Pare-feu humain : la clé de la cyber-résilience

La technologie ne suffit pas, à elle seule, pour protéger votre entreprise. Votre première ligne de défense contre les cyberattaques, c’est le facteur humain. Si votre pare-feu humain est solide, il détectera les attaques suffisamment tôt pour vous permettre d’éviter les dégâts avant qu’il ne soit trop tard.

Sommaire

1. Définition : qu’est-ce qu’un pare-feu humain ?
2. Pourquoi votre entreprise en a-t-elle besoin ?
3. Exemples de bonnes pratiques
4. Exigences
5. Construire un pare-feu humain
6. Mesurer la réussite

Points clés à retenir : le pare-feu humain

• Des collaborateurs ayant développé de bons réflexes de sécurité sont capables de détecter les attaques et de limiter les dégâts.
• La formation de sensibilisation, les ateliers, les simulations de phishing et les canaux de signalement simples permettent d’intégrer les bonnes pratiques de sécurité dans le flux de travail quotidien.
• C’est à la direction de montrer l’exemple, en définissant des responsabilités claires et en instaurant une culture qui permet d’apprendre de ses erreurs.
• Grâce aux taux de clics et de signalement indiqués dans le tableau de bord, vous pouvez visualiser les progrès de votre pare-feu humain.
• Le comportement humain est essentiel pour compléter les mesures de protection techniques.

Définition : qu’est-ce qu’un pare-feu humain ?

Par leurs bons réflexes de sécurité et par les compétences qu’ils ont développées dans ce domaine, les collaborateurs contribuent à la gestion des cybermenaces. C’est ce que signifie, concrètement, l’expression de « pare-feu humain » (human firewall en anglais), et c’est aussi ainsi que nous la définissons. Les collaborateurs repèrent rapidement les événements suspects, y réagissent de manière appropriée et veillent à les signaler rapidement et correctement. Ils sont aidés par les mesures de protection techniques, mais celles-ci ne suffisent pas, à elles seules, à assurer la défense de la structure.

Cette définition du pare-feu humain inclut aussi la notion de « malware humain ». L’ingénierie sociale joue sur des leviers précis : la curiosité, l’urgence et le désir d’aider, au point que certaines équipes de sécurité qualifient ces principes psychologiques de « malware humain ». Un bon pare-feu humain ne permet pas d’éviter cette pression, mais il donne au personnel les moyens de la gérer : un responsable clairement identifié vers qui ils peuvent se tourner en cas de problème, un moyen simple pour signaler l’incident, et une formation qui sensibilise suffisamment les collaborateurs pour qu’ils remarquent que quelque chose cloche.

La réglementation évolue dans la même direction. Le Règlement sur la cyber-résilience (Cyber Resilience Act) de l’UE, par exemple, exige des processus sécurisés tout au long du cycle de vie d’un produit. Avec de telles règles, la formation, les procédures claires et la mise en place de solutions de signalement permettant la traçabilité n’ont plus rien de facultatif.

Pourquoi votre entreprise a-t-elle besoin d’un pare-feu humain ?

Plus d’un tiers des gens cliquent sur le contenu malveillant des e-mails de phishing, et près de deux sur cinq interagissent ensuite avec ce contenu. Dans ce contexte, les données du Human Risk Review de SoSafe racontent pourtant une autre histoire: après douze mois de formation de sensibilisation, on enregistre trois fois plus d’activités suspectes signalées par les collaborateurs. Un pare-feu humain bien conçu permet de réduire les comportements à risque et entraîne une amélioration mesurable de la réactivité des entreprises.

Exemples concrets de pare-feu humain

Des incidents concrets montrent à quel point le comportement des collaborateurs est important, et quelles routines sont réellement utiles. Les exemples de pare-feu humain suivants illustrent comment de bons comportements en matière de sécurité peut stopper une attaque ou limiter les dégâts une fois la cyberattaque en cours.

Cas nº 1 : Perte de contrôle lors d’un test d’intrusion

Dans le cadre d’un exercice de Red Team, des experts en sécurité externes ont obtenu un accès physique à un site de l’entreprise grâce à un faux entretien d’embauche. Ils ont ainsi pu pénétrer, sans être inquiétés, dans des bureaux à l’intérieur de l’entreprise où ils ont trouvé des points d’accès réseau non protégés. De là, ils se sont introduits dans les systèmes internes et ont augmenté leurs privilèges pour pouvoir contrôler à distance des composants clés. En sortant du bâtiment, ils ont même réussi à dérober un jeu de clés de voiture de l’entreprise. Découvrez plus d’informations sur cet incident sur heise (en anglais).

Qu’aurait pu faire un pare-feu humain dans cette situation ?
Il permet de signaler rapidement des droits d’administrateur inhabituels, de poser les questions via des canaux définis et de faire remonter les incidents préoccupants par des procédures claires. Les mouvements latéraux peuvent ainsi être arrêtés avant de causer des dommages. Ce cas est un exemple classique du pare-feu humain en action.

