Qui et qu'est-ce qu'un agent Security Awareness ?

Premièrement, ce rôle et ce domaine sont encore très immatures. Contrairement à d'autres domaines de la sécurité comme les tests d'intrusion ou la réponse aux incidents qui existent depuis des décennies, la sensibilisation info est un domaine relativement nouveau, immature et pas encore entièrement défini. En fait, la taxonomie NIST NICE Cybersecurity Workforce n'a pas encore créé ou défini de rôle pour ce domaine (mais cela devrait bientôt changer).

Traditionnellement, lorsque les gens parlent de sensibilisation à la sécurité, ils pensent à la conformité, à une personne chargée de proposer une formation sur ordinateur (CBT) une fois par an, puis de suivre le pourcentage de la main-d'œuvre qui a suivi la formation à des fins d'audit/de conformité. 

Il s'agit d'une description extrêmement obsolète et qui n'est plus valide. Bien que la conformité soit toujours importante, la sensibilisation à la sécurité consiste aujourd'hui en fin de compte à gérer le risque humain. Les organisations ne peuvent plus adopter une approche purement technique de la cybersécurité, nous devons également aborder l'élément humain. En fait, le rapport VZ DBIR 2021 a identifié des personnes impliquées dans plus de 85 % de toutes les violations dans le monde. C'est pourquoi les organisations mettent en place des programmes de sensibilisation à la sécurité matures, pour gérer leur risque humain en modifiant le comportement organisationnel. 

En fait, les programmes de sensibilisation les plus matures vont au-delà du simple changement de comportement et créent une solide culture de sécurité et disposent du cadre de mesures pour démontrer ce changement.

L'agent de sensibilisation à la sécurité d'aujourd'hui va bien au-delà de la simple CBT annuelle, à bien des égards, ce sont des experts dans la gestion des risques humains. Les compétences et les responsabilités comprennent :

1. RISQUE : Établir un partenariat avec votre équipe de sécurité pour mieux comprendre et hiérarchiser vos principaux risques humains, ainsi que les comportements clés qui gèrent ces risques. Cela implique souvent de travailler avec les équipes de réponse aux incidents, des opérations de sécurité ou de Cyber Threat Intelligence. La clé de la gestion du risque humain est de prioriser et de se concentrer uniquement sur vos principaux risques, et de ne pas submerger votre personnel avec une longue liste d'exigences, de tâches, de processus et de responsabilités impossibles. Les agents de sensibilisation les meilleurs et les plus efficaces simplifient la sécurité des personnes.
2. FORMATION : Atteindre, communiquer et impliquer votre personnel. Une fois que vous avez identifié les comportements clés qui gèrent les risques, vous devez former votre personnel à changer/afficher ces comportements clés. Cela nécessite souvent de s'associer et de travailler avec d'autres départements tels que le marketing, les communications et les ressources humaines. Les meilleurs agents de sensibilisation ont d'excellentes compétences interpersonnelles, aiment travailler avec les autres et s'associer à eux, et ont la passion d'aider les gens. Le défi est d'engager et de communiquer aux gens dans leurs termes. L'un des moyens les plus efficaces de s'engager est de commencer par le cercle d'or.
3. MESURE : Enfin, les agents de sensibilisation les plus matures et les plus efficaces mesurent l'impact de leur programme et communiquent cet impact à leurs dirigeants en termes commerciaux. Il existe une variété de différents types de mesures, notamment comportementales, culturelles, de connaissances et stratégiques. En fin de compte, votre objectif est d'aligner le programme sur les priorités stratégiques du leadership.