4. Je forme régulièrement nos utilisateurs à la sécurité vs Cela ne fait pas partie de mes attributions

Bien souvent ils ont raison, en grande partie à cause de notre incapacité, nous les spécialistes, à former les utilisateurs autrement que par des règles peu intelligibles. Pourquoi les mots de passe doivent-ils contenir des chiffres et des caractères spéciaux ? Pourquoi ne puis-je pas cliquer sur les liens des e-mails ? Quel mal y a-t-il à utiliser la clé USB que j’ai trouvée par terre aux toilettes ? Pourquoi ne puis-je pas mettre un contenu professionnel concernant mon travail sur mon site social ? Les réponses à ces questions nous semblent évidentes, mais elles paraissent arbitraires à l’utilisateur final qui a du mal à s’en souvenir.

Personne n’est mieux armé que nous, les pros IT, pour expliquer aux utilisateurs ces précautions de sécurité. Ainsi informés, ils se protégeront mieux contre les attaques directes et indirectes. Vous pouvez améliorer la formation des utilisateurs par quelques cours avec diapos, accompagnés de tests de compréhension. Le cours devrait aussi traiter des attaques par réseau social, des règles de sécurité de l’entreprise, et des procédures de comptes rendus d’incidents touchant à la sécurité.

Comme bon exemple de document  de formation en entreprise on retiendra la présentation de diapos de Maintaining Security While Using Computers de J. Iverson Riddle Development Center (www.jirdc.org/Files/Users.ppt). Cette simple présentation souligne les points importants et inclut un autotest. En quelques heures, vous pouvez élaborer un cours comme celui-là destiné à vos utilisateurs.

La formation des utilisateurs ne peut pas reposer entièrement sur des cours clé en main. Un bon administrateur de sécurité doit varier les formes d’enseignement : webcasts internes, séminaires par petits groupes, et, si nécessaire, du conseil en tête-à-tête.

Une telle formation est très fructueuse. Vous mettez les fruits des branches basses hors de portés de l’attaque moyenne, particulièrement des attaques automatisées comme les e-mails de phishing (hameçonnage) et Trojans (chevaux de Troie). En définitive, votre tâche sera facilitée parce que vous aurez réduit le nombre d’incidents par logiciel malveillant et que vous aurez rendu les intrusions plus difficiles. La formation des utilisateurs à la sécurité est un job que chaque entreprise doit attribuer à quelqu’un. Si vous ne le faites pas, ne comptez pas sur les autres.