Les cybermenaces étaient auparavant moins menaçantes. Bien que personne ne souhaite que les numéros de carte de crédit de ses clients soient volés lors d’une violation de données ou qu’un manifeste dérangé soit affiché sur le site Web de son entreprise, de tels incidents peuvent presque sembler étranges par rapport aux attaques de ransomware qui mettent tous vos systèmes d’information critiques à l’arrêt.

La fréquence de ces attaques augmenté de plus de 150 % aux États-Unis l’année dernière, et en 2021, leur coût mondial devrait atteindre 20 milliards de dollars. Une formation efficace et complète en matière de sécurité est essentielle pour atténuer ces menaces, dont beaucoup proviennent d’attaques de phishing ou de logiciels malveillants discrets pour mettre un pied dans la porte, des attaques qui peuvent cibler toute personne travaillant dans votre organisation.

Les employés d’une entreprise sont la première ligne de défense contre les cyberattaques, et les vidéos de formation en conserve et les courts quiz sont rarement suffisants pour les préparer à cette responsabilité. Le problème avec une bonne formation est qu’il faut non seulement de l’expertise, mais aussi du temps et d’autres ressources. Les entreprises qui tentent de maximiser l’efficacité et minimiser les coûts ont parfois du mal à dispenser une formation à la sécurité proportionnée aux menaces auxquelles ils sont réellement confrontés.

Selon Gartner®, de nombreuses organisations aux ressources limitées, en particulier les entreprises de taille moyenne, ont du mal à fournir même une formation de base sur la sensibilisation à la sécurité à leurs utilisateurs, sans parler de développer un programme de sensibilisation à la sécurité d’entreprise sophistiqué, multicanal, spécifique au contexte et centré sur les employés.*

Une façon de surmonter ce défi sans faire appel à des services professionnels ou sans s’appuyer davantage sur votre personnel informatique existant consiste à utiliser l’automatisation dans la formation à la sécurité.

Qu’est-ce que l’automatisation de la formation ?

Bien que le mot « automatisation » n’ait été inventé qu’en 1947 par Ford Motor Company pour décrire l’utilisation de dispositifs automatiques dans les lignes de production de l’entreprise, il s’agit aujourd’hui de l’un des termes les plus utilisés dans l’industrie technologique. En tant que mot à la mode, « automatisation » se fait vraiment sentir. Il suggère une solution qui gérera vos problèmes sans vous obliger à le surveiller constamment et à l’utiliser, mais dans un sens très technique, chaque programme logiciel jamais écrit implique un élément d’automatisation. Supposons que vous ayez une solution de formation à la sécurité qui exécute certaines tâches automatiquement, comme l’envoi de rappels de formation ou des e-mails de test selon un calendrier prédéfini. Est-ce de l’automatisation de la formation ?

Pas dans un sens significatif. Il s’agit simplement de faire le strict minimum de ce que tout logiciel de formation devrait faire, et en ce sens, il est à peu près aussi automatisé et intelligent qu’un réveil. La véritable automatisation doit aller au-delà de la simple mise en place de tâches sur une minuterie.

Une formation adaptative et pratique fait toute la différence

Si vous déployez une mise à niveau de votre logiciel de comptabilité fournisseurs, vous pouvez vous en sortir en rassemblant tout le monde dans une pièce, en leur faisant regarder une vidéo à ce sujet et en leur distribuant un questionnaire par la suite pour vous assurer qu’ils y prêtent attention. Lorsque le but de la formation est de prévenir les violations de données, les attaques de ransomware et d’autres menaces graves, cela ne suffit pas.

La meilleure solution est une formation pratique qui fournit une pratique sur ce qu’il faut faire lorsqu’une cyberattaque réelle se manifeste, et idéalement, elle prendra également en compte le niveau de connaissances et le profil comportemental de la personne recevant la formation. Les utilisateurs avertis pourraient bénéficier d’être éduqués et testés sur des approches subtiles et novatrices, tandis que certains utilisateurs ne sont que des « cliqueurs en série » qui pourraient avoir besoin de reprendre Phishing 101 plusieurs fois avant de désapprendre leurs mauvaises habitudes.

Bien sûr, cela suppose que vous sachiez quels utilisateurs sont lesquels, et l’automatisation peut vous aider à le comprendre en vous engageant dans une analyse continue des données au fur et à mesure que les utilisateurs progressent dans le programme de formation.

Les solutions semi-automatisées peuvent compenser leurs lacunes en offrant de nombreuses options de configuration manuelle, mais le temps nécessaire pour les configurer correctement réduit les gains potentiels d’efficacité, en particulier lorsque les choses commencent à évoluer. Le chemin vers une véritable optimisation passe toujours par une véritable automatisation, ce qui est essentiel pour rendre la formation évolutive. Ce n’est qu’alors que vous pourrez optimiser pour atteindre l’efficacité à grande échelle.

