Si vous dirigez l’informatique, la conformité ou les services managés, vous avez probablement commencé à voir le terme Human Risk Intelligence (HRI) revenir de plus en plus souvent.

Au premier abord, cela peut ressembler à un nouveau buzzword du secteur. Après tout, la plupart des organisations mènent déjà des actions de sensibilisation à la sécurité, des simulations de phishing, de la gestion des politiques et du reporting sur le risque humain. C’est le Human Risk Management (HRM), et il conserve un rôle important.

Mais le HRI n’est pas qu’une nouvelle étiquette posée sur le HRM.

C’est l’étape suivante.

La différence est simple : le HRM vous aide à piloter vos programmes de risque humain. Le HRI vous aide à comprendre où se concentre le cyber-risque humain, ce qu’il faut traiter en priorité et comment prouver que le risque diminue réellement.

Cette évolution compte aujourd’hui parce que les comités de direction posent des questions plus exigeantes, que les attaquants gagnent en sophistication et que les équipes sécurité ne peuvent plus se permettre de consacrer du temps à des actions qui font bonne figure dans un rapport sans réduire clairement le risque.

Ce que le HRM réussit

Le HRM a posé les bases de la gestion du facteur humain dans le cyber-risque.

Il a apporté de la structure aux organisations. Il a aidé les équipes à automatiser la formation, à mener des tests de phishing, à suivre l’adhésion aux politiques et à rendre compte des progrès. Pour de nombreux responsables IT et prestataires de services, ce fut une avancée majeure par rapport à des efforts de sensibilisation menés au coup par coup.

Le HRM a de la valeur parce qu’il aide à répondre à des questions importantes :

• Les collaborateurs terminent-ils bien leurs formations ?
• Les taux de clic sur les phishings s’améliorent-ils ?
• Les politiques sont-elles bien acceptées ?
• Pouvons-nous fournir des preuves pour les audits et les revues de conformité ?

Ces questions restent pertinentes.

Le problème, c’est qu’elles ne suffisent plus à elles seules.

Là où le HRM montre ses limites

Le HRM traditionnel reste souvent centré sur l’activité du programme.

Il vous dit ce qui s’est passé dans le programme, mais pas toujours où se situe l’exposition réelle.

Par exemple, savoir qu’une campagne de phishing a affiché un taux d’échec de 6 % est utile. Mais cela ne vous dit pas si les utilisateurs les plus à risque sont concentrés dans la finance, s’ils présentent aussi une hygiène d’identité faible, s’ils disposent d’accès à privilèges, ou si accompagner un petit groupe permettrait de réduire significativement l’exposition globale.

C’est là que réside l’écart.

Le HRM mesure souvent la participation, la couverture et les résultats des campagnes. Le HRI est conçu pour mesurer l’exposition, le contexte et l’amélioration.

Concrètement, le HRM vous dit qu’une activité a eu lieu. Le HRI vous aide à décider de ce qui compte le plus.

Ce qu’est réellement le HRI

Le Human Risk Intelligence est la pratique consistant à transformer les signaux de risque humain en informations exploitables.

Plutôt que d’examiner les données de sensibilisation de manière isolée, le HRI rassemble un ensemble plus large de signaux, tels que le comportement, l’hygiène de sécurité, les accès et le contexte des utilisateurs, afin d’obtenir une image plus claire du risque.

Cela revient à aider les dirigeants à répondre à des questions telles que :

• Quels utilisateurs ou groupes sont les plus susceptibles d’être ciblés ?
• Quelles identités sont les plus faciles à compromettre ?
• Quels comptes causeraient le plus de dégâts en cas d’usage malveillant ?
• Quels facteurs de risque devons-nous traiter en priorité ?
• Pouvons-nous démontrer que l’exposition diminue réellement ?

C’est un modèle de fonctionnement différent.

Le HRM est souvent piloté par le programme et périodique. Le HRI est continu, contextuel et piloté par le risque.

HRM vs HRI : la différence concrète

La façon la plus simple de l’envisager est la suivante :

• Le HRM consiste à bien faire tourner le programme.
• Le HRI consiste à exploiter ce programme, ainsi que d’autres signaux, pour prendre de meilleures décisions face au risque.

Le HRM se concentre sur l’exécution : formation, phishing, politiques, reporting et couverture.

Le HRI se concentre sur l’intelligence : priorisation, explicabilité, remédiation, preuves et réduction mesurable du risque.

Cela ne rend pas le HRM obsolète. Cela en fait un socle.

De fait, les stratégies HRI les plus solides reposent sur des fondations HRM solides. Si vous ne menez pas déjà efficacement vos actions de sensibilisation, vos simulations et vos workflows de politiques, il devient bien plus difficile d’en tirer une intelligence utile.

Le HRI n’est pas un rejet du HRM. C’est ce qui se produit lorsque les organisations en attendent davantage.

Ce que le HRI n’est pas

C’est généralement là que naît la confusion, alors autant être direct.

• Le HRI n’est pas de la sensibilisation rebaptisée avec un nom plus séduisant : La formation compte toujours. Les simulations de phishing comptent toujours. L’adhésion aux politiques compte toujours. Mais, prises isolément, elles ne donnent pas une image complète du risque humain.‍
• Le HRI n’est pas un score « boîte noire » que personne ne peut expliquer : Si un dirigeant demande pourquoi un utilisateur, un groupe ou un client est considéré comme à haut risque, la réponse doit être claire. Un HRI efficace rend les facteurs de risque visibles. Il ne les dissimule pas derrière un score flou.‍
• Le HRI n’est pas de la surveillance des employés : L’objectif n’est pas de surveiller les personnes pour le principe. L’objectif est d’identifier une exposition de sécurité significative et de la réduire de manière responsable.‍
• Le HRI n’est pas un projet de remplacement complet : Pour la plupart des organisations et des prestataires de services, il s’agit d’une évolution. Vous partez des contrôles et des données dont vous disposez déjà, puis vous reliez les signaux, améliorez la priorisation et constituez des preuves plus solides d’amélioration.

