Quelle formation cybersécurité pour les agents d'une collectivité et/ou d'une tpe/pme (sensibilisation et/ou expertise) ?
il y a 7 ans par bosjr

la formation, la sensibilisation, la formation encore, l'éducation, ... bref, répéter toujours ... et, de temps en temps, le moins possible, mais il est des fois où l'on a pas le choix ... la sanction ! activer un lien ou utiliser un disque non contrôlé allant à l'encontre des règles connues, pour lesquels on a été formé, éduqué, ... ça s'appelle une faute ... reste à la qualifier ... blâme, grave, lourde, ... et à proportionner la sanction ... mise à pied de x jours ... mise à pied conservatoire ... faire un exemple ? monter le niveau de vigilance collectif ...

je sais, ce n'est pas très populaire ... mais c'est la sécurité collective ...

C'est une bonne méthode : démontrer que c'est possible ou que cela existe sans que l'on s'en doute

Une analyse de risques selon des méthodes et normes connues doivent aboutir à un plan d'actions avec une charte et une politique de sécurité mais pas dans le but qu'elles existent parceque c'est bien mais aussi et surtout comme outils de sensibilisation avec des démonstrations à reproduire ....

En règle générale, pendant ces démonstrations, je fais de la vulgarisation, c'est-à-dire que j’explique simplement des notions parfois complexes (ex. : algorithme de cryptage, algorithme de hashage, etc.) tout en mettant à la portée des utilisateurs les outils dont je me sers. Il en résulte une réelle sensibilisation – c'est-à-dire le but recherché –, car l’auditoire prend tout de suite conscience, qu’en réalité, tout le monde peut être un pirate en puissance. D’ailleurs, les derniers chiffres de la cyberdélinquance tendent à le prouver, étant donné qu’il n’y a jamais eu autant de piratage de cartes bancaires, ni autant de vols de voiture sans la moindre violence (le car-jacking, c'est-à-dire le vol AVEC violence, étant devenu aujourd’hui quasi anecdotique). On peut donc remercier l’électronique grand public de simplifier autant la vie des cyberdélinquants d’aujourd’hui…

Quels moyens avez vous mis en place pour sensibiliser l'homme ?

Bonsoir,

Il s'agit surtout de faire passer des messages et dans ce cas il y un adage que j'utilise "il vaut mieux s'adresser au bon dieu qu'a ses saint" !

L'ANSSI est un grand et important acteur mais combien connaissent ses publications comme ce bon guide et qui sont de bons supports de sensibilisation. 

www.ssi.gouv.fr/entreprise/bonnes-pratiques/

Mais comment les mettre en pratique dans votre collectivité et entreprise, initier, suivre, évaluer ces actions et les reconduire.

Il y a aussi la démarche cyberédu pour inclure la cybersécurité dans les formations :

www.ssi.gouv.fr/entreprise/formations/cyberedu...

En fait une affaire d'homme de bonne volonté prenant conscience de l'existence possible voire avéré des risques.

Le référent en Région est une bonne chose mais il faut encore plus de proximité et ce collaboration, de confiance avec les acteurs de la sécurité.

Vous avez aussi le CLUSIR Aquitaine dont j'ai été un des fondateurs et président le temps de mon activité et d'autres CLUSIRs régionaux et le CLUSIF.

Beaucoup d'entreprises proposent des produits, des solutions, des formations mais alors pourquoi peu semblent en prendre conscience ...sauf lors d'un incident ... et comment ceux qui doivent nous protéger arrivent à être trop souvent piratés (Orange, yahoo, ovh, ...)

Oui il faut sensibiliser en masse mais comment ?

Peu de conducteurs de voitures conduisent sans permis !

Exacte !!

On peu cependant passer le permis mais, être un jeune conducteur...

Vaut mieux être jeune avec le permis, une voiture entretenue mais c'est vrai que là il manque la formation tout le long de la vie et parfois l'expérience

Il n'y a pas que des utilisateurs souhaitant nuire et j'espère qu'ils soient le moins nombreux possibles ...

