Les quatre piliers du Human Risk Intelligence : Target Value, Awareness, Hygiene et Access

Demandez à la plupart des équipes sécurité de désigner leur utilisateur le plus à risque : elles citeront sans doute celui qui échoue le plus souvent aux tests de phishing.

C'est logique en apparence. Mais cela ne raconte qu'une partie de l'histoire.

Un taux de clic élevé vous renseigne sur une personne, à un instant donné. Il ne dit rien de la valeur de cette identité aux yeux d'un attaquant, du fait que ses identifiants soient déjà exposés, ni de ce qu'un attaquant pourrait atteindre s'il obtenait cet accès.

Le risque humain n'est pas un signal unique. Il résulte de plusieurs conditions qui ne prennent sens qu'une fois lues ensemble.

C'est tout l'enjeu du Human Risk Intelligence (HRI).

La sensibilisation à la sécurité et le Human Risk Management fournissent des signaux essentiels : qui s'est formé, qui a cliqué, qui a signalé, où des identifiants sont exposés et où les contrôles sont faibles. Le HRI y ajoute le contexte nécessaire pour comprendre comment ces signaux s'articulent et où concentrer vos efforts.

Chez usecure, nous structurons ce contexte autour de quatre piliers : Target Value (valeur de la cible), Awareness (sensibilisation), Hygiene (hygiène de l'identité) et Access (accès).

Pourquoi un seul signal ne suffit jamais

Pris isolément, chaque signal de risque humain comporte un angle mort.

Les résultats de phishing indiquent comment une personne a réagi à une simulation donnée. Le taux de complétion vous dit qu'une formation a été suivie. L'exposition d'identifiants signale que des données d'identité sont apparues dans une fuite.

Chacun de ces éléments est utile. Aucun ne donne à lui seul une vision complète du risque.

Un identifiant exposé n'a pas du tout la même portée selon qu'il appartient à un compte protégé par des contrôles solides ou à un utilisateur à privilèges dépourvu de MFA.

De la même manière, un échec à un test de phishing n'a pas la même signification selon l'identité concernée et ce à quoi cette personne a accès.

Les quatre piliers permettent précisément de replacer ces signaux dans leur contexte.

Chacun répond à une question différente :

Quelle est la valeur de cette identité pour un attaquant ? Quelle est la probabilité que la personne réagisse correctement face à une menace ? Dans quelle mesure l'identité elle-même est-elle sécurisée ? Et que pourrait atteindre un attaquant en cas de compromission ?

1. Target Value : pourquoi un attaquant ciblerait-il cette personne ?

Certaines identités sont naturellement plus attractives pour les attaquants.

Un valideur financier, un dirigeant, un administrateur IT ou un cadre très exposé publiquement peut représenter une cible de plus grande valeur en raison de son autorité, de sa visibilité, de son influence ou de sa capacité à approuver des actions sensibles.

Le pilier Target Value pose la question suivante :

Pourquoi un attaquant choisirait-il cette identité ?

Mais Target Value n'équivaut pas au risque global.

Un dirigeant très exposé peut être extrêmement attractif pour un attaquant tout en restant difficile à compromettre, parce que des contrôles solides sont en place.

Target Value indique le degré d'attractivité d'une identité. Ce critère ne détermine pas à lui seul la priorité.

2. Awareness : quelle est la probabilité que la personne reconnaisse une menace et réagisse correctement ?

L'Awareness est la dimension que la plupart des programmes de sécurité maîtrisent déjà.

Elle couvre des signaux tels que le comportement face au phishing, les habitudes de signalement, les formations suivies, le niveau de connaissances et l'évolution de ces comportements dans le temps.

Ces signaux sont importants.

L'erreur consiste à les considérer comme la totalité du risque humain.

Un utilisateur qui échoue de temps en temps à une simulation de phishing ne représente pas automatiquement l'exposition la plus critique. La vraie question est la suivante :

Que se passe-t-il si cette personne réagit de manière dangereuse, compte tenu de tout ce que l'on sait par ailleurs à son sujet ?

L'Awareness est indispensable. Mais elle n'est qu'une pièce d'un tableau de risque plus large.

3. Hygiene : à quel point son identité est-elle facile à compromettre ?

L'Awareness renseigne sur les comportements.

L'Hygiene, c'est-à-dire l'hygiène de sécurité, renseigne quant à elle sur l'état de l'identité elle-même.

Elle regroupe des signaux tels que les identifiants exposés, les faiblesses liées aux mots de passe, l'absence de MFA ou encore les comptes dormants et oubliés.

Cette distinction compte, car un collaborateur peut obtenir d'excellents résultats en formation à la sécurité alors que son identité reste exposée ailleurs.

