La pandémie a très clairement rebattu les cartes en matière d’emploi : certains secteurs, dont la Tech, connaissent une véritable pénurie de talents tandis que d’autres rencontrent des difficultés à suivre l’évolution des attentes des employés.
En septembre 2021, les ruptures conventionnelles ont augmenté de 9% par rapport à septembre 2019 et au troisième trimestre 2021, il y avait 8% de postes vacants de plus qu'au deuxième trimestre 2021. Cette tendance est encore plus marquée chez les jeunes cadres où pas moins de 65% des cadres de moins de 35 ans envisagent de changer d'entreprise dans les 12 prochains mois.
Aux Etats-Unis le phénomène a pris une telle ampleur qu’on lui a donné un nom : “The Great Resignation” ou “ Grande Démission” en Français. Outre le défi organisationnel, ce phénomène pourrait avoir d’autres effets néfastes.
La multiplication des outils numériques au travail, la mobilité et la méconnaissance des cyber-menaces augmentent le risque qu’un employé inattentif, ou pire, mal intentionné emporte des informations sensibles en quittant l’entreprise. Le 12 janvier 2022, la France apprenait que l’ex-porte-parole des LR avait quitté le parti, emportant avec lui un fichier contenant des emails, pour s’en servir personnellement. Au-delà du délit sur le plan légal que représente le vol de données, cela montre la fragilité de la sécurité liée aux courriels. Par ailleurs, certains cyber-criminels pourraient profiter du contexte économique incertain pour proposer aux salariés de l’argent en échange d’information ou d’action (un simple clic sur un lien ou l’ouverture d’une pièce jointe), dans le but de mener une attaque sur les- systèmes d’information.
Comment les entreprises déjà submergées par les menaces venues de l’extérieur peuvent-elles donc faire face à la croissance de la menace interne ?
Cyber-sécurité : dommage collatéral de la vague de démission ?
Les salariés démissionnent pour de nombreuses raisons et dans des circonstances très différentes. Certains sont mécontents, certains cherchent mieux ailleurs et beaucoup ne gardent aucune rancune envers leur ancienne entreprise. Pour autant, tous ces salariés constituent un risque pour la sécurité informatique d’une organisation.
Le premier risque, et le plus important, est l’export de données, les collaborateurs peuvent dérober ou divulguer des données, des informations commerciales sensibles ou des éléments de propriété intellectuelle (PI) de valeur. Il y a peu, un grand laboratoire spécialisé dans les diagnostics in vitro a ainsi découvert qu’un de ses employés avait cherché à revendre de la propriété intellectuelle et du matériel médical sur le dark web. Qu'elles soient délibérées ou accidentelles, ces situations – augmentent les risques et peuvent avoir un impact considérable sur les entreprises.
Si certains souhaitent conserver une base de clients et des contacts, beaucoup ne se rendent pas compte qu’il s’agit purement et simplement de vol de données. Inversement, des employés mécontents peuvent chercher à divulguer ou à vendre des informations sensibles, donner accès à des pirates au patrimoine numérique de leur employeur en échange d'une partie de la rançon. C'est ce qui s'est passé l'année dernière aux États-Unis, où un ex-employé aurait introduit un ransomware dans le système de son entreprise.
Le deuxième risque majeur est l'exposition accidentelle. Lorsque les salariés se désengagent de leurs responsabilités au cours de leur période de préavis, ils sont possiblement moins vigilants en matière de sécurité. Ils peuvent, sans le vouloir, exposer les entreprises à des menaces.
Ce type de négligence est aggravé par le télétravail, les équipements informatiques « corporates » sont utilisés sur des réseaux domestiques non protégés et désormais hors des frontieres des sécurités déployées par les entreprises . En conséquence, les Responsables de la Sécurité Informatique (RSSI, DSI…) sont confrontés à la complexité de la protection de leurs organisations et des collaborateurs nomades. Une équipe décentralisée permet aux salariés d'accéder plus facilement aux données internes sensibles dans des environnements où la sécurité est moins bien assurée. Or le télétravail n'est pas près de disparaître : en France, selon une récente étude de l'Apec/Pôle Emploi, près de la moitié des cadres font du télétravail une condition sine qua non dans la perspective d’un changement d’entreprise, 1 jour par semaine minimum pour 75 % d’entre eux.
En termes d'accès aux données, le télétravail pose donc un problème pour tous les employeurs, actuels, passés et futurs. En effet, les salariés sont susceptibles de répéter les mots de passe d'un compte à l'autre et de se montrer négligents vis-à-vis des politiques de sécurité de l'entreprise si les protocoles de travail à domicile se poursuivent.
Que peuvent faire les entreprises pour se protéger ?
Les entreprises ont besoin d'un plan de départ complet qu'elles peuvent activer dès qu'un employé remet son préavis. La création d'un processus de concertation entre les équipes de sécurité informatique et les RH pour réduire l'accès des employés aux données sensibles au cours de leurs dernières semaines est un moyen sûr de réduire le risque posé par les démissionnaires. Ce processus peut être progressif, mais il doit permettre aux employés de n'avoir accès qu'au strict minimum de données nécessaires à l'exécution de leur travail et de régler les derniers détails de leurs fonctions.
Les entreprises devraient adopter une politique de type "zéro trust" en fixant des critères personnalisés pour l'accès - des employés aux données. La confirmation permanente des utilisateurs qui sont autorisés à accéder et à conserver l'accès aux données et aux applications réduit considérablement le risque que d'anciens employés accèdent aux données après leur départ.
Dans le contexte du travail à distance et de l'augmentation des démissions, les entreprises doivent appréhender leurs vulnérabilités en constante évolution. La surveillance étroite des infrastructures peut renforcer la capacité des équipes de sécurité à détecter les perturbations des systèmes, afin que les entreprises identifient et stoppent cyber-attaques et menaces internes, tout en limitant la possibilité pour un collaborateur de devenir un risque.
Enfin, toute entreprise doit se doter de moyens de contrôle et de supervision capables de détecter et de stopper en temps réel tout comportement suspicieux. Le laboratoire de diagnostics in vitro avait par exemple réussi à stopper le transfert de données et identifier l’employé malveillant en s’appuyant sur une solution d’IA qui avait détecté un comportement inhabituel. La révolution digitale et l’augmentation exponentielle des moyens de communications ne permettent malheureusement plus aux équipes de cyber-sécurité d’avoir une visibilité complète et de pouvoir réagir à temps. L’usage de l’intelligence artificielle, comme allié de choix a déjà démontré à maintes reprises son efficacité dans le domaine de la cyber-sécurité.