Sensibiliser à la cybersécurité pour intégrer des comportements sûrs dans le quotidien

Pour que vos collaborateurs adoptent les bonnes pratiques en matière de cybersécurité, vous devez mettre en place un programme solide de sensibilisation à la cybersécurité, axé sur vos problématiques clés. Par le biais d’actions positives, concrètes et variées, il doit susciter leur engagement tout en respectant leurs particularités. Concrètement, il s’agit de mettre en place un programme qui répond à vos ambitions et qui vise à la fois :

• Un changement de comportement efficace
• Le développement d’une culture de la sécurité dans votre organisation

Pour vous aider à construire de la meilleure manière votre programme, nous avons développé une méthodologie : TAMAM.

TARGET : fixer des objectifs concrets et mesurables

AUDIENCE : adapter l’approche en fonction des personnes ciblées

MESSAGE : choisir un message concis, positif, qui appelle à l’action

ACTIONS : mettre en place des actions efficaces, concrètes et variées

MESURES : évaluer l’impact du programme sur les comportements

Cet article vous expose les principes, les enjeux et le rôle que TAMAM joue pour vous accompagner !

Mais posons tout d’abord quelques éléments de contexte quant à la sensibilisation à la cybersécurité…

Pourquoi cliquent-ils toujours sur ces e-mails de phishing ?!

• Notre parcours de sensibilisation à la cybersécurité a commencé il y a plus de 15 ans. À l’époque, les choses étaient bien différentes. C’était l’époque des nouveaux programmes de sensibilisation, menés par des responsables de la cybersécurité nouvellement nommés, avec peu de moyens et pourtant un objectif clé : dire aux gens ce qu’ils doivent faire pour protéger les systèmes d’information. Rien de plus, rien de moins. C’était l’époque des 10 meilleures pratiques, des choses à faire et à ne pas faire, des formations de masse, etc.

• Une fois énoncés, ces messages étaient considérés comme des connaissances communes et appliqués par tout le monde ; et c’est ainsi que la sensibilisation a été reléguée au second plan et n’était plus une priorité pour les responsables de la cybersécurité. C’était la période difficile de l’insuffisance et des coupes budgétaires.

• Puis sont arrivés le nombre croissant de cyberattaques et le RGPD. Avec de nouveaux risques est apparu un nouvel appétit pour la sensibilisation et l’éducation des utilisateurs. La sensibilisation à la cybersécurité était de nouveau à l’ordre du jour, mais avec des moyens et des intérêts variables. Au fil des années, elle est restée parmi les sujets de cybersécurité, mais avec une grande variabilité entre les organisations en matière d’efficacité et d’efficience.

• Et nous voici maintenant en 2023, et les mêmes questions demeurent : « J’ai tout essayé mais il y a encore des gens qui ne perçoivent pas les risques – que puis-je faire ? » ; « J’ai besoin de garder mes collaborateurs intéressés par le sujet, que pouvez-vous proposer de nouveau ? ». Au fond, ce que l’on constate, c’est simplement un manque de considération de l’efficacité du programme de sensibilisation : il semblait atteindre un plafond de verre. Des efforts ont été faits, des investissements ont été réalisés, mais peu de changements ont eu lieu. Pourquoi ? Parce que les efforts et les investissements sont vains s’ils ne visent pas à modifier efficacement les comportements et, en fin de compte, à instaurer une culture de la cybersécurité. Mais comment y parvenir ? C’est l’objet de cet article.

Comment impliquer tous vos collaborateurs dans la cybersécurité ?

Sur la base de ces éléments de contexte, nous avons élaboré une méthode pour construire un programme efficace de sensibilisation à la cybersécurité. Nous voulions que ce modèle soit personnalisable afin qu’il puisse être appliqué à chaque organisation, quels que soient sa taille, sa maturité, son budget ou sa culture. Il ne s’agit pas d’un modèle unique, mais d’une structure de base à adapter à chaque organisation.

Target

Comme pour tout, vous devez commencer par le “pourquoi”. Cela sert à définir les objectifs : une cible à atteindre, une vision de l’endroit où aller et un chemin pour y parvenir, ce qui est essentiel pour avoir une chance de réussir.

