Le risque de menaces internes a pris de l’importance dans les priorités de sécurité des entreprises, devenant une des principales préoccupations aussi bien pour les CISO que, de manière croissante, pour la haute direction. Ce changement est positif, puisque le soutien des cadres dirigeants permet de concevoir et de mettre en œuvre des plans de gestion des risques internes adaptés aux besoins spécifiques de protection de l’organisation.

Les incidents de ce type ne sont pas improbables. Par exemple, un employé qui est recruté par la concurrence pourrait télécharger des informations stratégiques sensibles avant de quitter l’entreprise. Ce type d’actions pourrait compromettre les listes de clients ou de fournisseurs, des données confidentielles ou même la propriété intellectuelle, mettant en péril la compétitivité et l’intégrité de l’organisation.

Selon Proofpoint, en 2024, 46% des responsables de la sécurité ont déclaré avoir dû faire face à une perte de données confidentielles au cours des 12 derniers mois ; et parmi eux, 70% ont reconnu que le départ d’employés de l’organisation a contribué à cette perte. Malgré cela, 82% des CISO croient avoir des contrôles adéquats pour protéger leurs données.

Une gestion efficace des risques internes suppose de passer à une approche proactive, avec laquelle on peut prévenir les incidents au lieu de réagir après coup ; d’avoir une vision plus claire des utilisateurs et des données à risque pour s’assurer que les contrôles de sécurité existants sont bien en place pour les protéger ; et d’améliorer les temps de réaction avec des procédures définies.

Mettre en place un nouveau programme de gestion des risques internes, ou améliorer un programme déjà existant, nécessite une approche stratégique, préventive et intégrée dans la vision d’entreprise de la gestion des risques internes, non seulement pour pouvoir répondre de manière appropriée à toute menace, plus ou moins explicite, mais aussi pour contribuer à ce que l’entreprise soit plus efficace et productive, réduisant toute interruption potentielle.

L’équipe de recherche de menaces de Proofpoint établit ces cinq recommandations pour définir un plan efficace :

• Former une équipe interfonctionnelle avec en plus la nomination d’un responsable exécutif et d’un comité de direction. La gestion du risque d’information privilégiée doit être considérée comme une responsabilité de toute l’entreprise, y compris les départements juridique, des ressources humaines, de conformité réglementaire, responsables, exécutifs et même le conseil d’administration. Tous doivent travailler ensemble pour atteindre l’objectif commun de réduire le risque organisationnel, et il est crucial de compter sur le soutien exécutif interne qui promeut le programme et aide à surmonter les blocages.
• Définir des objectifs pour voir ce qui rend l’organisation vulnérable et éviter qu’un risque interne devienne une menace réelle. Cela passe par l’identification des personnes internes en situation de risques et des données sensibles. Tant que ces aspects ne seront pas clairs, on ne pourra pas les protéger. Il faut aussi garantir le respect des exigences de conformité, tout en trouvant l’équilibre entre les besoins commerciaux, les contrôles de sécurité et la productivité des utilisateurs.
• Comprendre d’où l’organisation part avant de planifier tout programme contre le risque d’information privilégiée. Évaluer les capacités actuelles de détection, de réponse, d’analyse et de prévention ; les investissements existants et le niveau d’efficacité du programme contre le risque d’information privilégiée.
• Passer à l’action avec un processus de sécurité opérationnelle qui permet aux analystes de réagir, d’effectuer une évaluation réelle du risque et, ensuite, d’escalader, suivant des canaux prédéfinis. Des lignes directrices opérationnelles clairement définies peuvent aider à orienter les enquêtes et les actions d’atténuation. Il est également essentiel de définir le processus d’escalade en collaboration avec les ressources humaines, les départements juridiques, de conformité, le leadership exécutif et l’entreprise elle-même ; et que la base d’utilisateurs pertinente accepte la surveillance des comportements à risque.
• Répéter périodiquement les processus du programme de risques internes et le faire évoluer selon les besoins de l’organisation : développer des objectifs intentionnellement et non de manière réactive, identifier les métriques basées sur les étapes convenues et sur la croissance du programme, collaborer avec les parties prenantes pour respecter et élargir le programme, ainsi que automatiser la prévention et la correction pour que les analystes gagnent en efficacité et économisent du temps.