Entourez-vous d’une équipe multidisciplinaire forte
La mise en œuvre d’un programme de sensibilisation à la sécurité constitue un projet d’envergure qui doit être évolutif et en continu. Ce type de programme est aussi, en quelque sorte, tentaculaire : il peut avoir plusieurs ramifications qui s’étendent au-delà de l’équipe, de l’unité ou du département qu’il vise au départ. Une gestion efficace du programme passe, notamment, par la création d’une équipe de sensibilisation à la cybersécurité. Cette équipe aura la responsabilité de gérer l’ensemble des étapes (analyse des besoins, planification, déploiement, mesure et optimisation) du programme de sensibilisation à la cybersécurité.
Quelle est la mission de l’équipe de sensibilisation à la cybersécurité ?
La mission opérationnelle
Une première mission de l’équipe de sensibilisation à la cybersécurité est opérationnelle. Le soutien opérationnel représente la gestion des ressources financières, humaines et matérielles nécessaires afin d’atteindre les objectifs du programme de sensibilisation.
- Faciliter l’obtention des ressources (humaines, financières, physiques).
- Identifier les outils nécessaires à la gestion efficace du programme.
- Contribuer au choix des moyens de communication des résultats et identifier les relayeurs potentiels dans les membres de la direction.
- Effectuer les suivis constants pour bien orienter ou corriger les lacunes observées dans la tenue des activités de sensibilisation.
- Assurer une cohérence entre les différentes phases de déploiement du programme de sensibilisation.
- Établir les priorités, coordonner les activités de sensibilisation déployées et déterminer les modalités de soutien à offrir pour leur réalisation.
- Prendre les décisions nécessaires à la bonne conduite du projet (allocations de ressources supplémentaires, révision de la portée du programme de sensibilisation, révision des délais de mise en œuvre, etc.).
- Désigner des experts, c’est-à-dire des personnes donnant ponctuellement un avis d’expertise sur un point nécessitant des compétences spécifiques que le comité ne possède pas.
La mission stratégique
L’équipe multidisciplinaire de sensibilisation à la cybersécurité doit aussi agir à un niveau stratégique. Elle doit assurer un leadership indispensable à la réalisation de l’ensemble des étapes (analyse des besoins, planification, déploiement, mesure et optimisation) du programme de sensibilisation à la cybersécurité.
- Obtenir l’appuie pour la mise en oeuvre des différentes étapes du programme.
- Démontrer comment le positionnement du programme de sensibilisation est directement en lien avec les orientations stratégiques de l’organisation.
- Ancrer le changement de comportement proposé par le programme dans les politiques, les procédures et la documentation de l’organisation.
- Favoriser l’appropriation du changement de comportement et l’adhésion au programme de sensibilisation par le public cible.
- Collaborer à l’identification des meilleures stratégies de communication et des objectifs à poursuivre par le programme de sensibilisation.
- Contribuer à l’identification des cibles prioritaires et des besoins en matière d’apprentissage.
Qui doit faire partie de l’équipe de sensibilisation à la cybersécurité ?
L’équipe a pour objectif de créer une structure rassemblant différentes personnes possédant des compétences variées et occupant des fonctions clés afin d’assurer la réussite du programme de sensibilisation à la cybersécurité.
Voici les membres qui sont vus comme indispensables lorsque vous désirez mettre sur pied une équipe multidisciplinaire de sensibilisation à la cybersécurité :
Le responsable du programme “program sponsor” est, la plupart du temps, un membre de la haute direction qui est vu comme l’instigateur du programme. Son rôle sera centré sur le maintien d’une communication efficace entre les acteurs. Il assure l’accès à des fonds suffisants pour mener à terme l’ensemble des activités prévues.
Le gestionnaire de projet “project manager” relève directement du responsable du programme. Il assure la bonne gestion du programme et est responsable de la gestion opérationnelle liée à sa mise en œuvre. Il coordonne et mène à terme l’ensemble des étapes (analyse des besoins, planification, déploiement, mesure et optimisation) du programme de sensibilisation à la cybersécurité. Il approuve le format et le contenu des activités de sensibilisation déployées.
Le conseiller en communication “communication advisor” défini et de gère la stratégie de communication entourant le déploiement du programme de sensibilisation. Tout comme les autres interventions ou changements organisationnels, un programme de sensibilisation à la cybersécurité doit être annoncé et expliqué au public-cible. Le conseiller défini le plan de communication et supervise la réalisation des différentes activités s’y rattachant.
L’expert de contenu “subject matter experts” produit le contenu qui servira aux activités déployées lors du programme de cybersécurité. Son rôle est central dans la création de différents formats de contenu (cours en ligne, outils de renforcement, vidéos, simulations d’hameçonnage, etc.). Il guide la sélection des risques en sécurité qui devront être couverts par le programme de sensibilisation. Cet expert provient de l’équipe de sécurité.
L’administrateur technique “IT/LMS administrator” s’assure du bon fonctionnement de l’aspect technique et du programme de sensibilisation. Il configure et d’administre la plateforme de gestion de la sensibilisation à la cybersécurité ou encore, pilote le pré-test fonctionnel (functional testing). Il s’assure que l’ensemble des employées puissent avoir accès aux différents contenus déployés.
Un conseil : l’équipe de sensibilisation à la cybersécurité doit être la plus restreinte possible afin de faciliter la coordination entre ses différents membres – plus il y a de membres impliqués, plus la communication devient complexe. Il est donc important d’impliquer seulement les quelques personnes indispensables au bon fonctionnement de la mise en œuvre du programme de sensibilisation. Cela dit, rien n’empêche l’équipe de sensibilisation à la cybersécurité de collaborer ponctuellement avec des experts (statisticiens, traducteurs, infographes, etc.) lorsque qu’elle fait face à un besoin pour lequel les membres qui la constitue ne possèdent pas totalement l’expertise requise.
Finalement, gardez à l’esprit que la taille ou la composition de l’équipe de sensibilisation à la cybersécurité peut varier au fil du temps. Il est important de maintenir une vision commune des objectifs à atteindre, de préciser le rôle de chacun des membres de l’équipe et d’établir une bonne structure de travail. Le bon fonctionnement d’une équipe de sensibilisation à la cybersécurité repose également sur l’établissement d’un climat de travail basé sur le respect des expertises et la confiance mutuelle. Vous aurez, ainsi, tous les ingrédients en place afin d’assurer la bonne mise en œuvre de votre programme de sensibilisation à la cybersécurité.
Apprenez-en plus sur la mise en oeuvre d’un programme de sensibilisation à la sécurité dans cet eBook :
Téléchargez le eBook Human Fix to Human Risk
Téléchargez « The Human Fix to Human Risk », pour en savoir plus sur l’approche en cinq étapes de Terranova pour la mise en œuvre d’une campagne complète de sensibilisation à la cyber sécurité qui change efficacement le comportement des employés.