Ces objectifs doivent être ciblés sur vos batailles prioritaires, c’est-à-dire sur le changement que vous voulez voir dans votre organisation. Ils ne représentent pas seulement de bonnes intentions comme “sensibiliser mes employés”. Il s’agit de comportements précis que vous voulez voir tous les jours. Par exemple, si le phishing est l’une de vos principales préoccupations : “Comment éduquer mes employés à signaler les tentatives et les incidents de phishing ?”. Ainsi, vous voyez votre cible et le moyen de l’atteindre.

Des objectifs précis permettent également d’obtenir des résultats mesurables. Lorsque vous les définissez, vous retenez généralement les indicateurs clés de performance et les mesures que vous utiliserez pour évaluer leur succès. En règle générale, si vous êtes incapables de trouver une mesure pour votre objectif, cela signifie qu’il est plus illusoire que réalisable.

Enfin, vous vous devez de partager ces objectifs avec vos employés. De cette façon, vous les faites participer activement au changement de comportement que vous attendez d’eux. En leur donnant les règles du jeu, vous leur permettez de jouer et de gagner la partie avec vous, car la cybersécurité est un gain collectif.

Cette première étape est largement survolée, et rares sont les organisations qui prennent le temps nécessaire pour réfléchir à leur véritable cible en matière de sensibilisation à la cybersécurité. Pourtant, elle est le point de départ essentiel. Comme pour tout voyage : on ne peut atteindre la maison d’un ami que si l’on connaît son adresse.

Audience

Qui voulez-vous atteindre exactement ? Votre public, ce sont les personnes qui ont besoin de sensibilisation, de formation et d’éducation. Une identification claire de ce public vous aidera à définir une approche adéquate. Pour connaître leurs besoins, vous devez commencer par répartir les personnes en groupes – principalement en fonction de leur place dans l’organisation, de leur proximité avec le sujet, de leur exposition aux risques que vous voulez prévenir, de leur rôle, etc. Ces clusters peuvent regrouper les nouveaux arrivants, le personnel externe, les ambassadeurs locaux, le personnel informatique, etc.

Pour chacun de ces groupes, votre rôle sera d’évaluer leur niveau actuel de maîtrise des différents objectifs définis. Il s’agit en fait de réaliser un gap de compétences pour savoir quels sujets nécessitent plus d’attention. Ces informations seront essentielles pour adapter le programme aux besoins de ces personnes et à leur niveau actuel de maîtrise.

Message

C’est le moment de trouver cette phrase d’accroche qui restera dans la tête ! Les personnes à qui vous allez communiquer vos messages reçoivent de nombreuses autres sollicitations pour diverses causes (RSE, règles, valeurs, etc.). D’où l’importance de sélectionner judicieusement vos messages et de rester concis. Le temps et l’attention disponibles sont limités, c’est pourquoi il est préférable de sélectionner quelques messages qui abordent les risques clés et les objectifs importants.

Le ton utilisé est aussi crucial car il doit être adapté à la culture organisationnelle : les messages drôles fonctionnent dans certains environnements, tandis que les messages sérieux fonctionnent mieux dans d’autres. Quel que soit le ton utilisé, les messages devront être positifs et appeler à l’action. Oubliez les injonctions négatives (“ne pas”) et adoptez les actions positives (“agir”).

Avec ces trois premières étapes en tête (Target, Audience et Message), vous avez la base de votre programme de sensibilisation à la cybersécurité :  vous savez ce que vous voulez dire, à qui, afin d’atteindre des comportements définis.

Actions

Il est temps d’identifier les actions que vous allez pouvoir mettre en place dans ce cadre. Ici, il faut rester concentrés et pragmatiques, et penser à l’efficacité de l’action choisie pour atteindre vos objectifs. La créativité et l’innovation sont sûrement importantes pour maintenir une certaine motivation, mais elles ne constituent pas le seul facteur de réussite. Pour que les collaborateurs soient impliqués dans leur apprentissage, la cybersécurité doit être concrète : cela passe par des activités ou cas d’application qui les rapprochent de leur vie quotidienne.

