Dies ist eine alte Version des Dokuments!
L'importance de la sensibilisation dans la sécurité informatique
Introduction
Des phrases telles que „c'est la faute de l'utilisateur stupide“ ou „les utilisateurs finaux sont tout simplement trop stupides“ sont très fréquentes lorsqu'il s'agit de sécurité informatique. Pourtant, cette idée est fondamentalement fausse. Si les utilisateurs* ne savent pas certaines choses, la faute en revient à la gestion de la sécurité informatique.
Erreurs dans la gestion de la sécurité informatique
Souvent, l'accent est mis sur les solutions de sécurité techniques. Des coûts élevés sont consentis pour intégrer des logiciels techniquement complexes dans l'entreprise. Ensuite, on se sent en sécurité, mais on se réveille un matin, car malgré toute la technique, on a été Breaché.
Que s'est-il passé ?
Malgré toutes les mesures techniques, le réseau a pu être compromis. L'élément déclencheur a été le double clic sur un fichier ISO envoyé en pièce jointe dans un e-mail. Windows l'a intégré et le logiciel malveillant a pu se propager.
Anciennes voies d'attaque
La diffusion d'e-mails contenant des logiciels malveillants n'est pas nouvelle. Des e-mails plus ou moins bien falsifiés arrivent de temps à autre dans les entreprises.
Nouvelles voies d'attaque
Dans cet exemple particulier, un fichier ISO a été intégré. Ceci n'est pour l'instant qu'un symbole. Le véritable danger réside dans le fait que des moyens efficaces sont sans cesse trouvés pour diffuser les logiciels malveillants. Ces dangers ne peuvent pas être anticipés.
Le pare-feu humain
A ce stade, il n'a pas été tenu compte du fait qu'un concept de sécurité doit toujours être multicouche pour être efficace :
| Technologie | Processus | Homme |
|---|---|---|
| EDR, SOC | Directives, systèmes de gestion | Sensibilisation |
Dans notre cas, aucune importance n'a été accordée à l'awareness ou à la sensibilisation, car les utilisateurs* sont „stupides“. Il s'agit là d'une erreur fatale. Les termes „stupide“ et „ignorant“ sont fondamentalement différents.
Si la gestion de la sécurité informatique ne prévoit pas de compenser cette ignorance par des formations, l'erreur se situe justement au niveau de la gestion de la sécurité informatique. Des collaborateurs* bien formés constituent une protection efficace pour l'entreprise.
Avec des formations de sensibilisation ciblées, nous nous construisons un „pare-feu humain“ et donc une couche de sécurité supplémentaire, ce qui est extrêmement important.
Mais la sensibilisation doit aussi se faire en fonction de la situation. En cas de nouvelles menaces, par exemple, une communication et une sensibilisation rapides devraient être mises en place afin de pouvoir réagir rapidement aux dangers.