Comment les organisations se tiennent à jour face à l’évolution des tactiques d’attaque

L’importance croissante du changement de comportement dans la posture de sécurité de l’entreprise

IMPORTANCE DES COLLABORATEURS DANS LA POSTURE DE SÉCURITÉ

Le changement de comportement des collaborateurs est désormais un problème de performance en matière de sécurité. Bien que les personnes restent une vulnérabilité majeure, elles constituent également aujourd’hui l’une des meilleures formes de protection lorsqu’elles sont intégrées dans une boucle adaptative. Cela reflète la prise de conscience que l’ingénierie sociale personnalisée et basée sur l’IA, qui cible les individus, est une méthode principale que les hackers utilisent pour contourner les attaques informatiques qui peuvent être contrées par des logiciels et la technologie.

Par conséquent, les entreprises adaptent la défense axée sur les collaborateurs dans un certain nombre de domaines. En fait, 95 % des professionnels de la sécurité interrogés estiment que leur organisation est capable de s’adapter à des :

• Changements dans les menaces (nouvelles tactiques, nouveaux canaux, nouveaux prétextes)
• Changements organisationnels (lieux, échelle, outils, flux de travail)
• Différences entre les collaborateurs (rôles, employés de bureau et hors bureau, géographie, langue)
• Signaux comportementaux internes (interactions de simulation, comportement de signalement, respect des politiques)

Investissements futurs dans la défense adaptative

La dynamique d’investissement en faveur de la défense adaptative est clairement engagée. Près de 88 % (France : 92%) des répondants indiquent être susceptibles d’investir dans une approche de sécurité fondée sur les comportements au cours de l’année à venir et au-delà. Dans le détail, 43 % (France : 46%) se déclarent très engagés dans cette trajectoire. À première vue, cela reflète une reconnaissance large de la nécessité de la défense adaptative dans un environnement de menaces piloté par l’IA.  Pour autant, cette dynamique d’investissement pose une question centrale : celle de sa traduction opérationnelle. Si les organisations démontrent une compréhension structurée de ces enjeux et de la nécessité d’une approche adaptative de bout en bout, l’intention d’investir ne garantit ni l’allocation effective des ressources, ni la capacité à déployer rapidement des dispositifs à l’échelle. Le passage de l’intention à l’exécution reste ainsi un point de vigilance, notamment en termes de vitesse de déploiement et d’intégration dans les pratiques. 

Une part des organisations reste par ailleurs en retrait. Ainsi, 12 % des répondants déclarent ne pas prévoir d’investir dans une culture de sécurité adaptative fondée sur les comportements, malgré son importance et ses bénéfices clairement établis. any plans to invest in adaptive, behaviour-driven security culture despite the clear importance and benefits. 

Le niveau d’intention de 88 % recouvre toutefois des degrés d’engagement variables. « Susceptible » ne signifie pas nécessairement budget engagé, décisions au niveau des instances dirigeantes ou mise en œuvre opérationnelle.  L’intention et l’exécution ne sont pas équivalentes. Si la majorité des organisations reconnaissent l’importance de la défense adaptative, une part non négligeable reste peu ou insuffisamment convaincue pour allouer des ressources.

L’enjeu n’est donc pas seulement de reconnaître la valeur de la défense adaptative, mais de la positionner comme un élément central des dispositifs de sécurité, au même titre que les autres infrastructures de base.

Pourquoi il est difficile de maintenir un comportement sécurisé de manière cohérente

Plusieurs facteurs expliquent les difficultés à ancrer durablement les comportements sécurisés. Le premier tient au manque d’adaptation aux réalités opérationnelles : 38 % des professionnels interrogés indiquent que les dispositifs restent trop génériques et insuffisamment alignés avec les situations réelles. À cela s’ajoute un enjeu de clarté et d’appropriation. 34 % des répondants soulignent que les collaborateurs ne savent pas toujours identifier les situations à risque ou les actions attendues. Ce constat met en évidence un manque de repères opérationnels adaptés à chaque rôle. Le rôle du management apparaît comme un levier déterminant mais encore insuffisamment activé. 34 % indiquent que les pratiques ne sont pas renforcées de manière cohérente par les managers ou les équipes.

On peut en déduire qu’une large proportion d’organisations rencontre des difficultés à faire évoluer les comportements des collaborateurs. Les formations génériques doivent être remplacées par des simulations plus fidèles aux situations rencontrées dans le quotidien professionnel. Celles-ci peuvent améliorer significativement la reconnaissance des risques et enseigner les réponses appropriées. Les managers doivent constamment les renforcer par des conseils bienveillants, et non par des mesures punitives.

Les comportements observés traduisent également des arbitrages opérationnels : 34 % des personnes interrogées indiquent que les collaborateurs ont tendance à suivre la voie la plus simple, s'écartant ainsi du processus de sécurité. Lorsqu’ils perçoivent les procédures comme trop contraignantes, ils contournent les étapes, utilisent des outils non approuvés ou omettent certaines vérifications. L’enjeu est donc de concevoir des dispositifs plus fluides, intégrés aux usages et compatibles avec les contraintes métier afin de favoriser leur adoption par les collaborateurs.

La charge de travail et la pression du temps peuvent également amener les gens à ignorer les mesures de sécurité s'ils se sentent surchargés, comme le signalent 30 % des professionnels de la sécurité. La réponse consiste à intégrer la cybersécurité de manière à ne pas alourdir les tâches ni augmenter la pression. Les environnements distribués ajoutent un niveau de complexité : 33 % des répondants soulignent les difficultés à déployer des pratiques cohérentes auprès des collaborateurs à distance et des sous-traitants. Cela nécessite un effort accru de formation et de collaboration.

Or, les menaces pilotées par l’IA s’étendent à l’ensemble de l’écosystème, nécessitant une stratégie coordonnée de cyberdéfense entre toutes les parties prenantes.

Notamment, seuls 34 % des professionnels de la sécurité pensent que leurs collaborateurs suivent généralement un comportement sécurisé de manière cohérente. Cela met en évidence un échec dans le « Transfert d'apprentissage » – la capacité à appliquer la formation à des tâches du monde réel.

Notre enquête montre que la majorité des organisations se contentent encore de cocher des cases dans leur approche de la cybersécurité. À savoir, 21 % déclarent se fier principalement à l'achèvement des formations et à la signature des politiques. Seuls 19 % ont la capacité de tirer des enseignements des comportements humains et d'adapter rapidement leur posture de sécurité en conséquence.

Alors que 19 % supplémentaires utilisent également ces enseignements, la mise en oeuvre des changements est à la traîne. Les organisations se retrouvent ainsi à faire du surplace face à une attaque rapide, incapables de réagir assez vite.

Nous constatons également que 18 % des entreprises utilisent des données sur les personnes et la télémétrie de sécurité pour éclairer leurs décisions en matière de sécurité et leurs rapports au conseil d'administration. Il peut s'agir d'une combinaison puissante, à condition de ne pas trop s'appuyer sur les données au détriment de l'apport humain. La défense adaptative nécessite un mélange bien équilibré des deux.

Curieusement, les résultats montrent que 11 % des entreprises mesurent bien le niveau de sensibilisation à la sécurité, mais n’en tirent aucune conséquence. Et  11 % admettent ne pas pouvoir se fier à leurs données. Ce manque de sensibilisation ou d'action les laisse extrêmement vulnérables, même face aux vecteurs d'attaque traditionnels non liés à l'IA.