Le facteur humain dans la sécurité : les chiffres qui comptent

68 % des violations impliquent un facteur humain. Les données du rapport DBIR de Verizon et de Mimecast sur le risque humain, et ce qu’elles signifient pour les organisations.

· 5 min

Quand on parle de sécurité, l'attention se porte presque toujours sur la technologie : pare-feu, systèmes, logiciels. Mais les chiffres révèlent une réalité différente. La plupart des incidents ne sont pas dus à une faille technique, mais à un comportement humain.

Les chiffres clés

  • 68 % dans les violations, un facteur humain est en cause (Verizon DBIR 2024)
  • < 60 s le temps médian avant de se faire piéger par un e-mail de phishing (Verizon DBIR 2024)
  • 8 % / 80 % 8 % des personnes sont à l'origine de 80 % des incidents (Mimecast)

Le chiffre le plus souvent cité provient du "Verizon Data Breach Investigations Report", l'étude la plus fiable du secteur : plus des deux tiers des violations de données impliquent un facteur humain. Il ne s'agit pas d'une attaque sophistiquée et imparable, mais d'un clic, d'un mot de passe ou d'une mauvaise configuration.

La vitesse du risque

Une autre donnée est plus éloquente que n'importe quel discours : le temps médian nécessaire à une personne pour se faire piéger par un e-mail de phishing est inférieur à une minute. On n'a pas le temps de réfléchir, de consulter une politique, de se souvenir d'une formation suivie il y a plusieurs mois. La décision se prend en quelques secondes, par instinct. Et c'est là que réside le risque.

Si la décision risquée doit être prise en moins d'une minute, la défense ne peut pas se résumer à une formation annuelle. Il doit s'agir d'un comportement acquis à l'entraînement.

Qu'est-ce que cela signifie pour votre organisation ?

Ces chiffres ne signifient pas que les personnes sont le problème. Ils indiquent que le comportement est le levier. Une organisation qui souhaite réduire les risques doit cesser de les considérer comme un problème technique à résoudre à l'aide d'autres outils, et commencer à les traiter comme un problème comportemental qu'il faut entraîner, mesurer et démontrer.