d’accéder aux données manipulées par des sociétés de droit américain quel que soit le client et la localisation des données. Le risque est donc que des Etats aient accès aux données dans un objectif d’espionnage économique. Ce risque est réel comme l’illustrent les révélations sur les moyens dont dispose la NSA. Mais là encore, la portée du risque est à mesurer. Seules quelques données ont un niveau de sensibilité élevé : étatiques (administrations, défense, etc.), stratégiques pour l’entreprise dans un environnement à forts enjeux concurrentiels, géopolitiques, etc.

 Conformité réglementaire

La conformité réglementaire (PCI-DSS, LIL…) des offres Cloud, notamment en matière de protection des données à caractère personnel est également un sujet d’inquiétude. La situation reste très variable en fonction des acteurs, même si des réponses techniques (localisation des données, chiffrement…) ou juridiques (Safe Harbour, contrat type de la commission européenne…) existent aujourd’hui chez la plupart d’entre eux.

… car la sécurité est au cœur de la préoccupation des fournisseurs

Très visibles et régulièrement attaqués, les fournisseurs majeurs de Cloud mettent souvent en place des équipes dédiées pour assurer la sécurité de leurs services. La sécurité est même devenue pour certains d’entre eux l’un  des principaux arguments de vente.

Attention cependant : tous n’assurent pas le même niveau de sécurité. Il reste donc important de préciser avec le fournisseur les mesures incluses dès la signature du contrat, d’autant qu’il est difficile de faire évoluer les mécanismes de sécurité d’un fournisseur quand ceux-ci ne sont pas prévus initialement. Certains fournisseurs de solutions « SaaS métier » de taille petite et intermédiaire négligent parfois la sécurité : les audits et tests d’intrusion ont pour ce type d’offres une importance accrue.

Vers une coresponsabilité fournisseur / entreprise

Analyse de risque : passer de l’intention à l’action

Suivre une démarche d’analyse de risque est impératif pour lever les freins relatifs à l’adoption du Cloud. La finalité de l’analyse n’est pas d’interdire le Cloud par défaut mais plutôt d’identifier les données sensibles afin d’accompagner les projets de la manière la plus sûre et la plus pertinente. L’implication des responsables sécurité dès le démarrage des projets est donc essentielle. Ils doivent identifier les risques que l’on peut réduire par des moyens techniques et organisationnels, et ceux résiduels impossibles à couvrir. Aux Métiers et à la Direction de décider ensuite si ceux-ci sont acceptables ou non pour l’entreprise. Et de revoir si besoin le périmètre de la démarche Cloud.

Des contrôles à ne pas négliger…

Durant le projet ou en amont lors de la phase de choix des fournisseurs, il est recommandé de poser des questions précises sur les mesures de sécurité pour ne pas laisser place à des réponses ambiguës. Par exemple, beaucoup de fournisseurs mettent en avant leurs certifications.

Il convient de vérifier le type de certification et le périmètre concerné. Un certain nombre d’acteurs du Cloud acceptent d’ailleurs de fournir des détails sur l’architecture de leur solution, après signature d’un accord de non-divulgation. La capacité à répondre rapidement et de manière détaillée aux questions permet de se forger un avis sur la maturité de l’offre proposée.

En outre, la possibilité d’auditer le prestataire Cloud est un bonus à ne pas négliger. Accepter un audit est une preuve de transparence du fournisseur et de confiance en son niveau de sécurité. Même si les plus grands acteurs anglo-saxons s’y refusent, il est toujours utile de poser la question, notamment pour des acteurs de taille intermédiaire.

Des référentiels émergents

Un outillage commence à voir le jour pour aider les entreprises à évaluer les risques et le niveau de sécurité inhérent. En France, l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) a publié un guide pour accompagner les démarches de type Cloud computing. Au niveau européen, l’ENISA (European Network and Information Security Agency) fournit une analyse générique mais complète des risques liés au Cloud. Enfin, outre- Atlantique, l’association Cloud Security Alliance, qui regroupe les acteurs majeurs, a mis au point la Cloud Controls Matrix. Cette matrice permet de comparer de nombreux fournisseurs sur des critères de sécurité précis. Bien que fondée sur les seules déclarations desdits fournisseurs, elle peut s’avérer utile pour comparer les offres.

Le chiffrement : graal de la sécurité Cloud ?

Parmi les solutions techniques permettant de réduire les risques du Cloud, le chiffrement se positionne en tête. Et si aujourd’hui son utilisation nécessite souvent de donner les clés de déchiffrement au fournisseur, des innovations technologiques se profilent. Elles permettront de transférer et de traiter des données à distance sans jamais donner au fournisseur d’accès direct. Bien qu’encore expérimentales, ces techniques, rassemblées sous la bannière du chiffrement homomorphique, méritent qu’on les suive avec attention.

Ne pas mettre ses responsabilités dans les nuages

Contrairement à ce que trop d’entreprises pensent, leur responsabilité ne s’arrête pas une fois la solution Cloud mise en production. Si le fournisseur est tenu de respecter un certain nombre

de règles de sécurité, le maintien du niveau de protection dans le temps relève aussi de la  responsabilité de l’entreprise. Pour cela, les bonnes pratiques appliquées au SI d’entreprise doivent être transposées au Cloud : gouvernance de la sécurité (processus, sensibilisation des utilisateurs), administration fonctionnelle de la sécurité, configuration des options de sécurité avancées, restriction des droits requis par les utilisateurs, formation des administrateurs, revue régulière des paramètres de configuration… Ceci est particulièrement vrai pour la gestion des identités et des accès, élément clé pour garantir la confidentialité des données dans le Cloud.

Cet article Sécurité et Cloud, un mariage de raison est apparu en premier sur RiskInsight.