La cybersécurité au sein des PME: les collaborateurs sont la véritable clé du succès

L’attitude de leurs collaborateurs face aux cyberattaques rend les petites et moyennes entreprises suisses vulnérables: ils sont certes conscients des risques généraux de la cybercriminalité et du potentiel de dommages importants d’une attaque. Cependant, ils estiment que leur propre entreprise et eux-mêmes ne sont pas suffisamment importants pour devenir une cible attrayante. Cette attitude peut les conduire à réduire leur vigilance. Telles sont les conclusions d’une étude réalisée par la ZHAW School of Management and Law en collaboration avec Allianz Suisse. Pour ce faire, les chercheurs ont mené des entretiens approfondis avec des collaborateurs de PME sélectionnées afin de comprendre leurs attitudes et les facteurs qui mènent à prendre des décisions en matière de risques liés à la cybercriminalité.

« Les cybercriminels ciblent généralement des personnes et tentent de les utiliser pour injecter des logiciels malveillants dans le système de l’entreprise ou obtenir des mots de passe. L’attitude et le comportement des collaborateurs sont donc décisifs pour lutter contre les attaques », explique Carlos Casián, co-auteur de l’étude et souscripteur Choses/Cyber Risk Entreprises chez Allianz Suisse. « Dans le monde d’aujourd’hui notamment, où les collaborateurs travaillant à domicile sont nombreux, les risques augmentent: d’une part, des aspects techniques tels que l’accès externe au réseau d’entreprise jouent un rôle. D’autre part, les échanges ad hoc avec des collègues sur des e-mails suspects sont plus difficiles, ce qui rend les collaborateurs plus vulnérables aux tentatives de manipulation ». Selon l’étude, les collaborateurs des PME associent principalement les cyberattaques aux confrontations géopolitiques, au terrorisme ou au crime organisé. En revanche, ils considèrent la Suisse comme étant une sphère nettement plus sûre en comparaison. « Cependant, c’est une erreur. En Suisse également, environ un tiers des PME ont déjà été exposées à des attaques », déclare le responsable de l’étude, Carlo Pugnetti, professeur à la ZHAW School of Management and Law.

Les collaborateurs des PME interrogés se sentent relativement impuissants lorsqu’il s’agit de reconnaître une attaque spécifique contre leur propre entreprise. Dans un tel cas, cependant, ils supposent qu’ils pourront compter sur l’aide des spécialistes. Cette hypothèse peut encourager une certaine passivité et amener les collaborateurs à sous-estimer leur propre rôle dans la minimisation des risques liés à la cybercriminalité. En même temps, les résultats de l’étude montrent que les PME ont une culture d’entreprise fortement axée sur les solutions. En conséquence, les collaborateurs agissent généralement de manière proactive et souhaiteraient aider à traiter un cas de dommage spécifique.

Afin de réduire les risques et l’impact d’une cyberattaque, les auteurs de l’étude font un certain nombre de recommandations: il s’agit, entre autres, de mesures d’information au sein des PME qui sensibilisent les collaborateurs à la menace objective et leur montrent comment la prévenir. Les entreprises devraient également élaborer des stratégies pour faire face à d’éventuelles attaques et aux défaillances des systèmes informatiques qui y sont associées, et s’entraîner à ces scénarios. En développant des stratégies de solution adéquates, les entreprises devraient faire participer activement leurs collaborateurs et profiter de leur attitude engagée face au travail.

L’étude « Les PME suisses face aux cyber-risques – Une enquête sur les attitudes des employés et les failles comportementales» a été réalisée par l’Institut Risk & Insurance de la ZHAW School of Management and Law en collaboration avec Allianz Suisse et avec le soutien de différents partenaires. Les chercheurs ont mené des entretiens approfondis avec 17 collaborateurs occupant diverses fonctions dans trois PME sélectionnées du secteur du chauffage et de la fabrication. Pour ce faire, ils ont utilisé ce que l’on appelle la « technique de l’interview par métaphore profonde », dans laquelle les personnes interrogées sélectionnent des images qui expriment leurs idées et leurs attitudes vis-à-vis de différents aspects de la cybercriminalité. « Grâce à cette méthodologie, nous avons également pu identifier des modèles d’attitudes personnelles dont les personnes interrogées elles-mêmes n’avaient pas immédiatement conscience », explique Carlo Pugnetti. « L’accent a donc été mis sur la mise en évidence des idées cachées et, partant, sur l’élaboration de mesures plus efficaces. » Les entretiens ont été menés en septembre 2020.