La culture de sécurité de l'information

​

Qu’elle soit explicite ou davantage occulte, la culture d’entreprise est une réalité de chaque organisation, étant constituée d'un amalgame de suppositions, perceptions, normes et valeurs qui orientent les comportements de ses membres et forgent son identité. Cependant, bien qu’elle soit traditionnellement rattachée au domaine des affaires, de nombreux auteurs attestent que la culture professionnelle s’immisce également dans le continuum de la cybersécurité. Effectivement, la notion de « culture de la sécurité » en est une récurrente dans la littérature, faisant généralement référence à l’ensemble des éléments qui déterminent l'état d'esprit et les comportements des membres d’une organisation vis-à-vis la sécurité de leurs systèmes informatiques5. Conséquemment, elle désigne la manière dont les individus perçoivent la cybersécurité et s’additionne des actions qu’ils posent pour assurer la protection des informations digitales6, 7.
Lorsqu’elle est bien implémentée, la culture est en mesure de placer la sécurité de l’information au sommet des priorités de tous les employés et de favoriser les comportements sécuritaires. Ainsi, selon le concept de « cybersécurité de tous les jours »1, la protection des données doit être intériorisée par la force de travail, car cela lui permet de surpasser ce qui serait autrement un simple code de conduite. Cette vision est partagée par d’autres chercheurs8, 9, qui voient eux aussi la normalisation des bonnes pratiques comme une condition sine qua non à la sécurité de l’entreprise.
 

En outre, plusieurs recherches suggèrent qu’une des facettes les plus déterminantes de la culture « positive » est le fait qu’elle s’insinue dans une logique de prophétie autoréalisatrice, car elle encouragerait la reproduction de comportements bénéfiques et permettrait ainsi de continuellement renforcer la sécurité d’une organisation sans qu’aucun acteur n’ait à injecter des ressources supplémentaires10, 11, 12. Selon la littérature, une culture de la sécurité efficace impliquerait idéalement des éléments tels que le respect des politiques de sécurité, le signalement de toute activité suspecte et un engagement à tous les niveaux hiérarchiques13. En revanche, une culture inadéquate ou « négative » serait surtout ponctuée d’un manque de compréhension de la sécurité (vulnérabilités, menaces, protocoles, etc.), d’une indifférence envers les politiques internes et de carences au niveau de la conformité1, 14, 15. Ainsi, au-delà des ramifications comportementales, instaurer une culture de la sécurité permet aux employés de saisir l'importance des pratiques de cybersécurité et de comprendre que leur application est profitable tant sur le plan individuel qu’organisationnel1. Cette qualité pluridimensionnelle est notamment mise en évidence par d’autres chercheurs, qui soutiennent que la culture est façonnée à la fois par des facteurs individuels (p. ex. perceptions, attitude, habitudes, connaissances) qu’environnementaux d’une organisation (p. ex. normes, disponibilité des ressources, interactions), signifiant qu’elle ne peut être analysée ou altérée de manière isolée16. Cette dynamique est également observable dans la pratique, étant illustrée par l’étendue des moyens qui sont mis en oeuvre par les entreprises pour assurer l’adoption d’une « bonne » culture de cybersécurité. Ces moyens peuvent aller des campagnes de sensibilisation (échelle macro) à l’imposition de sanctions (échelle micro).
 

Quoique cette complexité nuit à l’atteinte d’un consensus quant à la définition de ce qu’est réellement la culture de sécurité, la majorité des auteurs considèrent tout de même qu’elle est essentielle à la réalisation des stratégies de protection de l’information. En effet, hormis les débats sémantiques qu’elle génère, elle est globalement perçue comme « l’instrument » le plus efficace pour remédier au facteur humain de la cybersécurité9, 11, 14. Son rapprochement avec la dimension humaine est principalement expliqué par son but recherché, qui n’est ultimement pas celui de rendre le cyberespace plus sûr, mais plutôt d’outiller les utilisateurs et ainsi donc de renforcer leur engagement et leur capacité à faire face aux menaces. Ce dernier point est déterminant, car il admet que dans un environnement digital en constante mutation, l’innovation n’est pas une
prérogative unique aux acteurs bona fide (entreprises, experts en sécurité, etc.). En ce sens, accroître la résilience des membres d’une organisation est une stratégie « non-technique » qui reconnait l’impossibilité d’atteindre une adéquation parfaite entre les compétences défensives des entreprises et celles offensives des
entités malveillantes. Ce décalage peut être saisi de manière comparable au concept de « fracture numérique » (digital divide) qui renvoie à la répartition inégale des technologies de l'information et de la communication (TIC) dans la société17. Cependant, alors que son articulation initiale se rapporte au phénomène d’inégalité d’accès aux outils issus de l’ère digitale, le comprendre en termes d’asymétrie de capacités permet de l’étendre au domaine de la cybersécurité actuel. En effet, le cyberespace peut être compris comme un environnement dans lequel les menaces peuvent rapidement instrumentaliser l’innovation afin de tirer avantage des handicaps structurels des acteurs défensifs (intégration technologique plus lente, mises à jour de vastes systèmes, délais de patching, etc.). La culture est donc un mécanisme qui permet aux organisations de consolider leur sécurité sans qu’elles n’aient à constamment surmonter une forme de fossé numérique et concentrer une part trop significative de leurs ressources sur des dispositifs technologiques dont l’efficacité à long terme demeure incertaine18.

​