Transformez vos politiques en directives qui sont réellement suivies

Les équipes de sécurité et de conformité ont de plus en plus de mal à gérer les politiques. Qu’elles traitent de la sécurité de l’information, de la protection des données, de l’utilisation acceptable des outils, du télétravail, de la gouvernance de l’IA, ainsi que des procédures internes, elles doivent toutes atteindre les bonnes personnes, utiliser des termes simples et compréhensibles et il faut pouvoir facilement prouver que les collaborateurs en ont pris connaissance.

Pour ce faire, il faut nécessairement que les collaborateurs comprennent ce que ces politiques impliquent dans la pratique.

Nombreuses sont les entreprises qui ont conservé la même routine : rédiger le document, obtenir sa validation, le charger sur l’Intranet, envoyer un e-mail aux collaborateurs et assurer le suivi si ceux-ci ne confirment pas avoir pris connaissance du contenu. Dans le meilleur des cas, cette procédure prouve que la politique a été communiquée, mais pas que les gens l’ont comprise.

Toute personne ayant déjà chargé sur l’Intranet un long document contenant une politique et informé toute l’entreprise de sa publication par e-mail en a fait l’expérience : publier la politique, c’est facile ; être sûr que son contenu est assimilé, c’est beaucoup plus difficile.

Lors de SoSafe Live | In Action – Securing The AI Workplace, Harry Jeyarajah, responsable de l’ingénierie solution chez SoSafe, a fait remarquer que les entreprises géraient, en moyenne, entre 50 et 150 politiques. Il est donc d’autant plus difficile de veiller à garantir la cohérence de la communication, des accusés de réception et des signalements pour l’ensemble du personnel.

Parfois, les collaborateurs sont conscients qu’il existe une politique, mais ne savent pas avec certitude de quelle manière elle s’applique dans le cadre d’une journée de travail normale.

Plus les méthodes de travail évoluent rapidement, plus ce problème s’intensifie. Selon le guide Passez à la défense adaptative de SoSafe, une entreprise met en moyenne 19 jours pour actualiser sa ligne de défense humaine, tandis que les menaces augmentées à l’IA peuvent changer en quelques secondes. On retrouve la même urgence lorsqu’il s’agit de mettre en place des politiques. Il est possible de faire approuver rapidement un règlement, mais l’expliquer, le localiser, le publier et recueillir des preuves de sa lecture peut prendre des semaines.

Or, de nombreuses entreprises mettent à jour leurs politiques cinq ou six fois par an pour suivre le rythme auquel évoluent les réglementations et les procédures opérationnelles.

Prenons l’exemple des politiques relatives à l’IA. Le Règlement de l’UE sur l’IA a placé la maîtrise et la gouvernance de l’IA au cœur des préoccupations. Les entreprises doivent donc faire en sorte que leurs collaborateurs sachent dans quelles circonstances ils peuvent utiliser l’IA, quelles données ne doivent pas y être saisies et à quel niveau une supervision humaine est nécessaire.

Le même principe s’applique à toutes les politiques que les collaborateurs sont censés suivre. Pour qu’une politique soit efficace, il faut que les gens la comprennent, s’en souviennent et l’utilisent à bon escient.

Pourquoi la confirmation de lecture n’est que la première étape dans la gestion des politiques

La confirmation de lecture est utile. Elle fournit aux équipes une preuve qu’une politique a été envoyée, reçue et que l’utilisateur en a pris connaissance.

Mais il serait facile de surestimer cette forme de justificatif.

Un collaborateur peut confirmer avoir lu un document de dix pages et ne plus se souvenir des détails deux semaines plus tard. Il saura, par exemple, qu’il existe une politique sur le télétravail, mais ne sera pas sûr d’être autorisé à utiliser un dispositif personnel dans ce cadre. Il peut se rappeler qu’il existe une politique sur l’utilisation acceptable, mais ne pas savoir quels outils sont approuvés. Il peut avoir confirmé avoir lu la politique sur l’IA, mais continuer à copier-coller des informations sensibles dans un outil public parce que la règle ne lui a pas été présentée clairement au moment où il en avait besoin.