Une fois les actions identifiées, la manière dont elles sont mises en œuvre est également essentielle. Les ressources, les personnes et l’organisation doivent être adéquates pour faire passer les messages sélectionnés.

• Qui en est le porteur ? Interne ou externe ?
• Comment peuvent-ils être répétés de manière différente (stimulus pratique, visuel, oral, etc.) ?
• Sous quels angles et avec quelles activités aborder ces questions pour sensibiliser les collaborateurs de la manière la plus adéquate ?

En bref, avec quelques messages, il vous faut construire différentes activités, à différents moments, avec différentes approches, pour ancrer ces comportements dans leur vie quotidienne.

Mesures

Enfin, l’ensemble de ce programme doit être évalué : a-t-il réellement permis de changer les comportements des collaborateurs ? C’est nécessaire pour la Direction qui demandera de voir la valeur apportée à son investissement, mais aussi pour l’équipe de sensibilisation qui voudra montrer les résultats tangibles de ses efforts.

Dans votre démarche de sensibilisation, vous devez vous concentrer sur son efficacité, au-delà de la mise en œuvre elle-même. Trop souvent, les organisations se concentrent sur le nombre d’activités réalisées ou le nombre de personnes touchées par le programme. Mais ces chiffres permettent rarement de comprendre le changement de comportement qui s’opère (ou non).

Pour élaborer votre plan d’évaluation, et afin d’obtenir une compréhension globale de la réalisation de vos objectifs, il est pertinent d’utiliser à la fois des mesures quantitatives et des retours qualitatifs de la part des collaborateurs. Cela nécessitera peut-être de nouvelles méthodes de collecte de ces informations – comme l’implication du service d’assistance, ou même l’obtention de nouvelles données du SOC (Security Operations Center) – mais le résultat apportera une valeur considérable à votre programme. En effet, cette évaluation vous permettra de le revoir et de le maintenir continuellement adapté à vos objectifs, qui peuvent également faire l’objet d’adaptations si le contexte organisationnel change.

Une dernière chose. Si vous voulez créez de l’engouement autour de la sensibilisation à la cybersécurité : communiquez vos réalisations et célébrez les victoires ! Vous le méritez.

Prenez la première lettre de ces 5 principes et vous obtenez TAMAM. Ce n’est pas un hasard si ce mot se traduit par “tout va bien” en turc. TAMAM, c’est ce que vous attendez de vos collaborateurs : qu’ils soient alignés avec vos objectifs et partants pour vous suivre vers de bonnes pratiques cyber et des comportements plus sûrs.

Par où commencer ?

Maintenant que vous avez une meilleure compréhension des différentes étapes pour construire un programme solide de sensibilisation à la cybersécurité, vous vous posez peut-être les questions suivantes : où en suis-je et comment parvenir à mettre en place un tel programme au sein de mon organisation ?

Pour commencer, il faut probablement prendre du recul pour examiner votre niveau de maturité actuel en matière de sensibilisation à la cybersécurité. Pour gagner en maturité, vous devrez avoir une compréhension claire et honnête de la manière dont votre organisation aborde ce sujet.

Quoiqu’il en soit, la puissance du TAMAM réside dans sa capacité à être utilisé quel que soit votre niveau de maturité, car ses principes sont adaptables à de nombreuses situations.

TAMAM : vous vous lancez ?

Quand vous utilisez TAMAM, vous :

• Posez un objectif clair et précis à atteindre
• Adaptez l’approche en fonction des besoins des différents publics
• Définissez les quelques messages à communiquer sur ces objectifs
• Sélectionnez la meilleure façon de communiquer ces messages par des activités efficaces
• Évaluez cette efficacité afin d’adapter l’approche et affiner le programme

Cet article n’est qu’un aperçu de ce que TAMAM peut apporter à votre programme de sensibilisation à la cybersécurité. Contactez-nous pour comprendre comment notre méthode peut vous aider à renforcer vos efforts de sensibilisation !

Contactez-nous

Cet article TAMAM ou comment sensibiliser à la cybersécurité est apparu en premier sur RiskInsight.

