Objectif 4 — Prise en compte de la sécurité numérique dans la gestion des ressources humaines

Notre lecture de cet objectif

Autrement dit : que se passe-t-il quand quelqu'un arrive, change de poste, ou s'en va ?

Ce que le texte exige

« Les entités importantes ou essentielles définissent les procédures visant à sensibiliser leurs utilisateurs, en particulier les dirigeants de l'entité [...] Ces entités intègrent la sécurité numérique dans la gestion de leurs ressources humaines dès l'arrivée d'un nouveau personnel jusqu'à son départ. »

Ce que ça veut dire chez vous

C'est l'objectif le plus proche du quotidien, et celui qui illustre le mieux pourquoi la conformité ne se traite pas par un questionnaire.

Personne ne se lève le matin en se demandant s'il respecte l'objectif 4. En revanche, tout le monde sait qu'Untel part vendredi. La question n'est pas « avez-vous une procédure de départ », elle est « qui coupe ses accès, et sous combien de temps ».

Le texte insiste sur un détail à contre-courant : la sensibilisation vise les utilisateurs en particulier les dirigeants. C'est dans le référentiel. La direction n'est pas exemptée de la formation qu'elle finance, et c'est souvent là que le niveau est le plus bas, avec les droits les plus étendus.

Sur les départs, l'écart entre ce que les entreprises croient faire et ce qu'elles font est généralement énorme. La procédure existe, elle est appliquée pour la carte de cantine et le badge, et les comptes restent ouverts des mois. Le compte d'un ancien salarié est l'un des vecteurs d'intrusion les plus banals qui soient, parce qu'il est légitime, qu'il n'alerte personne, et que plus personne ne le surveille.

Ce qui est attendu de vous

Cinq mesures, dont quatre attendues d'une entité importante. La cinquième, la formation des personnes occupant des fonctions à responsabilité dans le numérique, ne vise que les entités essentielles.

Les gestes qui couvrent cet objectif

G-ARR : un salarié arrive. Comptes créés au juste besoin, charte signée, sensibilisation faite, matériel inventorié. G-DEP : un salarié quitte l'entreprise. Comptes désactivés sous un délai que vous fixez, accès distants révoqués, matériel restitué, secrets partagés renouvelés. G-MOB : un salarié change de poste. Le geste le plus oublié des trois : on ajoute les nouveaux droits, on ne retire jamais les anciens. R-SENSIB : sensibiliser les équipes. Rituel annuel, direction comprise. E-CHARTE : une charte informatique opposable existe et est signée.

Ce qui se passe si vous ne le faites pas

Selon l'annexe, sans cette responsabilisation les utilisateurs adoptent des comportements dangereux, avec l'exemple cité par l'ANSSI elle-même : la connexion d'un support amovible infecté sur un système de l'entité. Ce n'est pas de la malveillance, c'est de l'ignorance, et elle se corrige à un coût très faible.