Il est tout d’abord important de comprendre en quoi l’être humain représente le plus grand risque en matière de sécurité informatique en entreprise. La raison est simple: il agit comme un être humain, et non comme une machine qui suit une logique programmée. Un exemple: un collaborateur raconte à une connaissance d’une autre société que son entreprise utilise une version obsolète du CRM. Un collaborateur de la concurrence entend cette conversation et retient toutes les informations.  

De nombreuses attaques de piratage débutent de cette façon. De même, le comportement de collaborateurs licenciés est également délicat, car ceux-ci peuvent laisser s’exprimer leur frustration. La plupart des entreprises victimes d’attaques peuvent confirmer que, sans le «facteur humain», une attaque de piratage n’aurait pas été possible. 

Tout aussi humaine est l’aversion envers les mots de passe compliqués. Qu'il s’agisse du nom de son chien ou d’une suite de trois chiffres, de nombreux mots de passe sont faciles à deviner. Il arrive même souvent qu’ils soient utilisés plusieurs fois ou, plus grave encore, notés de façon visible à tout le monde, sur un post-it par exemple. 

Souvent, les collaborateurs ne réalisent pas le danger que représente ce comportement qu’ils supposent normal. Il suffit pourtant qu’un petit délinquant se fasse passer pour un collaborateur de la société de nettoyage et utilise le mot de passe laissé au vu de tous. Il peut alors dérober les données de l’entreprise à l’aide d’une clé USB. Ou encore installer un logiciel malveillant. Et s’il a encore un peu de temps et qu’il essaie le mot de passe sur d’autres PC ou d’autres systèmes, il y a alors de grandes probabilités qu’il puisse accéder à d’autres données critiques. 

Les êtres humains aiment qu’on les flatte. Ils aiment s’entendre dire qu’ils font bien leur travail. Et dans ce cas-là, les collaborateurs sont souvent enclins à révéler une chose ou deux sur leur métier. Un pirate peut exploiter cette faiblesse et soutirer des informations importantes en posant des questions habiles. 

De plus, chaque pirate dispose également de toutes les informations partagées sur les réseaux sociaux. Le risque est ici réel, notamment pour les collaborateurs candides ou frustrés. À propos des réseaux sociaux: les applications Web de services de messagerie connus représentent aussi un danger lorsqu’elles sont utilisées sur un ordinateur professionnel. En effet, la moindre faille de sécurité peut servir de porte d’entrée pour des attaques sur les systèmes de votre entreprise. C’est également un moyen très facile de propager des fichiers infectés et d’attendre qu’ils soient téléchargés. 

Vous souhaitez mettre votre WiFi à disposition de vos collaborateurs? Bonne idée. Vous comptez aussi le rendre accessible à des appareils personnels? Très mauvaise idée. En effet, en tant qu’entreprise, vous n’avez aucune visibilité sur la sécurité des appareils extérieurs. Cela ouvre des portes aux attaquants. Il en va de même pour les appareils personnels tels que les clés USB ou les disques durs externes utilisés au quotidien. Ce matériel appelé «Shadow IT» est généralement utilisé sans l’approbation du service informatique et constitue un risque pour la sécurité. 

Il peut aussi être dangereux d’utiliser un ordinateur portable professionnel à des fins personnelles. Le risque pour l’entreprise augmente même dans le cadre d’un usage récréatif courant, par exemple dans le cas d’utilisations de réseaux WiFi privés ou publics non sécurisés. 

Imaginez que votre comptable ait imprimé par erreur les fiches de paie en double. Il jette l’exemplaire en trop à la poubelle. Le document devient alors accessible à d’autres collaborateurs ou, plus grave encore, à des concurrents. Des données stratégiques sensibles de l’entreprise peuvent ainsi rapidement arriver entre de mauvaises mains. 

Il en va de même dans l’espace numérique: conserver sur son PC des données sensibles qui ne sont plus utilisées expose l’entreprise au risque de divulgation d’informations importantes en cas d’attaque. Qui plus est, on peut se demander si les collaborateurs signaleraient effectivement une perte de données de ce type. Si toutefois ils se rappelaient encore qu’ils conservaient toujours ces documents.