L’émergence des MOOC, TED, réseaux sociaux d’entreprise, ou encore Serious games peut-elle redynamiser la formation professionnelle ? L’enseignement dit traditionnel est-il véritablement voué à s’effacer au profit des outils issus du digital ? Quelle place pour la fonction RH sur le thème de la formation professionnelle ?

L’apprentissage : entre épisodes formels et informels

Si le format à privilégier est sujet à discussion, il existe à l’inverse un consensus autour du contenu nécessaire à une formation aboutie. Ce consensus repose sur une idée simple, matérialisée par un modèle : le 70/20/10. Développé au milieu des années 1990 par 3 scientifiques de l’université de Princeton, au sein du Center for a Creative Leadership², ce modèle décrit le processus d’apprentissage et de formation autour de 3 épisodes distincts :

• 70% de l’apprentissage résulte de l’expérience personnelle (expérimentation)
• 20% des interactions avec son entourage (apprentissage social)
• 10% des épisodes de formation formelle (apprentissage théorique)

Le 70/20/10 n’a pas vocation à constituer une règle absolue, mais il pose néanmoins « un cadre pour aligner les stratégies de formation avec le monde réel », selon Charles Jennings³, l’un des principaux promoteurs du modèle.

Du point de vue de l’individu, le constat est donc simple : 90% de nos savoirs et compétences proviennent  de phases d’apprentissage expérimental. C’est la formation dite « on the job ». Du point de vue de l’entreprise, le constat est cruel : les épisodes de formation théorique, qui représentent la majeure partie de leurs dépenses en la matière⁴, n’influent que sur 10% du processus global de l’apprentissage. Si l’on ajoute à cela la multiplication des canaux d’information, et la facilité d’accès aux données, on comprend les difficultés rencontrées par les départements formation pour définir leur stratégie.

Une offre pléthorique de nouveaux formats…

Si le mode de formation incontournable reste le présentiel (91% des collaborateurs ayant suivi une formation ont eu un module au moins en présentiel⁵), les services dédiés à la formation prennent peu à peu la mesure des nouveaux outils issus du digital pour étoffer leur offre. Le e-learning est désormais le deuxième vecteur de transfert de connaissances, et les formations mixtes, mêlant présentiel et distanciel, touchent près de la moitié des collaborateurs participant à un processus de formation.

Plus récemment, les MOOC (Massive Online Open Course), cours magistraux ouverts à tous, dispensés en ligne par des experts, sont entrés en phase de démocratisation. Ils répondent à la demande des collaborateurs, pour qui l’immédiateté et l’absence de contrainte logistique sont devenues primordiales. Toutefois, ce format initialement dédié à la formation universitaire peine à s’installer comme une solution crédible en entreprise, en raison d’un taux d’abandon très élevé. Le format COOC (Corporate Online Open Course) voit donc progressivement le jour, avec un contenu produit exclusivement par et pour les collaborateurs, pour assurer leur totale adhésion.

Les Serious Game ont de leur côté fait leur apparition, pour faire passer un cap à l’apprentissage en termes d’interactivité, et pour mettre en adéquation la formation professionnelle avec les codes de la génération Y. Les académies virtuelles sont également devenues une alternative viable aux campus de formation standard très coûteux.

Enfin, dans un registre plus propice aux interactions entre les collaborateurs, les réseaux sociaux d’entreprise (RSE) et les communautés de partage ont apporté un cadre aux échanges de savoirs et de compétences.

…mais une formation qui reste très théorique

Cette diversité dans les formats est bien sûr un point très positif dans l’amélioration de la qualité des formations dispensées en entreprise. Néanmoins, on observe deux tendances.

D’une part, l’aspect expérimental de tout apprentissage, mis en évidence par le modèle 70/20/10, n’est toujours pas couvert par l’offre de la formation interne.

D’autre part, les processus d’autoformation et d’interaction (RSE, MOOC, TED) issus du digital ne sont pas encore bien encadrés par la fonction RH. En résumé, plutôt que de créer des environnements d’apprentissage informels et propices à l’expérimentation, la révolution digitale a favorisé l’émergence de versions digitalisées de processus d’apprentissage figés.

