CIS Control 14 : Sensibilisation à la sécurité et formation des compétences

Le Contrôle CIS 14 concerne la mise en œuvre et l'exploitation d'un programme qui améliore la sensibilisation et les compétences en cybersécurité des employés. (Avant la version 8 des Critical Security Controls, cette zone était couverte par le Contrôle CIS 17.)
Ce contrôle est important car un manque de sensibilisation à la sécurité parmi les personnes à l'intérieur de votre réseau peut rapidement conduire à des data breaches dévastatrices, des temps d'arrêt, des vols d'identité et d'autres problèmes de sécurité. Par exemple, les pirates informatiques manipulent souvent ou trompent les employés pour qu'ils ouvrent du contenu malveillant et divulguent des informations protégées, puis profitent de mauvaises pratiques d'entreprise, comme le partage de mots de passe, pour causer davantage de dommages.

Pourquoi la formation en cybersécurité est essentielle

Les recherches révèlent ce qui suit concernant les causes des violations de données:

• Environ 30 % des incidents sont dus à des erreurs humaines, telles que l'envoi d'informations sensibles à la mauvaise personne ou le fait de laisser un ordinateur déverrouillé dans un lieu permettant un accès non autorisé aux systèmes et aux données.
• Encore 28 % des violations de données sont dues à des attaques de phishing, où les employés ouvrent des e-mails contenant des virus ou des enregistreurs de frappe.
• Les mauvaises politiques de mot de passe sont responsables d’environ 26 % de toutes les violations de données. Par exemple, l’utilisation de mots de passe partagés et de mots de passe simples augmente considérablement le risque de fuite de données.

Malheureusement, moins de 25 % des organisations réalisent des vulnerability assessments régulièrement, 43 % admettent qu'ils ne sont pas sûrs de ce que leurs employés font avec les données sensibles et autres ressources, et seulement 17 % disposent d'un plan de réponse aux incidents. Pour se protéger, votre organisation doit être capable de :

• Effectuez régulièrement des tests de sécurité informatique
• Détectez les violations de données à leurs premiers stades
• Répondez rapidement aux incidents de sécurité
• Déterminez la portée et l'impact d'une violation
• Ayez un plan pour récupérer les données, services et systèmes affectés

Comment le CIS Control 14 peut aider

Le contrôle CIS 14 peut vous aider à renforcer la cybersécurité et la protection des données dans votre organisation, ainsi qu'à réussir les audits de conformité. Il est basé sur les étapes suivantes :

14.1 Établir et maintenir un programme de sensibilisation à la sécurité

Votre programme de sensibilisation à la sécurité doit garantir que tous les membres de votre personnel comprennent et adoptent les comportements appropriés qui aideront à maintenir la sécurité de l'organisation. Le programme de sensibilisation à la sécurité doit être captivant, et il doit être répété régulièrement afin qu'il reste constamment présent dans l'esprit des travailleurs. Dans certains cas, une formation annuelle est suffisante, mais lorsque les travailleurs sont nouveaux aux protocoles de sécurité, des rappels plus fréquents peuvent être nécessaires.

14.2 Former les membres du personnel à reconnaître les attaques d'ingénierie sociale

La meilleure pratique suivante consiste à former l'ensemble de votre personnel à reconnaître et identifier les attaques d'ingénierie sociale. Assurez-vous de couvrir les différents types d'attaques, y compris les arnaques téléphoniques, les appels d'usurpation et les escroqueries de hameçonnage.

14.3 Former les membres de l'équipe sur les meilleures pratiques d'authentification

L'authentification sécurisée bloque les attaques sur vos systèmes et données. Les membres du personnel doivent comprendre la raison pour laquelle l'authentification sécurisée est importante et les risques associés à la tentative de contournement des processus d'entreprise. Les types courants d'authentification comprennent :

• Authentification basée sur les mots de passe
• Authentification multifacteur
• Authentification basée sur des certificats

14.4 Former le personnel aux meilleures pratiques pour la manipulation des données

Les travailleurs ont également besoin de formation sur la gestion appropriée des données sensibles, y compris comment identifier, stocker, archiver, transférer et détruire les informations sensibles. Par exemple, une formation de base peut inclure comment verrouiller leurs écrans lorsqu'ils s'éloignent d'un ordinateur et effacer les données sensibles d'un tableau blanc virtuel entre les réunions.

14.5 Former les membres de l'équipe sur les causes de l'exposition involontaire des données

Les causes d'exposition accidentelle des données incluent la perte d'appareils mobiles, l'envoi d'e-mails à la mauvaise personne et le stockage de données dans des endroits où les utilisateurs autorisés peuvent les consulter. Assurez-vous que vos employés comprennent leurs options de publication et l'importance de faire preuve de prudence lors de l'utilisation des e-mails et des appareils mobiles.

14.6 Former les membres du personnel à reconnaître et à signaler les incidents de sécurité

Votre personnel doit être capable d'identifier les indicateurs communs d'incidents et savoir comment les signaler. À qui doivent-ils téléphoner s'ils soupçonnent avoir reçu un e-mail d'hameçonnage ou s'ils ont perdu leur téléphone portable professionnel ? Pour simplifier le processus, envisagez de désigner une personne comme premier point de contact pour tous les incidents.

14.7 Formez les utilisateurs à identifier et signaler si leurs actifs d'entreprise manquent de mises à jour de sécurité

Votre personnel doit être capable de tester leurs systèmes et de signaler les correctifs logiciels qui sont obsolètes ainsi que les problèmes avec les outils et processus automatisés. Ils doivent également savoir quand contacter le personnel informatique avant d'accepter ou de refuser une mise à jour pour être sûrs qu'une mise à jour est nécessaire et qu'elle fonctionnera avec les logiciels actuels sur le système.

14.8 Former les employés sur les dangers de la connexion et de la transmission de données d'entreprise sur des réseaux non sécurisés

Tout le monde devrait être conscient des dangers liés à la connexion à des réseaux non sécurisés. Les travailleurs à distance devraient bénéficier d'une formation supplémentaire pour garantir que leurs réseaux domestiques sont configurés de manière sécurisée.

14.9 Réaliser une formation spécifique au rôle sur la sensibilisation à la sécurité et les compétences

Adapter votre sensibilisation à la sécurité et la formation des compétences en fonction des rôles des utilisateurs peut la rendre plus efficace et plus captivante. Par exemple, envisagez de mettre en place une formation avancée à la sensibilisation à l'ingénierie sociale pour les rôles à haut profil susceptibles d'être ciblés par des attaques de hameçonnage ciblé ou de baleinage.

Résumé

Mettre en place une sensibilisation à la sécurité et une formation aux compétences telles que détaillées dans le CIS Control 14 peut aider votre organisation à renforcer la cybersécurité. En effet, fournir une formation efficace et régulière peut vous aider à prévenir les violations de données dévastatrices, le vol de propriété intellectuelle, la perte de données, les dommages physiques, les interruptions de système et les pénalités de conformité.