Pourquoi le HRI compte aujourd’hui

Cette évolution n’a rien d’un hasard.

Risque humain et risque identitaire ont fusionné

Le risque humain et le risque identitaire sont désormais bien plus proches qu’auparavant. Verizon indique que les identifiants compromis ont constitué le vecteur d’accès initial dans 22 % des violations, tandis que Microsoft a constaté que 28 % débutaient par du phishing ou de l’ingénierie sociale. Le message est clair : les actions humaines et l’exposition des identités sont désormais étroitement liées.

L’IA rend l’ingénierie sociale plus intelligente et plus rapide

L’IA rend l’ingénierie sociale plus convaincante et bien plus facile à industrialiser. Microsoft indique que les acteurs malveillants utilisent l’IA pour accélérer leurs opérations et concevoir des leurres plus ciblés, accentuant la pression sur les équipes sécurité pour dépasser les approches de sensibilisation uniformes.

Les parties prenantes veulent des preuves, pas seulement de l’activité

La cybersécurité est désormais une priorité au niveau du conseil d’administration. Deloitte a constaté que 93 % des comités d’audit la classent parmi leurs trois principales préoccupations, ce qui explique pourquoi les comités de direction attendent plus que des indicateurs d’activité. Ils veulent la preuve que le risque est réduit de façon mesurable.

Les équipes ne peuvent pas traiter tous les risques de la même manière

Les équipes sécurité sont sous tension, et cela change la donne. ISC2 a constaté que 33 % des organisations manquent de ressources pour doter leurs équipes correctement, ce qui rend d’autant plus important de concentrer le temps et les efforts là où ils réduiront le plus le risque.

Pourquoi cela compte pour les responsables IT, les responsables conformité et les MSP

Pour les responsables IT, le HRI aide à concentrer un temps et un budget limités là où ils réduiront le plus l’exposition.

Pour les responsables conformité et gouvernance, il établit un lien plus clair entre les contrôles, l’action et des preuves d’amélioration défendables.

Pour les MSP et les prestataires de services IT, il ouvre une conversation plus stratégique avec les clients. Au lieu de ne rendre compte que de l’activité, vous pouvez montrer où le risque se concentre, ce qui a été fait pour y remédier et ce qui a changé en conséquence. Cela donne un récit de QBR plus convaincant et une offre de services plus solide sur le long terme.

En résumé

Le HRM a fait avancer le marché. Il a aidé les organisations à opérationnaliser le facteur humain dans le cyber-risque.

Mais l’environnement a changé.

Aujourd’hui, les dirigeants ont besoin de plus que d’activité de sensibilisation et de reporting périodique. Ils ont besoin de contexte. Ils ont besoin de priorisation. Ils ont besoin de preuves.

C’est là qu’intervient le HRI.

Le HRM vous aide à piloter le programme. Le HRI vous aide à comprendre le risque.

Et aujourd’hui, cette différence compte.

Comment se lancer dans le HRI

La bonne nouvelle, c’est que se lancer dans le HRI ne signifie pas reconstruire tout votre programme de zéro.

Pour la plupart des organisations, le HRI commence par une meilleure exploitation des données, des contrôles et des workflows dont elles disposent déjà. L’objectif n’est pas de remplacer le HRM. C’est de s’appuyer dessus.

Commencez par les signaux dont vous disposez déjà

La plupart des organisations possèdent déjà des données utiles sur le risque humain. L’engagement dans la formation, les résultats de phishing, l’acceptation des politiques, l’hygiène d’identité, l’adoption de la MFA et les niveaux d’accès peuvent tous contribuer à dresser une image plus claire du risque. La première étape consiste à rassembler ces signaux plutôt que de les examiner isolément.

Concentrez-vous sur les risques les plus importants

Le HRI fonctionne mieux lorsqu’il commence par la priorisation. Plutôt que de chercher à tout mesurer en même temps, concentrez-vous sur les domaines susceptibles de générer le plus d’exposition. Cela peut concerner les utilisateurs à privilèges, les collaborateurs de la finance, les utilisateurs présentant une hygiène d’identité faible ou les groupes qui adoptent de façon répétée des comportements à risque.

Reliez l’activité à l’exposition réelle

Une bonne approche du HRI va au-delà du simple fait de savoir si une personne a terminé une formation ou cliqué sur un e-mail de phishing. Elle se demande ce que ces signaux signifient en contexte. Cet utilisateur est-il facile à compromettre ? A-t-il accès à des systèmes sensibles ? Le fait d’accompagner ce groupe réduirait-il un risque significatif ? C’est là que l’intelligence commence à devenir utile.

Mesurez l’amélioration, pas seulement la participation

L’objectif n’est pas seulement de montrer qu’une activité a eu lieu. C’est de montrer que le risque diminue. Cela suppose de suivre si les bons utilisateurs progressent, si les expositions clés sont réduites et si les interventions ont un impact mesurable dans le temps.

Développez à partir de là

Vous n’avez pas besoin d’un modèle parfait dès le premier jour. Les programmes HRI les plus efficaces commencent généralement à petite échelle, démontrent rapidement leur valeur et s’améliorent au fil du temps. L’essentiel est de passer d’un reporting d’activité large à une prise de décision plus claire et davantage pilotée par le risque.