Cela ne signifie pas que l’apprentissage informel est totalement délaissé, car au contraire, il a été largement stimulé par l’évolution des codes de l’entreprise, avec la diminution des lourdeurs hiérarchiques et l’apparition d’organisations plus réactives et horizontales. Cela signifie que la fonction RH a vu son champ d’action se restreindre en matière de formation, et son influence sur la gestion des parcours diminuer.

C’est le défi à relever pour la fonction RH : assumer sa position d’acteur principal sur le thème de la formation professionnelle. Quelques pistes sont à suivre pour y parvenir : encadrer les pratiques issues des nouvelles tendances managériales et digitales, et reprendre la main sur l’ensemble du processus d’apprentissage, de la théorie à la mise en pratique. Le digital est l’un des facteurs de réussite, c’est une évidence, mais il ne suffira pas de proposer une version digitale des formations théoriques classiques, ou de simplement encadrer le déploiement des outils collaboratifs. Il faudra exploiter au maximum les possibilités offertes par le digital et le Big data pour placer la mise en situation et l’interaction au cœur de la formation professionnelle.

____________________________________________

¹ Baromètre Cegos : « La formation professionnelle en Europe »

² Morgan McCall, Robert W. Eichinger, Michael M. Lombrado

³ http://charles-jennings.blogspot.fr/

⁴ Fédération de la Formation Professionnelle – Données et Chiffres clés –  www.ffp.org

⁵ Baromètre Cegos : « La formation professionnelle en Europe »

Cet article Le digital a-t-il réellement révolutionné la formation professionnelle ? est apparu en premier sur RiskInsight.

Focus sur les trois mesures phares de cette loi et sur leurs principaux impacts pour les stagiaires…et les entreprises.

Une durée plafonnée à 6 mois

La limitation portera la durée maximale des stages à six mois. Une exception sera cependant possible pour les cursus qui nécessitent une durée d’insertion professionnelle supérieure en lien avec les professions visées. Ces formations figureront sur une liste arrêtée par décret. Ce décret s’appliquera pendant les deux années qui suivront la promulgation de la loi. Il ne sera ensuite plus possible, pour un étudiant, de rester plus de six mois en stage au sein d’une même entreprise.

Les établissements d’enseignement pourront valider un stage qui aurait été interrompu avant son terme ; y compris en cas de rupture de la convention à l’initiative de l’entreprise. Cette mesure vise à ne plus pénaliser le jeune dans son parcours.

Cette limitation aurait une conséquence double. On peut s’attendre à une recrudescence des formations en alternance. Pour les jeunes qui souhaitent accroître leur expérience professionnelle durant leur formation, cette mesure peut favoriser leur réorientation vers des cursus en alternance.

Cela signifie aussi la fin du recours à l’année de césure pour les jeunes qui interrompaient momentanément leur formation pour exercer une activité visant exclusivement l’acquisition de compétences en liaison avec cette formation.

Augmentation de la gratification des stagiaires

La gratification reste obligatoire pour tout stage dont la durée dépasse deux mois dans l’entreprise. À compter du 1^er septembre, son montant minimum passera de 436 euros à 523 euros mensuel. Pour mettre en œuvre cette hausse qui s’élève à 87 euros, un décret à venir devrait prévoir une augmentation en deux temps : + 43,50 euros à la rentrée 2014 et + 43,50 euros à celle de 2015. Cependant, un décret fixera les conditions d’abaissement de cette gratification, dans le cadre de formations dispensées dans le milieu rural et agricole.

Le montant de cette nouvelle gratification sera fixe quel que soit le nombre de jours ouvrés dans le mois. Ceci afin d’éviter que les entreprises ne défalquent les éventuels jours fériés chômés intervenant durant le mois considéré.

De nouveaux droits pour les stagiaires

La loi dote les stagiaires de nouveaux droits. Droit à des titres restaurant ou accès au restaurant d’entreprise tout d’abord. Si une entreprise dispose d’un restaurant, elle devra en assurer l’accès au stagiaire. À défaut, le stagiaire devra avoir droit à des titres restaurant, au même titre que les autres collaborateurs de l’entreprise.

Le stagiaire aura également droit à la prise en charge partielle des frais de transports. L’employeur sera tenu de prendre en charge une part du prix des titres d’abonnements souscrits par le stagiaire pour ses déplacements entre sa résidence habituelle et le lieu de son stage. Les modalités fines d’application seront précisées par décret.

