Cybersécurité et confidentialité des données : Comment créer des habitudes cybernétiques intelligentes grâce à la formation des employés

La paresse sociale : Nous pensons que nos actions n'ont pas d'importance

La paresse sociale est la tendance à fournir moins d'efforts dans un groupe que lorsqu'on travaille seul. Elle est particulièrement prononcée dans les contextes où les efforts de chaque membre sont combinés en un résultat total pour le groupe, ce qui rend difficile l'ideⁿtification de la contribution de chacun.5

La paresse sociale découle de l'hypothèse selon laquelle nos actions individuelles n'ont pas d'importance, ce qui peut avoir des conséquences dévastatrices pour la cybersécurité. Ce phénomène s'explique en partie par notre tendance à penser que si quelque chose est vrai^ment important, quelqu'un d'autre s'en occupera sûrement6.

Inversement, lorsque les employés pensent que leurs actions de mise en conformité en matière de sécurité ont un impact significatif et positif sur l'organisation, ils adoptent de meⁱlleures habitudes et font moins preuve de flânerie sociale.7

Afin de rappeler aux employés que leurs actions sont importantes, les normes sociales doivent être façonnées de manière à refléter cette réalité.

Les croyances normatives ont une influence significative sur le comportement des employés, de sorte que les attentes perçues des pairs, de la direction informatique et des supérieurs auront le plus ^d'impact sur les pratiques de cybersécurité7.

En montrant les mesures de cybersécurité prises par d'autres, que ce soit par le biais d'une lettre d'information mensuelle ou brièvement lors d'une réunion hebdomadaire, les comportements liés à la flânerie sociale seront probablement réduits, mais seulement si la majorité des gens le font :

• Adopter un "bon" comportement
• Le comportement majoritaire est connu
• Chaque individu peut faire une comparaison frappante entre son comportement et la norme2

Afin de créer les éléments susmentionnés qui permettent à une organisation de réduire la flânerie sociale parmi ses employés, les superviseurs devraient fournir un retour d'information personnalisé à leurs subordonnés sur leurs performances et sur la manière dont elles se comparent à celles des autres. Cela permettrait non seulement de créer des normes sociales à partir desquelles les personnes peuvent évaluer leurs progrès, mais aussi de faire en sorte que l^es employés se sentent soutenus et satisfaits - des facteurs clés lorsqu'il s'agit de promouvoir l'unité au sein d'une organisation.8

L'accoutumance : Nous nous habituons aux avertissements

Au cours du processus d'habituation, les personnes réagissent de moins en moins aux stimuli récurrents au ^fil du temps.9 Un exemple de ce phénomène est la réception de mises à jour sur votre téléphone : Si vous choisissez de ne recevoir que les dernières nouvelles, vous n'en recevrez qu'une ou deux par jour et serez plus enclin à réagir au stimulus. Si vous choisissez de recevoir plusieurs notifications par heure, vous serez moins enclin à en lire une seule, y compris les nouvelles de dernière minute

Nous avons tendance à nous fatiguer et à nous laisser submerger par une trop grande quantité d'informations. En matière de cybersécurité, l'accoutumance peut prendre la forme d'^un désengagement total des employés à l'égard des comportements sûrs.10

Si l'accoutumance est si fréquente, c'est en partie parce que.. :

• Par exemple, une personne peut recevoir des avertissements sur la nécessité de créer un mot de passe plus fort chaque fois qu'elle se connecte à son cour^rier électronique, mais comme ces avertissements sont faciles à ignorer et qu'ils se répètent souvent, l'utilisateur peut facilement s'habituer et négliger complètement de changer son mot de passe.
• Un langage complexe peut dissuader les utilisateurs de répondre à chaque stimulus parce qu'il leur faut trop de temps ou d'efforts pour essayer de comprend^re de quoi il s'agit.12
• Si les effets en aval de ses réponses ne sont pas variables et saillants, cela peut encore renforcer l'effet d'accoutumance.13

Solution d'accoutumance : Créer des avertissements uniques et clarifier les conséquences

Comment s'assurer que les employés ne s'habituent pas aux cyber-avertissements ? Une solution consiste à créer des avertissements distincts les uns des autres et à décrire en quoi la mise à jour peut aider l'utilisateur.2 Si possible, ces avertissements doivent être aussi peu fréquents que possible - axés uniquement sur les points les plus importants nécessitant un engagement - ^car une exposition continue peut ^épuiser l'énergie cognitive des employés14 ou conduire au stress et à la fatigue.15

Une autre solution consiste à énoncer clairement les conséquences de l'ignorance des avertissements. Par exemple, à la réception d'un courriel de hameçonnage potentiel, les internautes devraient lire une description détaillée de ce que représente une attaque de hameçonnage avant de continuer. De même, ils pourraient regarder une brève vidéo de personnes ayant subi une attaque de phishing, puis se voir demander s'ⁱls souhaitent toujours ouvrir l'e-mail suspect.2

Biais de statu quo : nous hésitons à changer

Le biais du statu quo se produit lorsque nous surestimons la valeur positive de notre situation actuelle, ce qui réduit notre motivation à la changer.2 Il nous pousse à nous en tenir au statu quo, même lorsque nous ne devrions vraiment pas le faire - par exemple, conserver un mot de passe vieux de deux ans ou ne pas mettre à jour un logic^iel informatique. Ce comportement est dû à l'un des trois facteurs suivants:16

1. La prise de décision rationnelle face à l'incertitude
2. Perceptions cognitives erronées
3. Engagements psychologiques