Un attaquant n'a pas nécessairement besoin de tromper quelqu'un s'il dispose déjà des identifiants nécessaires pour tenter un accès.

L'Hygiene intègre cette exposition permanente à la vision du risque humain.

4. Access : que pourrait-il se passer en cas de compromission ?

L'Access, c'est-à-dire le niveau d'accès, renseigne sur les conséquences potentielles.

Il englobe les privilèges, les systèmes, les applications et les informations sensibles associés à une identité.

Autrement dit :

Jusqu'où un attaquant pourrait-il aller s'il parvenait à entrer ?

Deux utilisateurs peuvent se comporter exactement de la même façon lors d'une simulation de phishing tout en représentant des niveaux de risque très différents.

L'un peut n'avoir que des permissions limitées. L'autre peut disposer d'un accès administrateur ou d'un pouvoir de décision sur des systèmes et des processus sensibles.

L'Access modifie la portée de tous les autres signaux, car il détermine l'impact potentiel d'une compromission.

Votre utilisateur le plus vulnérable n'est pas forcément le plus risqué

Mis bout à bout, les quatre piliers font voler en éclats une idée reçue bien ancrée.

Le collaborateur qui clique le plus n'est pas automatiquement la plus grande source d'exposition.

Prenons deux utilisateurs.

Le premier échoue régulièrement aux simulations de phishing, mais bénéficie de contrôles d'identité solides et d'un accès limité.

Le second réussit presque toujours ses formations, mais ses identifiants sont exposés, il n'a pas de MFA et il accède à un système sensible.

En vous limitant à l'Awareness, vous désigneriez le premier utilisateur.

En élargissant le contexte, le constat peut être radicalement différent.

C'est précisément pourquoi la Human Risk Intelligence ne peut pas reposer sur des signaux isolés.

La valeur réelle vient de la compréhension des points où plusieurs conditions se recoupent autour d'une même identité.

Comment les quatre piliers fonctionnent ensemble

Pris isolément, les piliers décrivent différentes facettes du risque humain.

Ensemble, ils montrent comment ce risque se construit.

Une Target Value élevée associée à un niveau d'Awareness insuffisant peut rendre une identité attractive bien plus facile à atteindre.

Une Hygiene défaillante combinée à un niveau d'Access élevé peut signifier qu'une identité est à la fois plus simple à compromettre et capable de générer un impact bien plus important.

Et lorsque plusieurs conditions convergent autour d'une même personne, des signaux individuellement modérés en apparence peuvent créer une exposition nettement plus sérieuse.

C'est là que les quatre piliers ouvrent la voie au niveau suivant de la Human Risk Intelligence : les combinaisons toxiques.

Les Toxic Combinations révèlent les points où les signaux issus de Target Value, Awareness, Hygiene et Access se recoupent autour d'une même identité et font apparaître un schéma de risque bien plus parlant que chaque signal pris isolément.

À partir de là, ces combinaisons permettent de mettre en évidence des chemins d'attaque humains potentiels et aident les équipes sécurité à savoir où concentrer en priorité leurs investigations et leurs actions de remédiation.

‍

Des données de risque humain à la Human Risk Intelligence

Rien de tout cela ne remplace la sensibilisation à la sécurité ni le Human Risk Management.

Ils restent le socle : ce sont eux qui génèrent les signaux comportementaux, d'identité et de sécurité nécessaires pour comprendre le risque humain.

La Human Risk Intelligence y ajoute la couche contextuelle.

Elle relie ces signaux autour de chaque identité, explique pourquoi ils comptent ensemble et donne aux équipes sécurité une base plus claire pour décider où concentrer leurs efforts.

C'est cette évolution que usecure impulse avec uHealth.

uHealth rassemble les signaux de Target Value, Awareness, Hygiene et Access dans une vue unique, les relie aux identités concernées et fait remonter les combinaisons de risques qui méritent une attention particulière.

Les équipes IT et sécurité décident ensuite de l'action à mener : investiguer une identité, renforcer des contrôles, réinitialiser des identifiants, ajuster des droits d'accès ou combler un manque d'Awareness.

L'intelligence indique où porter l'attention. L'équipe sécurité décide comment réagir.

Obtenez une vision complète du risque humain

Si votre vision du risque humain s'arrête aux taux de complétion des formations et aux scores de phishing, vous n'en voyez qu'une partie.

Target Value, Awareness, Hygiene et Access apportent le contexte nécessaire pour comprendre pourquoi une identité mérite plus d'attention qu'une autre et où des signaux de risque distincts commencent à se combiner.

Découvrez comment usecure réunit les quatre piliers au sein de uHealth.