En complément à la sensibilisation
Sensibiliser le personnel à la sécurité ne suffit pas. Il faudra être capable de prouver que
ce travail a bien été réalisé. Nous verrons aussi que les actions de sensibilisation
entraînent une charge de travail que le RSSI se doit de prendre en compte. Enfin, nous
verrons que la sensibilisation ne sera effective que si on l’améliore continuellement.
Prouver
Les principaux référentiels de sécurité insistent sur l’importance de sensibiliser le
personnel à la sécurité des SI. C’est pour cela que les auditeurs demandent généralement
qu’on leur fournisse la preuve que le personnel a bien été informé. Le RSSI a donc tout
intérêt à archiver toutes les traces de ses actions. Ceci est d’autant plus facile que les
sensibilisations s’accompagnent presque toujours d’un support. Les éléments à archiver
sont habituellement :
les fiches d’émargement prouvant que le personnel a bien assisté aux séances de
sensibilisation ;
les différents supports de sensibilisation utilisés (affiches, messages envoyés au
personnel, supports de présentations) ;
éventuellement, les vidéos des démonstrations de piratage que le RSSI a faites pour
marquer les esprits.
Suivre
Un second point, plus important encore que l’archivage, est le suivi. En effet, chaque fois
que le RSSI lance une action de sensibilisation, une partie du public accepte de « jouer le
jeu ». Ainsi, si lors de ces sensibilisations le RSSI invite les utilisateurs à le solliciter
pour toute question relevant de la sécurité, certaines personnes n’hésitent pas à le
contacter quelques jours plus tard. Il est très important que le RSSI soit très réactif vis-àvis de ces personnes. Il doit écouter attentivement leurs sollicitations et proposer très
rapidement des solutions acceptables. S’il satisfait ces utilisateurs, ces derniers relayeront
dans leurs services l’efficacité du RSSI, ce qui contribuera à faire passer durablement le
message de la sécurité dans l’entreprise. En revanche, si le RSSI dédaigne ces
sollicitations, cela entraînera une déception dans les services, contrebalançant
négativement l’action de sensibilisation.
Il faut donc retenir que toute action de sensibilisation doit s’accompagner d’une écoute et
d’une forte réactivité vis-à-vis du public.
Améliorer la sensibilisation
Ce chapitre commençait par affirmer qu’une sensibilisation soutenue permettait
d’améliorer réellement et de façon mesurable le niveau de sécurité du SI. La question de
la mesure se pose donc, car certains des points sur lesquels le RSSI a communiqué
peuvent donner lieu à des indicateurs. Prenons l’exemple des mots de passe, qui
Sensibiliser le personnel à la sécurité ne suffit pas. Il faudra être capable de prouver que
ce travail a bien été réalisé. Nous verrons aussi que les actions de sensibilisation
entraînent une charge de travail que le RSSI se doit de prendre en compte. Enfin, nous
verrons que la sensibilisation ne sera effective que si on l’améliore continuellement.
Prouver
Les principaux référentiels de sécurité insistent sur l’importance de sensibiliser le
personnel à la sécurité des SI. C’est pour cela que les auditeurs demandent généralement
qu’on leur fournisse la preuve que le personnel a bien été informé. Le RSSI a donc tout
intérêt à archiver toutes les traces de ses actions. Ceci est d’autant plus facile que les
sensibilisations s’accompagnent presque toujours d’un support. Les éléments à archiver
sont habituellement :
les fiches d’émargement prouvant que le personnel a bien assisté aux séances de
sensibilisation ;
les différents supports de sensibilisation utilisés (affiches, messages envoyés au
personnel, supports de présentations) ;
éventuellement, les vidéos des démonstrations de piratage que le RSSI a faites pour
marquer les esprits.
Suivre
Un second point, plus important encore que l’archivage, est le suivi. En effet, chaque fois
que le RSSI lance une action de sensibilisation, une partie du public accepte de « jouer le
jeu ». Ainsi, si lors de ces sensibilisations le RSSI invite les utilisateurs à le solliciter
pour toute question relevant de la sécurité, certaines personnes n’hésitent pas à le
contacter quelques jours plus tard. Il est très important que le RSSI soit très réactif vis-àvis de ces personnes. Il doit écouter attentivement leurs sollicitations et proposer très
rapidement des solutions acceptables. S’il satisfait ces utilisateurs, ces derniers relayeront
dans leurs services l’efficacité du RSSI, ce qui contribuera à faire passer durablement le
message de la sécurité dans l’entreprise. En revanche, si le RSSI dédaigne ces
sollicitations, cela entraînera une déception dans les services, contrebalançant
négativement l’action de sensibilisation.
Il faut donc retenir que toute action de sensibilisation doit s’accompagner d’une écoute et
d’une forte réactivité vis-à-vis du public.
Améliorer la sensibilisation
Ce chapitre commençait par affirmer qu’une sensibilisation soutenue permettait
d’améliorer réellement et de façon mesurable le niveau de sécurité du SI. La question de
la mesure se pose donc, car certains des points sur lesquels le RSSI a communiqué
peuvent donner lieu à des indicateurs. Prenons l’exemple des mots de passe, qui