Risques cyber : communiquer avec les collaborateurs en distanciel est crucial

« Loin des yeux, loin du cœur » ! Cette locution dérivée d’un proverbe latin signifie que les sentiments ont tendance à s’éroder lorsqu’on est éloigné de la personne aimée. Cette expression peut parfaitement s’appliquer à l’enjeu de cybersécurité que représentent les collaborateurs qui travaillent essentiellement à distance de l’entreprise. Même si leur ordinateur portable est sécurisé par la DSI, le fait d’emprunter des réseaux externes augmente les risques d’intrusions. D’où l’importance d’établir une communication spécifique et régulière avec cette population.

Qui est prioritairement concerné ?

Les catégories les plus à risque sont d’abord les itinérants qui passent très peu de temps à leur bureau du fait de leurs missions intrinsèques. Il s’agit essentiellement des forces commerciales qui sont sur le terrain pour rencontrer leurs clients. De fait, ils sont souvent amenés à se connecter en divers endroits pour consulter des contenus de leur entreprise d’appartenance, travailler sur des dossiers et partager des rapports.

D’autres profils sont également à risque : les grands voyageurs internationaux et les collaborateurs détachés dans des pays sensibles pour une longue durée. Eux aussi sollicitent des infrastructures externes pour continuer d’interagir avec leurs collègues sédentaires, multipliant ainsi les potentielles brèches pour des pirates informatiques et/ou des espions étrangers.

La pandémie de covid-19 a vu l’essor du télétravail. Avec le confinement, chacun a dû improviser dans l’urgence de nouveaux modes de connexion en s’appuyant essentiellement sur son réseau Internet dont le niveau de sécurisation est souvent moindre que les VPN ultra-renforcés fournis par les entreprises. Si la crise sanitaire a fini par disparaître, l’appétence pour le travail à distance s’est considérablement accentuée bien que de nombreuses sociétés cherchent aujourd’hui à faire machine arrière comme aux États-Unis.

La distance élève le risque

Ces modes collaboratifs constituent autant de pièges potentiels où le cyber-risque est encore plus prégnant. Aujourd’hui, il est en effet possible de se connecter quasiment partout à moins d’être dans une zone blanche. Entre les réseaux wifi publics, les partages de connexion via un smartphone, les clés 4G/5G, les options ne manquent pas. Seulement voilà, à moins de disposer d’un matériel ultrasophistiqué, le réseau emprunté par l’ordinateur du collaborateur jusqu’au serveur de l’entreprise n’est pas toujours aussi bien protégé. En particulier, le réseau wifi public qu’on trouve dans le train, l’avion, dans un lieu public etc.

Les équipes informatiques des entreprises travaillent généralement pour fournir un premier niveau de sécurité augmentée avec notamment un VPN dédié pour les collaborateurs à distance, des mises à jour régulières contre les virus et les logiciels malveillants. Mais cela ne fait pas tout. Un fournisseur de services d’accès, OpenVPN, a mené récemment un petit sondage auprès de décideurs informatiques à propos de leurs préoccupations techniques que le travail distanciel suscite. Il s’avère que 90% des personnes interrogées pensent que les travailleurs distants posent un risque de sécurité en général. Plus de la moitié (54%) estiment même que les employés distants présentent un risque de sécurité plus élevé que les employés sur site.

L’erreur humaine reste le point faible n°1

Ce constat met précisément en lumière la nécessité d’adopter une stratégie de communication interne adaptée à l’égard de tous les collaborateurs qui recourent fréquemment à des connexions en dehors de l’environnement informatique de l’entreprise. Même si la sécurité informatique est à son maximum, l’erreur humaine n’est jamais bien loin. L’édition 2022 de l’Index IBM « X-Force Threat Intelligence » en atteste. L’erreur humaine est la cause des incidents de sécurité dans plus de 90 % des cas, et les postes de travail constituent la première source de failles de sécurité.

D’ailleurs, ce n’est pas par hasard si l’année de la pandémie (2020) a connu une recrudescence des cyberattaques qui ont indistinctement frappé des structures de santé, des petites et grandes entreprises et des collectivités territoriales. En 2020, l’Anssi avait ainsi noté une augmentation de 255% des signalements d’attaques par ransomware.

Établir une communication accessible et régulière

Pour sensibiliser les collaborateurs plus exposés aux attaques informatiques de tout genre, il convient de les former aux bonnes pratiques en opérant ponctuellement des webinaires sur l’importance des précautions à prendre lors d’une connexion à distance. L’idéal étant de parvenir à « ritualiser » ce genre de formation (par exemple tous les deux ou trois mois) en dispensant un récapitulatif sur de nouvelles menaces identifiées, de nouvelles procédures à adopter, etc.

Pour rendre l’ensemble plus digeste et vivant, on peut y adjoindre des petits cas d’études à travers des articles de presse. Et même intégrer des modules plus ludiques tels que proposés par des plateformes de management virtuel, comme Klaxoon.

Le maintien de ce lien (sans le rendre fastidieux et trop chronophage) est essentiel avec ces collaborateurs dont l’usage informatique est potentiellement plus périlleux. Entre deux mini-formations, la communication interne peut aussi imaginer des quiz en ligne sur le sujet de la cybersécurité avec des lots à la clé.

Il n’est pas question pour autant d’infantiliser les personnes. Il s’agit de les aider à conserver un solide niveau de vigilance. Dans une entreprise pour laquelle j’ai collaboré, on pouvait trouver sur l’Intranet une collection de petites vidéos interactives. Chacune relatait l’histoire d’un personnage dans une situation précise de travail à distance. Le récit était entrecoupé de questions à choix multiples sur la sécurité informatique qui donnaient des points en cas de bonne réponse. C’est là une façon agréable de sensibiliser à un sujet crucial.