En termes de cybersécurité en entreprise, la technique de formation ne suffit plus. Selon KnowBe4, la « sécurité psychologique » des employés est le véritable pilier de la cyber-résilience. Pour mieux se protéger, les entreprises doivent cesser de blâmer l’erreur humaine.
En effet, la sensibilisation aux cybermenaces est indispensable. Pourtant, elle reste inefficace si la culture d’entreprise décourage la prise de parole. C’est le constat qu’à dressé KnowBe4, spécialiste de la formation en cybersécurité. Pour l’entreprise, un employé qui a peur de son manager constitue une faille de sécurité majeure. Le mécanisme est comparable à l’éducation parentale. Si un enfant est sévèrement puni après avoir avoué une bêtise, il apprendra à mentir pour éviter la sanction. De même, un employé terrifié par d’éventuelles représailles dissimulera ses erreurs numériques.
Anna Collard, experte chez KnowBe4, souligne l’importance de la « sécurité psychologique ». Ce concept définit un environnement où chacun peut signaler un doute, une erreur ou un e-mail suspect sans craindre d’être jugé ou licencié. Or, la dissimulation d’incidents retarde la réaction des équipes techniques et offre plus de temps aux pirates pour agir.
Sortir de la culture du blâme, valoriser l’alerte
Plusieurs dynamiques toxiques freinent cette transparence :
- La recherche du coupable : Demander « Qui a fait ça ? » au lieu de « Comment résoudre le problème ? » crée une attitude défensive.
- Le perfectionnisme : Considérer la sécurité comme un examen binaire (réussite ou échec) empêche les employés d’admettre leurs incertitudes.
- Le cloisonnement : Si l’équipe informatique est isolée ou méprisante envers les non-techniciens, le dialogue se rompt.
Pour renforcer leurs défenses, les organisations doivent changer d’approche. L’incident doit devenir une opportunité d’apprentissage, et non un motif de sanction. L’exemple de GitLab en 2017 illustre cette méthode. En effet, après une perte de données majeure due à une erreur humaine, l’entreprise a choisi la transparence totale et l’analyse collective plutôt que le blâme individuel.
En conclusion, une entreprise cyber-résiliente n’est pas une entreprise infaillible. C’est une structure où l’humain se sent assez confiant pour alerter rapidement. Ce qui permet ainsi une réaction immédiate face à la menace.