Cas n° 2 : MGM Resorts, un ransomware injecté après un vishing du service d’assistance en ligne

Des attaquants se sont fait passer par téléphone pour des collaborateurs du service informatique en interne et ont ainsi incité les agents de l’assistance en ligne à réinitialiser des identifiants de connexion sensibles. Cette manipulation leur a donné accès à des comptes à privilèges et a préparé le terrain pour le déploiement d’un ransomware. En très peu de temps, les principaux systèmes de réservation et de paiement étaient hors ligne et les opérations de plusieurs hôtels étaient paralysées. Le groupe à l’origine de l’attaque, connu sous le nom de Scattered Spider, a utilisé la pression psychologique et la ruse dans le style d’une ingénierie sociale traditionnelle. Pour plus de détails, consultez le site de Reuters (en anglais).

Qu’aurait pu faire un pare-feu humain dans cette situation ?
Un pare-feu humain aurait permis de protéger le processus d’assistance en ligne contre l’ingénierie sociale en exigeant un rappel sur des numéros vérifiés pour s’assurer de l’identité des interlocuteurs, des contrôles d’identité en bonne et due forme et l’application de politiques de réinitialisation établies.

Cas n° 3 : Arup et le deepfake à 25 millions de dollars

En janvier 2024, un collaborateur du service financier de la multinationale Arup, spécialisée dans l’ingénierie, a reçu un e-mail qui semblait provenir du directeur financier de l’entreprise basé au Royaume-Uni et lui demandait d’effectuer une transaction confidentielle. Le collaborateur s’est méfié. Pour lever le doute, il a demandé un appel vidéo afin de confirmer l’authenticité de la demande. Lors de cet appel, le directeur financier et plusieurs de ses collègues semblaient être présents. Chacun d’entre eux était un deepfake, créé à partir de vidéos et d’enregistrements audio disponibles dans l’espace public et où figuraient les véritables dirigeant. Convaincu par ce qui ressemblait à une visioconférence pleine de visages familiers, le collaborateur a procédé à la transaction : quinze virements, pour un total d’environ 25,6 millions de dollars, vers cinq comptes bancaires à Hong Kong. La fraude n’a été découverte que lorsque le collaborateur a pris contact avec le siège social d’Arup par la suite. Pour plus de détails, consultez le site de CNN (en anglais).

Qu’aurait pu faire un pare-feu humain dans cette situation ?
Le collaborateur a bien réagi lorsqu’il a eu un doute sur l’e-mail qu‘il avait reçu, mais il a fait davantage confiance à l’appel vidéo qu’au message initial. La leçon mérite d’être retenue : les visages et les voix ne sont plus une preuve. Pour des transactions de cette importance, il faut systématiquement que le collaborateur décroche son téléphone et appelle un numéro qui lui a été communiqué en amont, et non celui que ses interlocuteurs lui ont indiqué pendant l’appel.

Exigences pour un pare-feu humain fonctionnel

Un pare-feu humain naît d’un environnement où la sécurité est intégrée dans le quotidien. Il nécessite des processus clairs, le soutien concret de la direction et un programme de formation qui traduit la théorie en pratique. Il est important d’instaurer des vecteurs simples pour le signalement des événements suspects, une culture d’entreprise où les erreurs sont abordées en toute franchise et des occasions de développer ses compétences en continu. Ce n’est que grâce à cet ensemble, bien coordonné, que le pare-feu humain contribue réellement à la cybersécurité.

Direction et responsabilités claires
Les dirigeants doivent montrer l’exemple de ce qu’est un comportement qui préserve la sécurité. Il faut que les responsabilités soient clairement attribuées et cartographiées dans une matrice RACI. Le sponsoring et le budget permettent de maintenir l’implémentation sur la bonne voie.

Canaux simples et sécurisés pour le signalement
Des canaux faciles d’accès – un bouton d’alerte, une hotline, un chat ou une adresse e-mail clairement communiquée – facilitent le signalement. Le processus allant d’un rapport à la création d’un ticket doit être conçu pour prendre moins d’une minute. La personne à l’origine du signalement n’est pas culpabilisée : elle est protégée et bénéficie d’un retour d’information transparent.

Politiques contraignantes et formation
Certaines politiques sont tout simplement indispensables : utilisation de l’informatique, communication, mots de passe, logiciels, accès par des tiers. Pour commencer, tout le monde doit suivre les modules obligatoires. Ensuite, cela dépend du rôle : un collaborateur du service financier ou un administrateur informatique auront besoin de creuser davantage le sujet qu’un salarié du service marketing. La formation tient compte de ces différences. Rien de tout cela ne doit être ponctuel, cependant. Le microapprentissage permet de remettre en mémoire les points qui ont été appris, les notifications dans l’application permettent des piqûres de rappel pendant que les collaborateurs effectuent la tâche et les simulations font l’objet d’un débriefing au lieu d’être simplement notées et oubliées.