Que pensez vous du principe "Responsabiliser mais pour cela former et sensibiliser avant ..."

Bonjour, 

pour ma part, j'ai trouvé cette option intéressante car la sensibilisation/Formation/éducation se fait automatiquement et dans la durée, maintenant je suis un "jeune" qui ne connait pas encore toutes les solutions possibles, mais lorsque l'on voit nos amis, notre famille en privée, c'est déjà une chose qui fait peur !! les informations qui peuvent être mises sur le web, dans les réseaux sociaux, le fait de cliquer sur un lien d'un mail inconnu, le fait de tout conserver sur un mobile au risque de le perdre... il y a tellement de chose que j'ai trouvé cette outil intéressant pour l'entreprise ou je l'ai vu. L'utilisateur qui voulait copier un fichier "critique" recevait un message, lorsqu'il voulait faire un extract d'information du CRM, il recevait un message, lorsqu'il télécharge un outil et qu'il cherche a l'installer, etc.. toutes ces activités qui peuvent paraître "sans importance" pour l'utilisateur mais qui peuvent être un risque pour l'entreprise. 

Je ne suis pas rentré dans le détail, lors d'un stage on voit plein de chose, mais j'ai pensé que cette information pouvait être intéressante dans le sujet abordé, comme me disait mon client, une Histoire comme il y a eu a la MGP n'aurait pas eu lieu avec cet outil et les règles que le client a activé (ou créé)

Responsabiliser par la formation, c'est un budget et ce doit être répétitif, comme me disait le client "l'humain est la seule machine ou le Patch n'a aucune valeur dans la durée" d'ou le choix de son investissement.

Bonne journée et Bonnes Fêtes.

Bonjour,

Merci pour ce complément de témoignage 

Avez vous le nom du produit et des références ?

C'est vrai qu'il faut pense au grand public ou à l'ensemble des employés qui sont de plus des usagers, clients ou simples internautes qui se connectent aux organismes et entreprises même si elles sont bien protégées. Il faut généraliser les actions de sensibilisation et de formation.

Un bon exemple : www.hack-academy.fr/ la Hack Academy mais présenter d'autres scénarios

Société Conscio propose aussi une solution intéressante
 www.conscio-technologies.com/sensiwave-sensibil...

La sécurité et la formations en général n'est pas un cout mais un investissement avec un ROI  à plus ou moins long terme.

La sécurité doit-être inclus dès l'amont des projets, à la conception des objets et des publications mais pour cela il ne faut pas promouvoir le développement rapide et prendre conscience qu'il faut ajouter un délai supplémentaire pour la formation, la prise compte de la sécurité dans la qualité ..ainsi on ne traite plus les conséquences mais les causes ...

Oui je l'ai recherché afin d'être plus précis sur mon post, c'est ObserveIT (www.observeit.com)je viens de retrouver le nom et un article d'ailleurs www.lelezard.com/communique-12260172.html

moi je l'ai vu durant mon stage dans un Ministère (désolé je ne peux pas dire le nom) et je sais qu'il avait trouvé la solution à travers une entreprise qui gère des données de patients hospitalier. 

Je suis d'accord avec vous sur le fait que la sécurité est un investissement mais cela n'est pas encore pris comme tel par toutes les entreprises, il suffit de voir le nombre de problèmes déclarés en 2016. 

Je vous remercie pour les échanges

Bonne journée

j'ai regardé la solution Conscio, intéressant. Nous ne sommes pas dans la même approche de ce que j'ai pu lire, avec cette solution on va plus mettre en place des scénarios ou campagne que nous allons promouvoir auprès des utilisateurs pour qu'ils acquièrent les bons réflexes. c'est vraiment une solution orienté "formation/sensibilisation" par l'apprentissage, ObserveIT à l'air d'une solution plus orienté sur "l'application" avec si nécessaire des explications par messages. mais je vais regarder plus en profondeur, je n'aimes pas émettre d'avis quand je ne connais pas la solution plus que le simple fait d'avoir lu en diagonale... 

