RH et cybersécurité: maillon faible ou première ligne de défense?

Phishing, vol de mots de passe, logiciels malveillants ou encore usurpation d’identité, les cyberattaques peuvent prendre des formes très diverses. Les systèmes d’information des organisations regorgent en effet d’informations sensibles, que ce soit concernant les clients, mais également les employé·es: coordonnées personnelles, données salariales et bancaires, évaluations, etc. Ces données représentent une cible particulièrement attractive pour des attaques et leur compromission peut avoir des conséquences pour l’organisation ainsi que pour les personnes concernées.

Si les cyberattaques exploitent des failles purement techniques, nombre d’entre elles reposent sur des comportements humains. Un lien malveillant ouvert, un mot de passe corrompu réutilisé, un document confidentiel envoyé au mauvais destinataire peuvent suffire à ouvrir une brèche. Le cliché que l’on entend régulièrement est qu’en matière d’informatique (et de cybersécurité) le principal problème se situe «entre la chaise et l’écran». Plutôt que de culpabiliser les collaboratrices et les collaborateurs, cette maxime est à prendre comme un rappel que la cybersécurité n’est pas uniquement une affaire de spécialistes IT mais qu’elle touche directement à la manière dont les individus travaillent, communiquent et utilisent les outils numériques.

À ce titre, la cybersécurité constitue une problématique RH fondamentale double: il s’agit d’une part d’assurer la sécurité des données des collaboratrices et collaborateurs, et d’autre part ces derniers ne constituent pas un problème de cybersécurité, mais plutôt un atout dans la cyberdéfense.

Assurer la sécurité des données

La première responsabilité consiste à protéger les données des collaboratrices et collaborateurs. Au-delà des aspects de conformité réglementaire, la question plus profonde porte sur les bonnes pratiques et habitudes en matière de gestion des données: quelles informations collecter lors d’un recrutement? Qui doit pouvoir accéder aux dossiers du personnel? Cet équilibre devient encore plus délicat avec la digitalisation de la fonction RH. Les outils multiplient les possibilités de collecte et de traitement des informations, mais augmentent inévitablement la nécessité de processus précis sur le maintien et la révocation des accès ainsi que sur la mise à jour et la suppression des données. Au-delà des aspects de confidentialité, cette responsabilité est primordiale pour la confiance des collaboratrices et collaborateurs envers la fonction RH: une fuite de données peut mettre à mal la légitimité de la fonction RH elle-même.

Former à la cybersécurité

La seconde responsabilité de la fonction RH porte sur le développement des compétences de cybersécurité chez les collaborateurs·trices. Dans de nombreuses organisations, les formations à la cybersécurité sont perçues sous l’angle de la conformité: il faut pouvoir démontrer qu’elles ont été suivies, que les règles ont été communiquées et que l’organisation a rempli ses obligations. Bien que nécessaire, cette perspective comporte le risque de réduire la cybersécurité à quelque chose de cérémonial, où l’objectif principal devient de cocher une case plutôt que de modifier réellement les pratiques. L’enjeu est donc de développer des pratiques adaptées aux situations réelles de travail grâce à des formations concrètes, des rappels réguliers et des mises en situation. Il s’agit toutefois de responsabiliser sans culpabiliser: les contraintes de temps, la multiplication des outils ou des procédures inadaptées peuvent favoriser les erreurs. En outre, il est primordial de garder à l’esprit le caractère évolutif des compétences de cybersécurité: les comportements consi-dérés hier comme des bonnes pratiques peuvent devenir insuffisants aujourd’hui. L’intelligence artificielle générative facilite notamment la création de cyberattaques plus crédibles, plus personnalisées et plus difficiles à identifier. L’enjeu est donc de ne pas se reposer sur ses lauriers, aussi bien du côté des collaborateurs·trices que de l’organisation. Il s’agit de réévaluer régulièrement les comportements et pratiques et s’assurer que ceux-ci restent adaptés aux menaces.