Pourquoi le changement de comportement sur cette thématique est-il si difficile ?

Comme on l'entend (trop) souvent, le comportement humain est LE maillon faible en matière de cybersécurité. Personnellement, je suis plutôt de ceux qui préfèrent dire qu'il est la première ligne de défense. La nuance est importante, je vous assure.

En effet, les cybercriminels ont bien compris que la technologie pouvait être difficile à déjouer. Ils misent donc sur nos réflexes et comportements pour forcer la porte d'entrée vers nos données personnelles et/ou professionnelles. Gardez en tête que vos collaborateurs sont vos meilleurs atouts pour détecter les vulnérabilités au quotidien « sur le terrain » : il est donc primordial de les mobiliser.

Informer vs sensibiliser

J'ai pu accompagner différentes grandes entreprises sur cet enjeu majeur qu'est la cybersécurité. Au départ, le constat est toujours le même : on informe les employés mais on ne les sensibilise pas. Difficile, alors, pour eux d'acquérir de nouvelles habitudes et de passer à l'action. On assiste souvent à une diffusion massive de règles de sécurité, sans pour autant guider et accompagner les collaborateurs dans leur mise en pratique : « Vos mots de passe doivent contenir un numéro, le nom de naissance de quatre Spice Girls, l'orthographe correcte d'une bibliothèque Ikea (j'exagère à peine)… », « il est interdit d'utiliser des devices USB sur vos équipements pro… ». Et malheureusement, tout ceci ne devient qu'une grande liste de règles et de contraintes souvent incomprises par les collaborateurs.

Se connecter en un clic à un réseau wifi public, partager en temps réel ses documents via différentes adresses mail, utiliser des outils gratuits en ligne : c'est le monde dans lequel évoluent vos utilisateurs aujourd'hui…

Dans nos usages digitaux aujourd'hui, il est plus facile d'ignorer les règles que d'appliquer une bonne « cyberhygiène ».

Pour donner du sens, il faut motiver l'action. Susciter le changement de comportement d'un individu suppose de l'informer des causes et conséquences de ses actes, sinon cela ne servira à rien (ou pas grand-chose). Il faut comprendre le cheminement que va suivre un individu pour changer, en construisant des actions adaptées à chaque étape.

Comment créer une culture cybersécurité ?

La première question à se poser est la suivante : « pourquoi les collaborateurs ont-ils ces comportements, malgré le fait que cela soit interdit ou très déconseillé ? ».

Je compare souvent la problématique de la sensibilisation à la cybersécurité à celle de la protection de l'environnement.

En matière de leviers de motivation, voici 4 points qui rendent les deux sujets assez similaires en matière d'accompagnement au changement :

  1. On voit rarement les conséquences immédiates de son mauvais comportement, donc il est « facile » de « choisir » de les ignorer.
  2. Mettre en place le bon comportement semble souvent plus contraignant à l'instant T.
  3. Si on se base sur une logique objective, le « bon comportement » est celui que les individus devraient naturellement adopter, car il est par essence le meilleur pour eux, pour la planète ou encore pour l'entreprise. Or le « bon » comportement n'est pas uniquement guidé par les idées.
  4. Les individus connaissent souvent les règles, mais pour autant, ils ne les appliquent pas systématiquement.

Une approche comportementale

L'un de mes clients souhaitait créer une culture cybersécurité forte au sein d'un grand groupe (plus de 100 000 collaborateurs), avec pour objectif principal de réduire les failles de sécurité liées au facteur humain. Au cours de ce projet, nous avons démarré par une phase d'analyse très riche, pour comprendre les motivations d'un individu à changer.

C'est à cette occasion que je me suis appuyée sur une théorie d'évolution extrêmement intéressante : le modèle transthéorique du changement, de James O. Prochaska et Carlo C. DiClemente. Ce modèle décrit le processus de changement entre le moment où l'individu n'a pas l'intention de changer de comportement (pré-contemplation) et celui où le nouveau comportement fera partie intégrante de ses habitudes (maintien). Cette approche est aussi utilisée pour accompagner les personnes souffrant d'addictions, leur permettant d'abandonner des comportements très ancrés.

Et devinez quoi ? Elle a également fait ses preuves dans le cadre de campagnes de sensibilisation sur le thème de la protection de l'environnement !

La mise en œuvre dans vos projets

Dans le cas précis de notre client, nous avons personnalisé cette approche en 5 étapes. Pour chacune, voici des exemples d'actions mises en œuvre :

  1. Pré-contemplation : à ce stade, le collaborateur n'a pas l'intention de changer et n'est surtout pas conscient que son comportement est problématique. Priorité à la communication : les utilisateurs doivent prendre conscience du problème et des avantages à changer. Oubliez les approches anxiogènes ou culpabilisantes ; croire que créer de la peur fait changer les attitudes est faux. Exemple : une saga vidéo de communication interne visant à interpeller les utilisateurs sur leurs comportements.
  2. Contemplation : la prise de conscience est là, mais pas de changement en vue. Une charte utilisateur de 50 pages ne fonctionne pas et ne fonctionnera jamais. Il faut faire pratiquer : misez sur les démos, les corners, allez à la rencontre des utilisateurs et montrez-leur que d'autres pratiques sont possibles. Exemple : un Cyber Corner, « Créer et mémoriser un mot de passe fort en 2 min », « 1 min pour détecter un email de phishing ».
  3. Préparation : le changement arrive à petits pas. Misez sur l'engagement, qui mènera à l'action. Exemple : proposer aux utilisateurs d'être acteurs de leur changement, mettre à disposition des bornes de décontamination de clés USB, des fiches pratiques…
  4. Action : le changement est amorcé, mais tout n'est pas gagné. Montrez l'exemple et valorisez le partage d'expérience. Rien de mieux que de faire parler les collaborateurs de leurs propres réussites (témoignages vidéo, jeux, escape game digital). Attention : on ne cherche pas à tester leurs connaissances, mais leurs réflexes et leur capacité à agir mieux.
  5. Maintien : il faut éviter le retour en arrière. Après l'engagement, corrélez le nouveau comportement avec l'appartenance à un groupe, un réseau. Exemple : des communautés de partage de bonnes pratiques et un réseau de « Cyber Partners » (Champions/Ambassadeurs) pour maintenir la visibilité interne des sujets cyber.

D'expérience, je trouve ce parcours de changement extrêmement intéressant. Il vous permet de proposer un accompagnement bien plus personnalisé, en sachant vers quelle étape guider chacun de vos collaborateurs.