1. Prise de décision rationnelle
   Il est surprenant de constater qu'une décision rationnelle pourrait consister à remettre à plus tard la mise à jour de votre logiciel informatique. Les changements tels que la mise à jour d'un logiciel sont, à court terme - et dans presque toutes les interactions les plus marquantes de l'utilisateur - généralement soit neutres (c'est-à-dire qu'on a l'impression que rien n'a changé), soit négatifs (c'est-à-dire qu'il est plus difficile de s'engager avec le logiciel et que cela engendre une plus grande frustration chez les utilisateurs).
   Étant donné qu'ils savent déjà comment utiliser leur logiciel actuel, le risque de le changer peut être trop élevé. L'utilisateur pensera probablement que si la mise à jour est facile à ignorer et n'a pas de valeur immédiate, voire une valeur négative, elle n'en vaut pas la peine. Cela l'amènera à supposer que le statu quo est la meilleure option disponible - et à ne pas mettre à jour son logiciel.
2. Perceptions cognitives erronées
   Selon une logique similaire à celle de l'aversion aux pertes, les gens ressentent les pertes liées à l'abandon du statu quo de manière plus marquée que les avantages de ce changement. Même en l'absence d'effets de cadrage ^des pertes ou des gains, le biais du statu quo persiste16.
   Les perceptions cognitives erronées qui conduisent au biais du statu quo se produisent dans les processus de prise de décision qui exigent que les gens se renseignent sur leurs options dans un ordre séquentiel. Parce qu'ils ont investi du temps dans les premières options, ils sont plus susceptibles de choisir l'une d'entre elles plutôt que de passer trop de temps à s'informer sur toutes les options. Par exemple, si vous commencez un nouvel emploi et que vous essayez de choisir une police d'assurance maladie, il est probable que vous choisirez l'une d'entre elles plutôt que de passer trop de temps à vous renseigner sur toutes les options. Étant donné qu'il faut beaucoup de temps pour peser le pour et le contre de chaque police, il n'est pas raisonnable de s'attendre à ce que vous disposiez de suffisamment de temps pour étudier minutieusement chaque option. Par conséquent, la solution la plus rationnelle consiste à examiner un sous-ensemble d'options et à ignorer complètement les autres. Dans ce scénario, l'option du statu quo présente un avantage concurrentiel en raison de sa place dans votre processus décisionnel.
3. Engagements psychologiques
   Le troisième et dernier point qui peut conduire au biais du statu quo est l'engagement psychologique à l'égard de quelque chose afin de "réduire nos pertes" (également connu sous le nom d'erreur des coûts irrécupérables). Plus une personne a passé de temps à étudier l'option du statu quo, plus elle est susceptible de poursuivre cet engagement à l'avenir, même si de meilleures alternatives se présentent.

Solution de partialité du statu quo : Communication et facilité d'utilisation

La première stratégie à mettre en œuvre consiste à modifier les paramètres par défaut dans la mesure du possible afin de les rendre plus sûrs. Par exemple, lors de l'arrivée de nouveaux employés, configurez-les automatiquement avec une authentification à deux facteurs, des mots de passe complexes et un gestionnaire de mots de passe sécurisé. En outre, modifiez leurs paramètres pour que les mots de passe expirent automatiquement au bout de quelques mois. Forcer l'expiration des mots de passe nécessiterait beaucoup moins d'efforts que de laisser les mots de passe vieillir et d'essayer d'encourager les employés à les changer.

Une deuxième méthode consiste à créer un petit quiz d'amélioration des compétences pour une utilisation répétée. Le quiz pourrait consister à recevoir des courriels suspects et à devoir déchiffrer s'il s'agit ou non de phishing ou de spam. En fonction de leurs résultats, ils recevraient des informations sur la manière de s'améliorer la prochaine fois qu'ils seront confrontés à des courriels inattendus. Cette stratégie répondrait à la fois aux engagements psychologiques et aux perceptions cognitives erronées du biais du statu quo en montrant qu'un comportement habituel peut entraîner des pertes et qu'il vaut la peine de l'adapter pour une meilleure protection.

Enfin, si une organisation n'est pas en mesure de modifier les paramètres par défaut ou de mettre en œuvre une prestation de valeur dans le processus de friction, elle peut recourir à des effets de cadrage. En raison de la relation e^ntre ce biais et l'aversion pour les pertes, lorsque nous présentons l'option par défaut comme une perte, nous encourageons les employés à modifier leurs paramètres initiaux, renforçant ainsi les pratiques de cyb^ersécurité17.

Pour savoir comment faire en sorte que vos employés permanents adoptent des comportements cybersécuritaires, il faut comprendre les trois principaux préjugés et tendances qui contribuent aux pratiques dangereuses : la flânerie sociale, l'accoutumance et le préjugé du statu quo. La plupart des membres de votre organisation n'adoptent pas un comportement dangereux en ligne pour être malveillants ; ils agissent plutôt selon les mêmes raccourcis mentaux que nous connaissons tous à un moment ou à un autre, même si c'est dans des contextes différents. En adoptant une approche psychologique et empathique, vous pouvez faire en sorte non seulement que votre entreprise soit moins exposée à une cyberattaque, mais aussi que vos employés se sentent plus en sécurité et plus importants dans leur rôle.

Le Decision Lab est un cabinet de conseil en comportement qui utilise la science pour faire avancer le bien social. Nous travaillons avec certaines des plus grandes organisations au monde pour susciter le changement et résoudre des problèmes sociétaux difficiles. La prise de décision fondée sur les données est essentielle pour éliminer les préjugés sur le lieu de travail et optimiser les talents dont disposent déjà les organisations. Si vous souhaitez vous attaquer ensemble à ce problème sur votre lieu de travail, contactez-nous.