Concilier confiance, respect de la vie privée et surveillance dans les programmes de gestion des risques internes

L’image traditionnellement associée à une menace interne est celle d’un employé qui dérobe délibérément des informations ou cherche à saboter son organisation. En réalité, le risque interne est bien plus vaste.

Les employés et les prestataires peuvent délibérément faciliter une fraude ou une activité criminelle, mais ils peuvent aussi être compromis par des techniques d’ingénierie sociale, se faire voler leurs identifiants, commettre des erreurs de bonne foi ou subir des pressions financières, personnelles ou criminelles.

Cette distinction est importante. Si les programmes de gestion des menaces internes partent du principe que les employés constituent eux-mêmes le problème, la réponse naturelle consiste à renforcer la surveillance. En revanche, si les organisations considèrent le risque interne comme le résultat de l’interaction entre les personnes, les opportunités, les accès, les systèmes et les menaces externes, elles peuvent mettre en place des contrôles beaucoup plus ciblés.

Il est essentiel de comprendre toute l’étendue de ces risques, car les menaces internes peuvent avoir de graves conséquences : fraude et manipulation des processus d’approvisionnement, vol de propriété intellectuelle et d’équipements, divulgation d’informations sensibles, pertes financières, perturbations opérationnelles et atteintes à la réputation. Dans les infrastructures critiques et les environnements technologiques sensibles en particulier, elles peuvent également entraîner la perte de secrets d’État ou industriels et présenter des risques pour la sécurité physique.

La Cybersecurity and Infrastructure Security Agency (CISA), l’agence fédérale américaine chargée de coordonner les efforts visant à réduire les risques cybernétiques et physiques pesant sur les infrastructures critiques, ainsi que l’ENISA[1], son équivalent européen, recommandent une approche proactive axée sur la prévention. Selon cette approche, les organisations définissent les menaces internes pertinentes pour leur environnement, identifient les signaux d’alerte, évaluent leur importance et gèrent les risques avant que des comportements préoccupants ne débouchent sur un incident dommageable.

Cela implique de se poser des questions telles que : qui a accès à nos actifs les plus importants ? Quelles actions doivent véritablement être considérées comme inhabituelles pour une fonction donnée ? Dans quels cas une seule personne pourrait-elle contourner un processus critique ? Quels employés ou prestataires pourraient être ciblés par des organisations criminelles ou des acteurs étatiques ? Et quels contrôles permettraient de détecter une utilisation abusive sans recueillir inutilement des informations personnelles ?

La CISA définit comme suit ses principes fondamentaux d’atténuation des risques:

• Définition: reconnaître que les personnes internes comprennent les employés, les travailleurs temporaires, les prestataires et les fournisseurs disposant de connaissances privilégiées ou de droits d’accès.
• Détection: privilégier l’identification de comportements observables et préoccupants plutôt que de s’appuyer sur des profils personnels rigides.
• Évaluation: déterminer si une personne suscitant des préoccupations possède à la fois l’intention et la capacité de provoquer une perturbation ou de causer un préjudice.
• Gestion: recourir à des interventions pluridisciplinaires, à des modèles de signalement et à des réponses coordonnées entre équipes afin d’atténuer les risques avant qu’un incident ne s’aggrave.

Les ports et les réseaux de transport de marchandises réunissent des effectifs importants, des prestataires, des entreprises de transport, des transitaires, des compagnies maritimes, des procédures douanières, des dispositifs de sécurité physique ainsi que des systèmes informatiques et des technologies opérationnelles toujours plus interconnectés. L’ENISA souligne que les ports constituent des écosystèmes fortement interconnectés, dans lesquels partenaires et fournisseurs peuvent disposer d’un accès permanent aux systèmes, aux infrastructures et aux données, augmentant ainsi la surface d’attaque potentielle. Elle souligne également que les évaluations des cyber-risques doivent prendre en compte le facteur humain au même titre que la technologie.

Les organisations criminelles ont, elles aussi, identifié ces caractéristiques. L’analyse menée par Europol sur les principaux ports européens a révélé que des réseaux criminels ont cherché à obtenir des accès par l’intermédiaire de personnes internes corrompues ou compromises au sein de compagnies maritimes, de transitaires, d’entreprises de transport, de terminaux et d’autres organisations. L’une des tactiques consiste à obtenir les références des conteneurs afin de pouvoir extraire des cargaisons illicites en réduisant le risque de détection. Europol décrit la corruption comme un facteur clé facilitant l’infiltration criminelle des ports. Par ailleurs, le vol de marchandises repose désormais davantage sur de faux transporteurs, l’usurpation d’identité, des identifiants compromis et la collusion interne que sur la seule intrusion physique.

Cet enseignement dépasse largement le secteur de la logistique. Un nombre relativement restreint de personnes disposant des bons niveaux d’accès peut fournir à un acteur malveillant externe des informations ou des capacités d’une valeur disproportionnée.

Une surveillance efficace doit donc chercher à identifier les écarts significatifs par rapport aux activités habituelles. L’analyse du comportement des utilisateurs et des entités (User and Entity Behavior Analytics, UEBA), par exemple, permet d’établir des niveaux de référence opérationnels et de détecter des anomalies : accès inhabituel à des informations, utilisation inattendue de comptes à privilèges, changements dans les habitudes de travail, mouvements anormaux de données ou activités incompatibles avec la fonction d’une personne.