Processus standardisés et outils adaptés
Lorsque la procédure de signalement est standardisée, les temps de réponse diminuent. Le remplissage automatique des tickets fait gagner du temps, les directives fournissent à l’assistance en ligne et à l’aide de premier niveau une réponse claire aux questions de suivi, et des SLA bien définis indiquent comment faire remonter les incidents pour que rien ne reste en suspens. Des indicateurs clés de performance (KPI) visibles sur le tableau de bord et des briefings de sécurité lors de l’intégration et du départ des collaborateurs – avec notamment une vérification des accès et un contrôle du Shadow IT – complètent le tout.

Construire un pare-feu humain : programme et formation

Pour construire un pare-feu humain, il faut regrouper plusieurs mesures qui se renforceront les unes les autres au lieu de fonctionner séparément. L’idéal est que les collaborateurs sachent remarquer les événements suspects, puissent les signaler facilement et soient informés en retour une fois le problème traité.

Éléments fondamentaux

• Formation de sensibilisation à la cybersécurité avec microapprentissage personnalisé et approche narrative
• Simulations de phishing avec feedback instantané
• Bouton d’alerte phishing intégré dans Outlook sous la forme d’un complément pour signaler l’événement en un seul clic
• Tableau de bord du risque humain qui permet le suivi des taux de clics, des signalements et des comportements
• Chatbot d’IA « Sofie » pour les questions de suivi, intégré directement dans Teams ou Slack

Fonctionnement du pare-feu humain

Déployer SoSafe en trois phases

Phase 1 : Lancement et paramètres de base (jours 1 et 2)
Tout commence par l’activation de la plateforme et la connexion du SSO et de l’annuaire d’utilisateurs. Peu de temps après, on installe le bouton d’alerte phishing. C’est également à ce stade que les objectifs de signalement sont définis. Quelques scénarios de base sont préparés, et les premiers modules de microapprentissage sont débloqués. Enfin, le tableau de bord est configuré pour être prêt à l’emploi avant la fin du deuxième jour.

Phase 2 : Pilote et ajustements (à partir du jour 3)
Un groupe pilote crée les simulations initiales, avec un retour d’information instantané intégré. « Sofie » est alors mise en ligne pour répondre à toutes les questions de suivi. Les équipes d’assistance en ligne et du SOC testent leurs playbooks sur des cas réels. Les procédures de rappel subissent le même traitement.

Phase 3 : Déploiement du programme
Lorsque le projet pilote a fait ses preuves, tout le monde est intégré. Le bouton d’alerte phishing n’est alors plus une nouveauté et a trouvé sa place dans la routine. Les modules de microapprentissage et les simulations se poursuivent à un rythme régulier. Avec le temps, le signalement des messages suspects devient une seconde nature. La direction consulte régulièrement les tableaux de bord, et ajuste les politiques en fonction des informations qui y figurent.

Mesurer le succès et s’améliorer en continu

Pour bien gérer une stratégie, il faut pouvoir la mesurer. Choisissez quelques indicateurs faciles à comprendre. Ils doivent être rapides à recueillir et avoir du sens, tant pour les équipes que pour la direction.

Réduire le taux de clic en cas de phishing
Suivez le taux de clic sur plusieurs campagnes. Si la formation est efficace, le nombre de personnes réagissant aux e-mails envoyés dans le cadre des simulations de phishing diminuera au fil du temps.

Augmenter le taux de signalement
Cet indicateur mesure le nombre de collaborateurs qui signalent activement les contenus suspects, que ce soit par le biais d’un bouton d’alerte ou d’un autre canal. Un taux de signalement élevé indique que les collaborateurs sont attentifs et savent comment réagir.

Mesurer la participation à la formation et les connaissances
Les taux d’achèvement et les contrôles de connaissances indiquent si le contenu a bien été assimilé. Mettez ces chiffres en lien avec les résultats de simulation pour avoir une vue d’ensemble.

Observer le comportement de sécurité au quotidien
Vérifiez que l’authentification à deux facteurs est réellement utilisée au quotidien, et pas seulement activée quelque part. Les demandes inhabituelles doivent être signalées et non ignorées. Des contrôles ponctuels et les commentaires des collaborateurs aident à se faire une idée réaliste du comportement.

Donner de la visibilité aux chiffres
Publiez un bref rapport mensuel avec les principales informations : taux de clic, nombre de signalement, progrès de la formation. Tous les trimestres, adaptez votre stratégie en fonction de ce que montrent ces données. Ces indicateurs clés de performance s’inscrivent naturellement dans le cadre de la cybersécurité d’entreprise. Le tableau de bord de SoSafe peut afficher ces mêmes chiffres en regard.

Vos collaborateurs font la différence ici, jour après jour, que vous y prêtiez attention ou non sur le moment. Donnez-leur des routines claires et ils les suivront. Choisissez une petite étape, dont vous pourrez mesurer le résultat, et commencez par là. Le reste de votre pare-feu humain peut se développer à partir de ce simple commencement.