Facteur humain
De quoi il s'agit
Chaque contrôle de cette liste suppose qu'une personne ne remettra pas ce qu'il protège. Le facteur humain est le travail qui rend cette hypothèse plus sûre. Simulation pour savoir où l'organisation en est réellement, formation attribuée là où se trouve la faiblesse, et une voie pour qu'un utilisateur signale quelque chose et obtienne une réponse.
Pourquoi cela compte
Le phishing ne met aucun contrôle en échec. Il emprunte l'autorité d'une personne puis se sert des contrôles exactement comme prévu, et c'est pourquoi rien en aval de l'utilisateur ne voit d'anomalie. La défense ne peut pas être un produit que l'utilisateur ne rencontre jamais. Elle doit changer ce que fait l'utilisateur, et la preuve que c'est le cas est un comportement mesuré avant et après.
Il y a un second mécanisme, et c'est celui que la plupart des programmes perdent. Apprendre à un utilisateur à signaler crée une file d'attente. Si cette file arrive dans une boîte sans responsable, l'utilisateur signale deux fois puis s'arrête, et le budget aura servi à apprendre aux gens que signaler ne sert à rien. La chaîne de signalement fait partie du contrôle, ce n'est pas un détail d'exploitation derrière lui.
La sensibilisation est aussi un contrôle dont un auditeur peut demander la preuve et obtenir une réponse nette. Qui a été formé, quand, et ce qu'il a fait ensuite.
Ce que cela résout
- Des utilisateurs formés une fois par an et jamais mesurés
- Des courriels signalés qui arrivent quelque part sans responsable et sans réponse
- Des fichiers sensibles envoyés par courriel ordinaire parce que la voie sécurisée est plus lente
- Des demandes d'audit réclamant la preuve que la formation a eu lieu et a changé quelque chose
Dans notre portefeuille
Juste à côté
Le chiffrement des courriels et des fichiers touche à la protection des données. La moitié de ce problème qui concerne la garde des clés est un autre produit et un autre domaine, et elle se trouve chez Procenne.