La plupart des collaborateurs s’efforcent de travailler efficacement et de prendre la bonne décision. Mais ils ont besoin de directives adaptées à la tâche à accomplir.

C’est un problème qui touche à la formation de façon plus large. Selon le guide Passez à la défense adaptative de SoSafe, 38 % des responsables de la sécurité estiment que leur formation à la cybersécurité actuelle est trop générique pour correspondre aux flux de travail réels des collaborateurs. On constate la même faiblesse au niveau des politiques. Le recours à un langage générique dans un document peut suffire pour satisfaire aux exigences, mais les instructions sont souvent trop imprécises pour éclairer les collaborateurs sur la marche à suivre lorsqu’ils en ont besoin.

Intégrer l’actualisation des politiques dans le flux de travail

L’outil Policy Management de SoSafe aide à remédier à la première partie du problème : la publication, la confirmation de lecture et les justificatifs.

Au lieu d’envoyer les mises à jour des politiques par le biais d’e-mails et de feuilles de calcul dispersés, il permet d’informer directement les collaborateurs au moyen des outils qu’ils utilisent déjà, tels que Microsoft Teams et Slack. Les équipes de sécurité ont aussi la possibilité de cibler des groupes spécifiques : les services, les personnes en télétravail, les différents emplacements géographiques ou tel ou tel rôle dans l’entreprise.

Un outil d’aide à la traduction intégré garantit que chaque personne reçoit les politiques dans la langue de son choix. Les confirmations de lecture sont suivies de manière centralisée dans le tableau de bord de SoSafe. Lorsqu’il est nécessaire de produire des justificatifs en vue d’un audit, il suffit ensuite d’exporter les rapports.

Côté collaborateurs, ceux-ci doivent simplement lire la politique et confirmer qu’ils en ont pris connaissance. Côté administrateurs, le travail devient plus facile à gérer. Les taux de confirmation s’affichent en temps réel, les lacunes sont faciles à détecter et les gestionnaires peuvent télécharger une analyse détaillée lorsque les auditeurs demandent des preuves.

Vous limitez ainsi le nombre de relances et simplifiez la communication autour des politiques dans l’entreprise pour les équipes responsables.

Rendre la conformité des politiques plus facile à prouver

Policy Management ne supprime pas la responsabilité humaine. Les équipes conservent leur rôle : approuver la politique, décider qui doit la recevoir et s’assurer que le message est clair.

Elles ont cependant moins de tâches à effectuer manuellement entre l’approbation du contenu et la délivrance de justificatifs.

Avec Policy Management, les entreprises peuvent :

• Envoyer les mises à jour des politiques sur de canaux professionnels que les collaborateurs connaissent bien.
• Cibler les bons groupes de collaborateurs.
• Publier en plusieurs langues pour les équipes internationales.
• Centraliser le suivi des confirmations de lecture.
• Exporter des justificatifs adaptés aux audits en cas de besoin.

La gestion des politiques ne devrait pas se limiter à un PDF posté sur l’Intranet. Elle doit aider chacun à prendre de meilleures décisions en sachant dans quelles circonstances telle ou telle politique s’applique.

Notre solution soulage les équipes de sécurité et de conformité en réduisant le temps passé à envoyer des relances pour obtenir des confirmations de lecture et à préparer les justificatifs manuellement. Les collaborateurs apprécieront quant à eux de recevoir les politiques dans les outils qu’ils utilisent déjà. Toute l’entreprise en bénéficie, puisque les politiques, mieux comprises, seront certainement mieux appliquées dans les gestes du quotidien.

Publiez les mises à jour des politiques sur les outils avec lesquels vos collaborateurs travaillent et fournissez à votre équipe des justificatifs adaptés pour les audits, sans l’obliger à relancer manuellement chaque utilisateur.