Le problème c'est un produit non européen  d'ou la question de la conformité aux lois européennes 

Ce serait bien qu'il est un produit équivalent labellisée par l'ANSSI.

Avez vous comparer avec d'autres produits ?

Maintenant si c'est un ministère qi l'utilise, il est possible qu'il est une certification en cours

je ne sais pas vous répondre sur ce point, je sais que j'avais parlé de la partie "enregistrement" et que l'on m'a expliqué que cette outil était validé par la CNIL car l'enregistrement n'est pas continu et n'intervient que sur le déclenchement d'alerte (et selon ce que l'on défini comme règles en interne) 

je pense que comme beaucoup d'éditeurs, ils doivent avoir un représentant en France, je vais chercher l'information, peut être pourraient ils renseigner sur ces points... beaucoup d'éditeurs "non Européen" Checkpoint, Fortinet, etc... sont présents dans les administrations et grands comptes, je ne pense pas que cela soit un "réel" soucis. 

Mais ayant un peu de temps, je vais creuser, même pour ma culture personnel, ce sera des informations "intéressantes"

Bonne journée

Bonjour,

On trouve les produits qualifiés, pas encore assez nombreux, sur le site de l'ANSSI ici :

www.ssi.gouv.fr/entreprise/qualifications/prod...

Pour les prestataires qualifiés ou en cours de qualification :

www.ssi.gouv.fr/administration/qualifications/...

Pour les produits certifiés CSPN :

www.ssi.gouv.fr/entreprise/produits-certifies/...

Il y a le choix mais de quoi perdre son latin SSI

Et pour les formations voir www.ssi.gouv.fr/entreprise/formations/

Bonjour, 

oui je connais quelques un de ces produits comme Primx, Stonesoft, etc... ce sont des offres de sécurité, il n'y a aucun de ces produits qui interviennent pour faire comprendre et/ou sensibiliser l'utilisateur vis à vis de ces erreurs en interne (accès cloud ou fileshare, copie de fichier etc...). PrimX fait du chiffrage (Disque, fichier, etc...) Stonesoft Firewall NG / IPS etc... solutions qui sont déjà présentes dans beaucoup d'entreprise qui ont d'ailleurs pour certaines, fait la une dans la presse en 2016 (Yahoo, DCNS, MGP, etc...) ou les problèmes n'ont pas forcément été des problèmes d'attaques techniques (Malware, Virus, etc...) mais plutôt des erreurs humaines (copie de fichier sur un PC, envie de nuisance etc...) 

mais déjà l'ANSSI montre et pousse auprès des entreprises, que ce soit de la PME ou du grand compte (on le voit par les reportages, publications, etc... dans des journaux qui ne sont pas forcément "spécialisé") les problématiques de Cybersécurité, ce qui au vu de ce que j'ai pu lire ou entendre est une grande avancé par rapport a il y a quelques années, mais comme vous disiez il y a énormément de choix, de solutions et je pense que ce ne doit pas toujours être les meilleurs ou les moins chers (mais je ne suis pas encore un expert sur toutes les solutions)

sinon j'ai creusé un peu et j'ai vu donc que la solution était distribué dans toute l'Europe, en France, l'on trouve cette solution chez Infinigate un distributeur de produit de sécurité. J'ai aussi vu sur le site, tout un tas d'information concernant les conformités (PCI, HIPAA, ISO27001, etc...)

Voila, à la vitesse ou cela va, il va y avoir de nouvelles solutions , je regarde pas mal en ce moment ce qu'ils appellent le machine learning et tout ce qui est détection et gestion d'attaques/réponse à incident...

Je vous souhaite de très bonnes fêtes de fin d'année