Depuis 2020, le nombre de cyberattaques a été multiplié par 10 en France, avec pour principales victimes les établissements de santé et les administrations locales. Ces chiffres témoignent d’un changement radical de paradigme : jusque-là, les hackers se sentaient moralement tenus d’épargner les hôpitaux. La formation en cybersécurité devient donc indispensable dans le secteur de la santé.
Désormais, les établissements de santé constituent une cible prioritaire, ce qui les oblige à muscler leur cybersécurité. Pour rester protégés et assurer la continuité de leur activité, ils doivent investir dans une formation en cybersécurité qui viendra atténuer la principale vulnérabilité de leur surface d’attaque : l’humain.
Dans cet article, nous allons nous pencher sur l’importance de la formation sur la cybersécurité et vous dévoiler les cinq caractéristiques clés qu’elle doit présenter pour vous protéger efficacement.
Pourquoi les établissements de santé ont besoin d’une formation en cybersécurité
D’après Verizon, 82 % des violations de données dans le monde proviennent d’une erreur humaine. En vérité, l’être humain reste pour les hackers le moyen le plus simple de mettre la main sur un accès non autorisé et de compromettre des comptes.
Cela est d’autant plus vrai dans les secteurs essentiels, qui présentent des conditions de travail bien particulières. Dans le monde de la santé par exemple, l’environnement hospitalier place une forte pression sur les épaules des soignants, qui doivent agir vite et dont chacune des décisions quotidiennes peut sauver des vies.
Dans ces environnements uniques, l’erreur humaine est d’autant plus susceptible de contribuer à la réussite d’une cyberattaque, car cette pression favorise une cyberhygiène inappropriée. Par exemple, si une urgence ne permet pas d’utiliser de manière sûre les systèmes d’information, les médecins ont tendance à favoriser les soins plutôt que la sécurité informatique.
Par ailleurs, les établissements de santé s’appuient sur un vaste réseau de fournisseurs tiers, ce qui offre aux hackers de nombreuses possibilités d’usurpation. Conséquence directe, les professionnels de santé sont plus vulnérables que les autres face à l’ingénierie sociale, une stratégie par laquelle les cybercriminels peuvent gagner accès aux systèmes internes et lancer des attaques plus ambitieuses.
Les cinq ingrédients d’un programme de formation efficace
La formation en cybersécurité est pensée pour faire de vos utilisateurs une force et non plus une faiblesse face aux attaques. Elle leur donne une expérience pratique de la gestion des cybermenaces et leur enseigne les bonnes pratiques de cyberhygiène, ainsi que les comportements qui font dérailler les attaques.
S’ils sont de manière générale considérés comme une mesure de sécurité essentielle, tous les programmes de formation ne se valent pas. C’est pour cette raison que vous devez opter pour une formation de sensibilisation des utilisateurs présentant cinq caractéristiques essentielles.
1. Une formation axée sur l’email
L’email est le principal vecteur des cyberattaques et le canal sur lequel les utilisateurs ont le plus souvent des interactions directes avec des cybermenaces. Par conséquent, l’email doit être à la base de votre programme de formation en cybersécurité : il est indispensable d’apprendre aux utilisateurs à identifier les menaces véhiculées par les emails et à y répondre de manière appropriée.
Pour ce faire, les utilisateurs doivent suivre une formation de sensibilisation au phishing, la menace la plus représentée dans les emails malveillants et très utilisée pour propager des malwares, compromettre des comptes et plus encore. Au 4e trimestre 2022, Vade a ainsi détecté plus de 278,3 millions d’emails de phishing dans le monde, une augmentation de 36 % par rapport au trimestre précédent, ce qui montre bien que les hackers favorisent encore ce type de cyberattaque.
Nombre d’emails de phishing au 4e trimestre 2022
Sans sensibilisation et formation cybersécurité, les utilisateurs restent vulnérables aux cybermenaces les plus courantes, mais aussi aux techniques d’ingénierie sociale auxquelles ils ne manqueront pas d’être confrontés.
2. Un contenu personnalisé
La personnalisation est considérée comme un élément important de tout programme pédagogique. Elle consiste à adapter la formation aux besoins de l’élève afin de favoriser son implication, la mémorisation et l’application des connaissances acquises.
Dans le cadre d’une formation sur la cybersécurité, et en particulier dans le secteur de la santé, les utilisateurs ont besoin que le contenu et le contexte de leurs interactions par email soient pris en compte. Cette stratégie permet d’ancrer la formation dans leur quotidien et d’éliminer les obstacles qui empêchent la sensibilisation et l’amélioration des comportements.
3. Une gestion automatisée
La formation n’a rien d’un besoin ponctuel : les utilisateurs doivent suivre une formation régulière et continue pour maintenir de bonnes pratiques de cyberhygiène et rester à jour face aux nouvelles menaces et techniques qui ne manqueront pas d’apparaître. Par conséquent, la formation cybersécurité doit être gérée automatiquement.
En effet, les établissements de santé ne disposent pas forcément des ressources et du temps nécessaires pour s’en occuper. Ils ont donc besoin d’une formation autonome, qui renforce leur cybersécurité sans nécessiter l’intervention d’un personnel informatique déjà débordé. Optez pour un logiciel de formation cybersécurité entièrement automatisé, qui ne nécessite aucune intervention humaine.
4. Déclenchement en temps réel
Le calendrier joue également un rôle crucial dans l’efficacité d’une formation cybersécurité. Plutôt que de planifier les sessions, il est recommandé de les déclencher aux moments où les utilisateurs en ont le plus besoin, c’est-à-dire lorsqu’ils font face à une cybermenace. Cette stratégie permet de rapprocher la formation de la réalité, et d’améliorer ainsi la probabilité que les utilisateurs réalisent la bonne action et évitent la compromission de leur compte.
5. Actualisation continue
La formation est un besoin constant, et elle doit tenir compte d’évolutions naturelles internes et externes. Parmi ces évolutions, nous pouvons citer la rotation du personnel, la perte de connaissances internes, mais aussi les nouvelles menaces et techniques imaginées par les hackers.
Votre programme de formation cybersécurité doit être mis à jour automatiquement pour que son contenu reste actuel et pertinent tout en conservant les caractéristiques essentielles mentionnées plus haut (focus sur l’email, personnalisation, automatisation et déclenchement en temps réel).
Formation sur la cybersécurité : pour renforcer le facteur humain de votre potentiel d’attaque
La formation sur la cybersécurité est essentielle pour que les établissements de santé parviennent à combler les vulnérabilités inhérentes à leur activité. En investissant dans le bon programme de formation, votre établissement pourra donner aux utilisateurs les connaissances dont ils ont besoin pour gérer de manière appropriée les attaques par ingénierie sociale et autres cyberattaques de haut niveau.
Pour autant, une formation sur la cybersécurité n’offrira pas une protection complète à elle seule. Elle doit s’intégrer dans une approche plus complète et plus collaborative de la sécurité, qui unifie toute une série de solutions collaboratives et intégrées pour créer un modèle de sécurité à plusieurs niveaux.
Vade for M365 fournit une détection et une réponse aux cybermenaces les plus sophistiquées du moment grâce à l’IA. Autonome et intégrée à Microsoft 365, notre solution adopte un moteur d’IA collaboratif qui apprend en continu grâce à des informations fournies par les intelligences humaine et artificielle issues de plus de 1,4 milliard de boîtes aux lettres dans le monde entier.
Elle intègre également Vade Threat Coach™, un module dispensant automatiquement une formation contextualisée et continue sur la cybersécurité aux utilisateurs dès qu’ils rencontrent une menace.
