Sensibiliser les collaborateurs à la sécurité

Sur le site de Mag.securs, vous pourrez lire une interview de Terry Hancock, PDG du groupe Easy i, sur "l’art de rendre efficace les programmes de sensibilisation à la sécurité." 

Il rappelle dans cet article que la sécurité de l'information dans une entreprise n'est pas qu'une question de technologie, mais également de sensibilité et de compréhension du personnel. De manière générale, un système d'information est au niveau de sécurité de son plus faible maillon… donc, sans soutien et bonne pratique du personnel, aucune entreprise n'est protégée.

Le PDG de Easy i désigne deux grandes idées reçues à propos des politiques de sécurité:

• "On sensibilise en publiant des politiques et des protocoles de SI": Mettre des procédures sur papier – éventuellement mal rédigées – n'apporte aucune garantie d'efficacité.
• "La tâche de planifier, d’élaborer et d’implanter un programme de sensibilisation revient au responsable de la sécurité de l’information": Un responsable de la sécurité n'est pas un professionnel de la communication. Il va avoir besoin de soutien dans ce domaine.

L'article se conclue par le détail de 11 grands principes pour "rendre un programme de sensibilisation à la sécurité de l’information vraiment efficace.":

            1. Clarté de la prise en charge, adhésion de la direction.

            2. Éviter la sensibilisation au cas par cas.

            3. Une mesure de la sensibilisation et de la compréhension est primordiale.

            4. Conformité intégrée.

            5. Compréhension plutôt qu’information ; moins est toujours plus.

            6. Préséance de la valeur sur le prix.

            7. Un mélange propice d’humour et de structure.

            8. Une mise en contexte pertinente.

            9. Cohérence.

            10. La technologie devrait faciliter, sans plus.

            11. Gestion de projet, gestion de projet, gestion de projet.

Ainsi, M. Hancock souligne, par exemple, à propos du principe 4 (conformité intégrée), combien il est important qu'amener "chaque service à créer sa propre solution peut fonctionner, mais si l’on recherche la solution la plus homogène, rentable et complète, une approche à l’échelle de l’entreprise produit généralement le résultat optimal."