78 % des CISO affirment que la direction ne comprend pas pleinement les risques cybernétiques liés aux employés

Les responsables de la sécurité sont contraints de gérer un paysage de menaces IA en constante évolution sans soutien constant de la direction, sans responsabilité clairement définie ni compréhension partagée de l’impact du risque cyber humain sur l’ensemble de l’entreprise.

« Le risque humain en cybersécurité n’est plus seulement un problème de sensibilisation ou de formation ; c’est un risque stratégique pour l’entreprise. Un changement s’impose. La direction doit s’engager, la responsabilité doit être clairement définie ! »

Le constat de James Mackay, CEO, MetaCompliance, résume parfaitement les conclusions de son étude (Censuwide, panel : 200 CISO en Europe) : plus des trois quarts des CISO européens déclarent que les décideurs de haut niveau ne comprennent pas pleinement le risque cyber que représentent les employés, alors même que l’IA rend les attaques ciblant les humains plus sophistiquées, plus facilement déployables, plus convaincantes et de plus en plus fréquentes.

« L’étude révèle un décalage croissant entre les risques auxquels les organisations sont confrontées au niveau humain et le niveau de compréhension, d’alignement et de soutien de la direction nécessaire pour les gérer efficacement. »

Des CISO peu ou pas entendus

Ces conclusions interviennent alors que les attaques basées sur l’IA ciblent de plus en plus le jugement des employés plutôt que les vulnérabilités techniques. Or, plus des deux tiers des CISO continuent de considérer les employés comme le principal risque pour la sécurité de leur organisation, soulignant ainsi comment l’IA amplifie les difficultés déjà présentes au niveau humain.

Cependant, ces CISO ne sont que peu ou pas entendus. Près de quatre CISO sur cinq affirment que le soutien de la direction aux initiatives de formation à la sécurité diminue avec le temps, tandis que 76 % d’entre eux déclarent avoir des difficultés à satisfaire les exigences contradictoires des différentes parties prenantes en matière d’indicateurs de risque humain.

Près d’un quart d’entre eux indiquent également que l’alignement des parties prenantes entre les différentes fonctions est l’un des domaines où ils se sentent le moins à l’aise dans la gestion du risque humain en cybersécurité, ce qui souligne la difficulté de construire une approche intégrée à l’échelle de l’entreprise.

Un soutien constant s’impose

« L’IA a transformé le contexte du risque humain », poursuit James Mackay. Les attaquants ne se contentent plus d’escroqueries évidentes ou de courriels d’hameçonnage mal rédigés. Ils peuvent désormais créer des tentatives d’usurpation d’identité très convaincantes, des attaques d’ingénierie sociale et des communications frauduleuses à grande échelle. « Cela rend l’alignement de la direction générale plus important que jamais ! »

James Mackay est formel : « Si le soutien de la direction faiblit après l’impulsion initiale, les organisations se retrouvent vulnérables. Renforcer leur résilience face aux menaces liées à l’IA exige un soutien constant de la direction, une meilleure adhésion des parties prenantes et une approche plus intelligente et comportementale de la gestion des cyber-risques humains. »

De l’aide, concrètement

Les organisations les mieux placées pour réagir seront celles qui considèrent le risque humain en matière de cybersécurité comme un défi de gestion permanent, et non comme un exercice de formation ponctuel.

« Les employés ont besoin d’aide lorsque le risque se concrétise. Cela implique d’utiliser l’analyse comportementale, le ciblage en temps réel et des conseils contextuels pour les aider à prendre de meilleures décisions en matière de sécurité, car les attaques utilisant l’IA sont de plus en plus difficiles à détecter. »