Cybersécurité : appliquer des règles sans en comprendre le “pourquoi”, ça ne marche pas
ump — Un mot de passe pourri backfill · Voir sur Substack ↗ ⚠ Contenu partiel (paywall)
En cybersec, appliquer des règles "parce que c'est la politique" = garantir qu'elles seront contournées. Le vrai sujet, c'est le pourquoi. Sinon vous gérez juste de la conformité cosmétique. https://[URL_SUBSTACK]
1/ En cybersec, on adore pondre des règles. MDPs complexes, MFA obligatoire, pas de clés USB. Résultat ? Contournement massif. Pourquoi ? Parce qu'on impose sans jamais expliquer le "pourquoi".
2/ Un exemple vécu : RSSI qui bloque tout partage de fichiers externe "par sécurité". Résultat : les équipes passent par Gmail perso, WeTransfer, voire Telegram. Félicitations, vous avez créé de l'ombre numérique.
3/ Le problème n'est pas la règle. C'est l'absence de contexte. Si personne ne comprend *pourquoi* une mesure existe, elle sera perçue comme une contrainte inutile. Et contournée.
4/ Sensibiliser, ça ne veut pas dire envoyer un e-learning annuel avec un quiz bidon. Ça veut dire expliquer la menace réelle, montrer un cas concret, donner du sens.
5/ Exemple : au lieu de dire "pas de clés USB", montrez un rubber ducky en action. Ou un infostealer qui récupère des cookies après un clic. Le cerveau retient mieux une démonstration qu'une interdiction abstraite.
6/ La conformité sans compréhension = théâtre sécurité. Vous cochez des cases, mais la surface d'attaque reste intacte. Pire : elle devient invisible.
7/ Si vos utilisateurs ne comprennent pas le "pourquoi", ils ne seront jamais vos alliés. Ils seront juste des obstacles à contourner.
8/ La sécurité, c'est pas juste de la tech. C'est aussi de la pédagogie, de l'empathie et de l'explication. Sinon vous gérez juste du papier. Article complet ici : https://[URL_SUBSTACK]
Le plus gros contournement de sécurité que je vois sur le terrain : les politiques appliquées sans explication. Résultat ? Gmail perso, WeTransfer, Telegram en shadow IT. Vous avez créé de l'ombre numérique avec vos propres règles.
Sensibiliser, c'est pas envoyer un e-learning annuel. C'est montrer un rubber ducky en action, ou un infostealer live. Le cerveau retient mieux une démo qu'une slide PowerPoint sur "les bonnes pratiques".
Si vos utilisateurs contournent systématiquement vos règles de sécurité, le problème n'est pas eux. C'est vous. Vous imposez sans expliquer. Résultat : conformité sur papier, chaos dans la réalité.