Crédit image : CybeReady

Comment utiliser l’automatisation dans la formation à la cybersécurité pour minimiser les risques

Chaque organisation a des « employés à haut risque » qui mettent en péril sa stabilité. Nous avons constaté qu’une personne sur cinq au sein d’une organisation peut relever de cette catégorie à haut risque. Ce sont peut-être des employés de rock star absolue dans tous les autres sens, mais pour une raison quelconque, ils sont simplement obligés de cliquer sur les liens dans des e-mails étranges qu’ils n’auraient même pas dû ouvrir. C’est peut-être dû à la façon dont ils sont câblés, mais généralement, la formation et l’éducation sont des facteurs énormes. Ces employés ne savent tout simplement pas à quel point les attaques de phishing peuvent être dangereuses et comment les identifier de manière fiable.

Ce sont les personnes qui ont le plus besoin d’une formation en sécurité, et elles en ont besoin pour être efficace.

La solution de CybeReady pour cela est un plateforme entièrement automatisée, alimenté par la technologie d’apprentissage automatique, qui atténue les risques d’erreur humaine grâce à une approche pédagogique qui fournit une formation fréquente, adaptative et engageante sur une base continue.

Pour les équipes de sécurité qui exécutent le Lean, la complexité requise pour exécuter un tel programme de formation est presque impossible à mettre en œuvre sans une solution véritablement automatisée intégrant des connaissances spécialisées dans le logiciel.

CybeReady fonctionne en suivant une méthodologie de formation continue qui génère suffisamment de données pour différencier les utilisateurs qui se font parfois piéger par des e-mails de phishing et ceux qui cliquent habituellement sur des liens dangereux. Ce dernier groupe nécessite un peu plus de soin et d’attention, et en segmentant les stagiaires en fonction de leur niveau de risque, vous pouvez dispenser une formation ciblée qui répond aux stagiaires à leur niveau précis de connaissances et les éduque avec des leçons individualisées et des simulations qui diminuent leurs comportements à risque.

Voici quelques-uns des principes déployés par CybeReady pour réaliser des progrès de formation mesurables :

• Apprentissage juste à temps: Lorsqu’un employé clique sur un e-mail malveillant, CybeReady saisit le « moment d’or » pour afficher une page d’apprentissage contextuelle qui signale les signaux d’alarme qu’il a manqués.
• Rappels en temps opportun: Pour renforcer la formation et les aider à dépasser leurs mauvaises habitudes, les collaborateurs à risque reçoivent des rappels à intervalles stratégiques.
• Niveaux de difficulté adaptatifs: Certains e-mails de phishing simulés sont évidents et faciles à repérer, d’autres sont très sournois. Les évaluations des performances passées peuvent être utilisées pour sélectionner des simulations qui fourniront juste le bon niveau de défi pour le bénéficiaire.
• Fréquence d’apprentissage ajustée: Les employés à haut risque reçoivent plus fréquemment des e-mails de phishing simulés. Lorsqu’ils parviennent à mieux les identifier et qu’ils peuvent être redescendus dans une catégorie de risque inférieure, la fréquence est ramenée à des niveaux normaux.

Dernières pensées

Dans l’environnement de menace d’aujourd’hui, une cybersécurité solide est essentielle. Une véritable automatisation de vos systèmes de formation à la sécurité peut renforcer considérablement vos défenses en mobilisant efficacement les ressources vers les employés les plus à risque d’être victimes d’une cyberattaque, sans vous obliger à embaucher une équipe de formation professionnelle ou à forcer votre personnel informatique à devenir des enseignants à côté. .

La solution d’apprentissage automatique de CybeReady intègre l’expertise, l’analyse et les méthodologies de formation. Ainsi, lorsque les pirates et les hameçonneurs commencent à se manifester, vous pouvez être sûr qu’ils ne trouveront pas de cibles faciles parmi un personnel doté des connaissances d’un état de -un programme de formation à la pointe de la technologie, basé sur les données, entièrement adaptatif et véritablement automatisé.

Lancez-vous avec le programme de formation de CybeReady, conçu pour les équipes de sécurité Lean

*La source: Gartner, « Guide du marché pour la formation informatique de sensibilisation à la sécurité« , Richard Addiscott, Claude Mandy, William Candrick, 26 juillet 2021. GARTNER est une marque déposée et une marque de service de Gartner, Inc. et/ou de ses filiales aux États-Unis et dans le monde et est utilisée ici avec autorisation. Tous droits réservés.