Facteur humain et ingénierie sociale
Former, vérifier, limiter les privilèges et concevoir des procédures qui protègent les agents sans leur transférer toute la responsabilité.
Concevoir des situations sûres
L’humain n’est pas un problème à blâmer
Les erreurs sont favorisées par l’urgence, des procédures complexes, des interfaces ambiguës, des droits excessifs ou l’impossibilité de vérifier une demande. La bonne approche rend l’erreur difficile, rapidement détectable et limitée dans ses conséquences.
Ingénierie sociale
Principales manipulations
Hameçonnage
Courriel, SMS ou page imitant une source connue afin de récupérer un identifiant, une pièce ou une action.
Faux support
Un interlocuteur prétend résoudre un incident et demande un code, un accès distant ou une désactivation de sécurité.
Pression hiérarchique
Une demande urgente et confidentielle imite un dirigeant pour contourner les validations ordinaires.
Prétexte crédible
L’attaquant collecte des informations publiques puis construit une histoire adaptée à la fonction de la cible.
Intrusion physique
Suivre un agent, emprunter un badge, se faire passer pour un prestataire ou déposer un support piégé.
Fatigue et surcharge
Les alertes trop nombreuses et les procédures irréalistes conduisent à ignorer les signaux importants.
Réduire le risque sans paralyser le travail
Mesures à mettre en œuvre
Former par situations
- Accueil sécurité à l’arrivée
- Exercices de phishing expliqués
- Scénarios adaptés aux métiers
- Formation des dirigeants et administrateurs
Permettre la vérification
- Annuaire et canal officiel du support
- Rappel sur un numéro connu
- Double validation pour les actes sensibles
- Bannière claire pour les messages externes
Limiter les conséquences
- Moindre privilège
- MFA
- Comptes administrateurs séparés
- Segmentation et blocage des macros ou périphériques
Faciliter le signalement
- Bouton de signalement
- Canal d’urgence simple
- Absence de sanction pour l’erreur de bonne foi
- Retour rapide à l’utilisateur
Gérer le cycle de vie
- Arrivées, mutations et départs
- Retrait immédiat des accès
- Restitution des matériels
- Revue régulière des habilitations
Mesurer utilement
- Taux de signalement
- Délai de révocation
- Accès orphelins
- Causes récurrentes et corrections de conception
Geste simple