Ce que vous devez savoir sur la psychologie derrière la cyber-résilience

La complexité, l’incessante et la nature de plus en plus destructrice des cybermenaces crée une charge de travail cognitive élevée. C’est pourquoi il est crucial de s’assurer que les employés développent les compétences cognitives et l’agilité nécessaires pour se protéger contre les attaques. Cela aura un impact puissant sur la résilience des cyber-effectifs d’une organisation.

Une récente “Indice de référence de la main-d’œuvre cybernétique” Le rapport d’Immersive Labs a pris le pouls des cybercompétences, des connaissances et de la préparation des organisations et de leurs effectifs dans de nombreux secteurs, notamment les services financiers, la vente au détail, la santé et le gouvernement. Le rapport examine le degré de préparation de certains secteurs aux cyberattaques, en fournissant des résultats de d’un point de vue psychologique Voici quelques conclusions clés du rapport et l’analyse psychologique qui les sous-tend.

La fréquence à laquelle les organisations mènent des exercices de cyber-crise varie considérablement d’un secteur à l’autre – et peut également avoir un impact sur les scores de performance.

Une analyse de plus de 6 400 décisions de réponse aux crises montre que les entreprises de technologie et de services financiers se préparent le plus aux cyberattaques, exécutant respectivement neuf et sept exercices par an. Les organisations d’infrastructures nationales critiques se préparent le moins, avec un seul exercice par an. Les soins de santé ne fonctionnent qu’à deux. En ce qui concerne la performance de ces industries dans les exercices de cyber-crise, la santé a obtenu 18 %, ce qui est faible par rapport aux entreprises technologiques, qui ont obtenu 80 %.

Ce que cela signifie : Plus une organisation exerce ses capacités, meilleures elles deviennent.

La psychologie fournit une explication quant à pourquoi c’est le cas. Les gens développent une connaissance superficielle d’une capacité avant de passer à une réflexion plus avancée. Si ces compétences ne sont pas renforcées ou exercées, elles s’estompent. C’est comme apprendre une nouvelle langue : si vous ne pratiquez pas la langue et ne la parlez pas régulièrement, il y a de fortes chances que vous en perdiez la connaissance. Ce n’est qu’avec une pratique et des exercices réguliers et cohérents que les équipes d’intervention en cas de crise pourront développer la capacité d’établir des liens entre les décisions précédentes et la manière de les appliquer – ou non – lors d’une cyberattaque.

Les ransomwares entraînent une grande incertitude pour les équipes de réponse aux crises.

La recherche a demandé aux participants d’évaluer leur confiance dans leurs réponses pendant la formation, et les simulations axées sur les ransomwares étaient celles où les participants perdaient confiance dans leur prise de décision et leurs jugements. Les équipes n’ont pas voulu payer la rançon, 83% des participants déclarant qu’ils ne le feraient pas. Cependant, ils étaient également incertains du résultat s’ils ne payaient pas. Fait intéressant, le rapport a montré que les industries les plus susceptibles de payer des rançons étaient l’éducation (25%), le conseil (23%) et la vente au détail et le commerce électronique (20%).

Ce que cela signifie : ce manque de confiance dans la prise de décision indique un problème classique pour les équipes d’intervention en cas de crise, souvent qualifié de « problème épineux ».

Lors de l’examen d’options sans résolution claire, les décisions sont remises en question par la surcharge de données et la fatigue décisionnelle. La quantité d’informations peut être écrasante. Les décisions peuvent être précipitées, fondées sur l’incertitude ou même la peur. Au final, parce que le cerveau est débordé, on s’installe sur un compromis qui conduit à un manque de confiance dans la décision.

Les vulnérabilités très médiatisées voient un délai de mise en service considérablement réduit.

Quatre des cinq compétences les plus développées le plus rapidement en 2021 provenaient de la gestion des Log4j vulnérabilité. Il a fallu en moyenne deux jours aux équipes de cybersécurité pour développer les connaissances et les compétences nécessaires pour s’en défendre. C’était 48 fois plus rapide que la moyenne renseignements sur les menaces laboratoire. Cela reflète l’impact sévère de Log4j. Cela démontre également la difficulté à laquelle de nombreuses équipes ont dû faire face pour comprendre et répondre à la menace.

Ce que cela signifie : Le besoin humain d’agir est une réponse automatique, câblée dans notre cerveau, et peut amener les gens à se précipiter pour prendre des décisions, bonnes ou mauvaises.

Le cerveau fait des hypothèses et prend des raccourcis basés sur des expériences antérieures, ce qui pourrait causer des problèmes aux organisations. Ces hypothèses et raccourcis, connus sous le nom de préjugés et d’heuristiques, peuvent conduire à des décisions non pertinentes qui peuvent finir par se retourner contre eux ou même aggraver les situations. Si les gens comprenaient comment leur esprit fonctionne et comment ils réagissent en cas d’urgence, ils pourraient éventuellement apprendre à contrecarrer leurs instincts naturels. Cela contribuera à accroître la confiance et l’efficacité de la prise de décision à l’avenir.

L’essentiel

La résilience de la main-d’œuvre cybernétique est plus cruciale que jamais. Les exercices de cyber-crise ne doivent pas être considérés comme un événement unique, ni être exclusifs aux cyber-équipes. Nous devons changer notre état d’esprit pour faire des exercices réguliers une fonction commerciale essentielle, en développant l’agilité cognitive de l’ensemble de la main-d’œuvre. Le développement professionnel continu doit faire partie du travail quotidien. Nous appelons ce concept “microforage”. Cela aide à affiner les compétences des équipes, à renforcer leur confiance lors de la prise de décisions et à leur permettre de prendre des décisions plus intelligentes dans des situations réelles. L’objectif n’est pas d’apprendre aux gens à réagir à une crise spécifique, mais plutôt de développer les compétences de prise de décision nécessaires pour répondre à n’importe quel crise. Les organisations ne deviendront jamais vraiment cyber-résilientes à moins qu’elles ne fassent des exercices cybernétiques réguliers au sein de la main-d’œuvre une priorité.

Leave a Comment