Enfin, droit à des congés en cas de grossesse, de paternité ou d’adoption avec une durée équivalente d’absence à celle prévue pour les autres salariés.

Ces dispositions induisent donc une augmentation du pouvoir d’achat des stagiaires mais surtout une augmentation du coût des stages pour les entreprises. Une augmentation qui  peut, sur le long terme, inciter ces dernières à réduire le recours à cette population.

Pour d’avantage encadrer un secteur qui a connu des abus et des déboires ces dernières années, le choix a été fait d’augmenter les coûts et de complexifier les règles des stages en entreprise. Pour beaucoup de jeunes adultes, ces stages représentent le premier vrai contact avec le monde professionnel. Ceci est l’occasion pour eux de mettre un pied dans la vie active. Pour les entreprises, les stages sont un moyen d’avoir accès à une main d’œuvre supplémentaire, dans des conditions moins contraignantes et coûteuses que les contrats à durée déterminée ou d’intérim. Laissons-nous quelques mois pour connaître les réels impacts de cette loi. L’application de l’ensemble de ses dispositions (hormis le relèvement de la gratification) étant prévue pour la rentrée prochaine, l’attente ne devrait pas être très longue…

Cet article Du nouveau dans le statut des stagiaires : entre risques et opportunités est apparu en premier sur RiskInsight.

Une systématisation de l’entretien professionnel

La nouvelle loi sur la formation, sonne la fin de l’entretien professionnel sous sa forme actuelle. En effet, dans sa nouvelle monture, l’entretien professionnel devient un passage obligatoire dans le parcours professionnel du salarié. À ce titre, il devra systématiquement être proposé :

• aux salariés présents dans l’entreprise,
• à l’issue d’une suspension de contrat ou d’une absence maladie de type, congé maternité, d’un congé parental d’éducation, d’un congé de soutien familial, d’un congé sabbatique, d’un arrêt maladie…

Faute de respecter ces nouvelles obligations, les employeurs se verront sanctionnés. L’entretien professionnel remplacera tous les autres entretiens existants dans l’entreprise, excepté l’entretien d’évaluation. Cette mesure concerne toutes les entreprises, quelle que soit leur taille.

 Un entretien aux objectifs cadencés

Tous les deux ans, les salariés bénéficieront d’un entretien professionnel. Le principal objectif de cet entretien sera de permettre au salarié d’échanger avec son employeur sur ses perspectives d’évolution professionnelle, notamment en termes de qualification et d’emploi, et non sur une évaluation de son travail, à la différence de l’entretien annuel.

Tous les six ans, cet entretien aura pour objectif de permettre à l’employeur de faire, avec chaque salarié, un « état des lieux récapitulatif » de son parcours professionnel dans l’entreprise. Il s’agira d’apprécier s’il a suivi au moins une action de formation, acquis des éléments de certification par la formation ou par une validation des acquis de son expérience ou bénéficié d’une progression salariale ou professionnelle. L’entretien professionnel donnera lieu à une formalisation écrite dont le modèle pourra être fourni par l’OPCA.

Dans les entreprises de plus de 50 salariés, l’entretien professionnel doit permettre de vérifier que les salariés ont bien bénéficié :

• d’une action de formation,
• d’une certification par la formation ou par la VAE (validation des acquis de l’expérience),
• d’une progression salariale ou professionnelle…

À défaut d’entretien durant six ans et d’au moins deux des trois critères, le salarié pourra bénéficier d’un « abondement correctif » de son compte personnel de formation égal à cent heures.

L’entretien professionnel pour tous…

Nous ne savons pas dire, à date, si cette nouvelle initiative aura les effets escomptés et si la notion d’obligation engendrera motivation… Cependant, l’élément certain est que l’entretien professionnel deviendra un élément central de la relation entreprise / salariés…

Cet article Réforme de la formation professionnelle, de l’emploi et de la démocratie sociale, quelles nouveautés sur le plan RH ? Zoom sur l’entretien professionnel. est apparu en premier sur RiskInsight.