Une culture juste pour gérer les aspects humains du cyber-risque

La recherche en cybersécurité, et particulièrement sur l’atténuation des risques, a souvent tendance à se focaliser sur le progrès technique. L’humain est alors considéré uniquement comme un danger, qui par erreur ou maladresse (intentionnelle ou autre) est en faute ou doit être tenu pour responsable des problèmes de sécurité. Dans une certaine mesure, ce n’est pas faux : l’être humain est une composante intrinsèque de tout système sociotechnique ou organisationnel. La culture du blâme a toutefois conduit à la notion, parfaitement erronée, qu’une meilleure sécurité est forcément le fruit de meilleurs systèmes et qu’une technologie de meilleure qualité et plus intelligente doit idéalement s’affranchir du besoin de l’humain ou de toute utilisation par des humains.

En mai 2017, le rançongiciel WannaCry a ciblé les ordinateurs exécutant Microsoft Windows XP dans le monde entier. Le rôle des utilisateurs a immédiatement été pointé du doigt : l’hypothèse selon laquelle ceux-ci avaient dû cliquer sur un lien malveillant, propageant encore plus vite le virus, a fait son chemin. Au Royaume-Uni, l’attaque, dont le coût a été estimé à plus de 92 M£, a paralysé le National Health Service (NHS) et conduit à l’annulation de certaines opérations chirurgicales. Dans les semaines qui ont suivi l’apparition de WannaCry, d’importants efforts ont été entrepris pour attribuer les responsabilités de la catastrophe. La liste des coupables potentiels était longue. Le besoin de trouver une cause ou une personne responsable fait partie intégrante de la nature humaine : ne pas le faire implique une perte de contrôle, source d’anxiété. En réalité, les coupables étaient nombreux. Mais la recherche effrénée de responsables n’a pas permis de mieux comprendre et d’analyser le problème, ni de s’assurer qu’il ne pourrait pas se reproduire, bien au contraire. En effet, quand la responsabilité est imputée à une erreur, surtout une erreur très publique et pouvant avoir des conséquences mortelles, toutes les parties s’empressent de se dédouaner. Et quand les utilisateurs, propriétaires, développeurs et techniciens d’un système cherchent activement à éviter toute punition potentielle, nul ne se soucie plus des faits (quoi et comment).

Pourtant, si nous voulons concevoir des systèmes de meilleure qualité, moins risqués et plus résilients, il est indispensable de savoir identifier, reconnaître et apprendre de ces risques et erreurs. En revanche, considérer les humains comme de simples utilisateurs, ou pire comme les seuls responsables de ces erreurs, ne permet pas d’adopter le point de vue nécessaire.

Objectif

Cette bourse a justement été pensée pour capter ce point de vue, en développant un nouveau paradigme d’ergonomie de la sécurité, proposé comme une exigence clé de conception et de mise en œuvre de la sécurité dans les systèmes sociotechniques complexes. En concevant une nouvelle méthodologie, basée sur les travaux réalisés dans le domaine des facteurs humains/ergonomie (FH/E), elle permettra de mieux comprendre la gestion des aspects humains du cyber-risque. Ce faisant, il sera possible de déterminer de manière empirique si, comment et pourquoi les humains, quand on leur en donne les moyens, peuvent s’imposer comme des éléments majeurs de la chaîne de sécurité au lieu d’être simplement considérés comme le maillon faible. Mais pour ce faire, il faudra éliminer ce qui fait obstacle à une meilleure compréhension du cyber-risque.

La culture juste en tant que méthodologie

Dans les domaines à très forte composante sécuritaire, comme l’aviation et la santé, on sait depuis longtemps que la culture du blâme limite la compréhension des incidents. Or, la culture juste est précisément une culture de la confiance, de l’apprentissage et de la responsabilité qui crée, suite à un incident, un environnement sûr permettant de mieux comprendre les interactions entre les composantes des systèmes sociotechniques (organisations incluses). Elle établit par ailleurs une démarcation entre les actions irréprochables et condamnables, et facilite l’amélioration itérative et continue des systèmes en éliminant toute défaillance active (erreur humaine). Au lieu de se contenter d’appliquer de nouvelles technologies au problème ou de sortir l’humain de la boucle, la culture juste offre une méthode d’acquisition des connaissances de base sur la manière dont l’erreur humaine s’est produite. Il s’agit donc de mieux comprendre le risque pour le système en s’appuyant sur des événements antérieurs.

Par exemple, la recherche actuelle consacrée aux risques de cybersécurité au sein des universités du Royaume-Uni a mis en lumière le fait que toutes les personnes interrogées disposent de politiques sur l’utilisation de l’informatique (souvent intitulées « politique d’utilisation acceptable ») et la manière d’appliquer des actions disciplinaires (blâme) en cas de transgression (défaillance active/erreur humaine). Aucune université n’a toutefois formulé de distinction entre erreur humaine délibérée et involontaire. Il ne semble pas non plus exister de réelle cohérence dans la manière dont ces politiques sont appliquées : en règle générale, une certaine indulgence est de mise vis-à-vis des erreurs liées à la cybersécurité.

Cela cadre avec les résultats de travaux antérieurs sur la culture de la sécurité, qui ont constaté que « les organisations échouent à travailler de manière cohérente » et ont tendance à adopter une approche culturelle du comportement organisationnel et du travail. Cette clémence culturelle présente des similitudes avec certains aspects de la culture juste. Il s’agit d'une approche moins formelle de la gestion des cyberévénements, qui est particulièrement visible dans certaines organisations. Mais en l’absence de recherche universitaire sur l’utilisation de la culture juste dans le domaine de la cybersécurité, il est nécessaire de commencer par comprendre l’étendue de la culture du blâme, ainsi que de faciliter la transition vers une culture organisationnelle capable de comprendre les cyber-risques.

Impact

Pour le domaine de la cybersécurité et de la gestion des cyber-risques, ce projet permettra d’obtenir des informations empiriques sans précédent sur la manière dont les organisations, en appliquant les préceptes de la culture juste, peuvent visualiser plus clairement quand, comment et pourquoi les cyberévénements se produisent. Ces travaux constitueront par ailleurs un véritable tournant dans le secteur, en considérant l’être humain non plus comme un simple utilisateur, mais bien comme une composante intégrale du système, et donc comme un élément pleinement engagé dans la compréhension et la gestion du risque au sein de système sociotechniques complexes.