Lorsqu’ils sont judicieusement recoupés avec des informations provenant des ressources humaines, des systèmes de contrôle des accès physiques, des prestataires, des systèmes informatiques et des activités opérationnelles, ces signaux peuvent fournir un contexte qu’une alerte isolée ne permet pas d’obtenir. Des organisations telles que la CISA et l’ENISA préconisent précisément cette approche transversale, notamment une surveillance continue capable de détecter l’évolution des comportements et offrant une visibilité sur les prestataires et les tiers.

Surtout, une alerte doit constituer un motif pour chercher à comprendre ce qui s’est produit, et non une preuve de culpabilité. Il peut exister une explication parfaitement légitime. Ce principe permet de distinguer une gestion intelligente des risques internes d’une surveillance généralisée des employés.

La capacité technique de recueillir des informations ne justifie pas automatiquement leur collecte. Les autorités chargées de la protection des données exigent de plus en plus que la surveillance sur le lieu de travail réponde à un objectif défini et soit nécessaire et proportionnée. L’Information Commissioner’s Office (ICO) du Royaume-Uni, par exemple, indique que les employeurs doivent clairement établir pourquoi une surveillance est nécessaire et recourir aux moyens les moins intrusifs permettant d’atteindre cet objectif. L’ICO souligne également qu’une surveillance excessive peut porter atteinte à la vie privée et au bien-être, ainsi que nuire à la relation de confiance entre les employés et leur employeur.

Cette même philosophie se retrouve dans les principes de limitation des finalités et de minimisation des données du Règlement général sur la protection des données (RGPD) de l’Union européenne : les données à caractère personnel doivent être collectées pour des finalités déterminées et légitimes, et les organisations doivent limiter cette collecte aux données nécessaires à ces finalités. Ces principes constituent des garde-fous pratiques utiles pour les programmes de gestion des risques internes, quel que soit le pays concerné, même lorsque le cadre juridique applicable diffère.

Les organisations doivent être en mesure d’expliquer ce qu’elles surveillent, pourquoi elles le font, qui peut accéder aux informations obtenues, combien de temps celles-ci sont conservées et quelles règles de gouvernance s’appliquent lorsqu’une alerte est générée. Lorsque la surveillance est susceptible d’avoir des conséquences significatives sur la vie privée des employés, un examen juridique et une évaluation appropriée des enjeux liés à la protection des données doivent faire partie intégrante de la conception du programme, et non intervenir après le déploiement de la technologie.

Il existe une autre raison d’éviter une surveillance excessive : elle peut rendre les organisations moins sûres. Les employés constituent souvent l’un des meilleurs systèmes d’alerte précoce d’une organisation. Ils remarquent les demandes inhabituelles, les tentatives inappropriées d’obtenir des accès, les changements de comportement de leurs collègues, les approches suspectes et les faiblesses dans les processus.

Si les employés pensent qu’un programme de gestion des risques internes existe principalement pour enquêter sur eux, ils peuvent être moins enclins à signaler leurs préoccupations ou à révéler qu’ils ont eux-mêmes été approchés, manipulés ou soumis à des pressions. Une surveillance excessive peut nuire au moral, inciter certaines personnes à contourner les dispositifs de contrôle et dissuader les employés de s’exprimer ouvertement.

Un ITMP mature associe donc la technologie à des politiques claires, des formations de sensibilisation, des mécanismes de signalement confidentiels et des dispositifs d’accompagnement pour les employés confrontés à des tentatives de coercition, à des pressions financières ou à d’autres facteurs de vulnérabilité. La gouvernance doit réunir les équipes chargées de la sécurité, des ressources humaines, des affaires juridiques, de la conformité, de l’informatique et les fonctions opérationnelles concernées afin que les décisions soient proportionnées et examinées sous plusieurs angles.

Le cadre « POEM » de la CISA pour les équipes de gestion des menaces internes

Principales étapes:

P – Planifier: définir les objectifs, les lignes directrices en matière de conformité juridique et des seuils de signalement clairs.

O – Organiser: constituer des équipes pluridisciplinaires réunissant notamment des compétences en matière de sécurité, de ressources humaines et d’affaires juridiques.

E – Exécuter: déployer des outils de signalement et évaluer collectivement les indicateurs comportementaux.

M – Maintenir: actualiser en permanence les formations, favoriser une culture de confiance et réévaluer régulièrement la résilience du programme.

Cette approche présente des avantages qui vont au-delà de la détection des actes répréhensibles intentionnels. Elle peut contribuer à réduire la fraude et les pertes de données, à détecter plus tôt les identifiants compromis, à améliorer la maîtrise des risques liés aux tiers, à renforcer les enquêtes et à permettre aux organisations d’intervenir avant que des signaux d’alerte relativement mineurs n’évoluent en incidents majeurs.

En définitive, la confiance et la sécurité ne doivent pas être considérées comme des objectifs contradictoires. Le programme de gestion des risques internes le plus efficace n’est pas nécessairement celui qui recueille le plus d’informations. C’est celui qui sait quels risques sont importants, surveille les comportements pertinents, applique de solides garanties en matière de protection de la vie privée, communique ouvertement avec les employés et réagit aux signaux d’alerte de manière équitable et cohérente.

Dans la logistique, les services financiers, les technologies ou tout autre secteur reposant sur des accès de confiance, cette distinction revêt une importance croissante. L’objectif n’est pas de surveiller davantage. Il s’agit de mieux comprendre les risques tout en préservant la confiance dont dépend la résilience des organisations.

Découvrez comment protéger vos collaborateurs, vos actifs et vos opérations contre les menaces internes grâce à la solution de gestion des menaces internes de Crisis24.

^{1 Agence de l’Union européenne pour la cybersécurité}