Le « renoncement silencieux » pose un risque de cybersécurité qui appelle un changement dans la culture du lieu de travail

Vos employés sont-ils contrôlés mentalement par rapport à leur poste ? Selon Gallup, « les personnes qui abandonnent tranquillement », les travailleurs qui sont détachés et font le minimum requis dans le cadre de leurs fonctions, représentent au moins 50 % de la main-d’œuvre américaine.

Les employés non engagés créent de nouveaux risques de sécurité pour les entreprises, car il suffit de petites erreurs, comme cliquer sur une pièce jointe dans un e-mail de phishing ou réutiliser les identifiants de connexion pour permettre à un pirate d’accéder au réseau.

Considérant que 82 % des violations de données l’année dernière impliquait l’élément humain ou l’erreur humaine, les responsables de la sécurité ne peuvent pas se permettre de négliger les risques présentés par un démissionnement silencieux, en particulier au milieu de la Grande Démission, où les employés s’attendent à un meilleur équilibre travail-vie personnelle.

Arrêt silencieux et menaces internes 

Bien que les démissions discrètes et les employés sous-engagés constituent un risque interne, ils ne constituent pas nécessairement une menace. Gartner établit une distinction entre les deux en affirmant que « tous le risque interne devient une menace interne ; cependant, chaque menace interne a commencé comme un risque interne.

Selon la définition de Gartner, chaque employé, sous-traitant ou partenaire tiers peut être considéré comme un risque interne s’il dispose d’informations d’identification pour accéder aux systèmes et aux ressources de l’entreprise, car il a la capacité de divulguer des informations sensibles et la propriété intellectuelle.

Par conséquent, les entreprises doivent être prêtes à empêcher que les risques internes ne se transforment en menaces entraînant la fuite de données réglementées. Cela revient en partie à identifier les employés qui sont partis.

« Il est important d’être conscient de l’arrêt silencieux, afin qu’un lâcheur silencieux ne devienne pas un fuyant bruyant. Les principaux indicateurs d’abandon discret incluent une personne de plus en plus renfermée devenant apathique envers son travail », Forrester Vice-président analyste principal Jeff Pollard.

« Si ces sentiments mijotent assez longtemps, ils se transforment en colère et en ressentiment, et ces émotions sont les principaux indicateurs dangereux d’activités à risque d’initiés comme les fuites de données et/ou le sabotage », a déclaré Pollard.

Malheureusement, les fuites de données facilitées par les employés sont exceptionnellement courantes. Un récent rapport publié par Cyberhaven a révélé que près d’un employé sur 10 exfiltrera des données sur une période de six mois. Il a également constaté que les employés sont beaucoup plus susceptibles de divulguer des informations sensibles dans les deux semaines précédant leur démission.

Les RSSI et les équipes de sécurité ne peuvent pas non plus se permettre d’ignorer cette menace, en raison des dommages prolongés causés par les incidents internes, qui Les estimations du Ponemon Institute prennent en moyenne 85 jours pour contenir et coûte aux organisations 15,4 millions de dollars par an.

Considérer l’équilibre travail-vie 

Bien sûr, lorsqu’il s’agit d’arrêter tranquillement, il est important de se rappeler qu’il est souvent difficile de faire la distinction entre les employés qui recherchent un meilleur équilibre travail-vie personnelle et ceux qui ont vérifié et agissent avec négligence.

« Bien que le terme [quiet stop] soit commodément allitératif et mûr pour faire le buzz, en dessous, il est problématique et nécessite une définition plus approfondie. Les employés qui sont satisfaits de leur poste actuel et qui maintiennent des limites raisonnables entre vie professionnelle et vie privée démissionnent-ils ? », a déclaré Tessian RSSI, Josh Yavor.

« Une grande partie des « abandonneurs silencieux » peuvent en fait faire partie de nos employés les plus sûrs et les plus fiables. leur licenciement », a déclaré Yavor.

Lorsque vous cherchez à atténuer les menaces causées par cette minorité d’employés désengagés et apathiques, il est important de ne pas blâmer, mais de considérer que leur environnement de travail lui-même pourrait être toxique, avec des attentes et des délais déraisonnables, voire des brimades et du harcèlement au travail.

En ce sens, l’abandon silencieux n’est pas seulement un défi pour les équipes de sécurité, mais nécessite un effort à l’échelle de l’entreprise pour favoriser le bien-être des employés et l’équilibre entre vie professionnelle et vie privée. Le problème est que cela peut être extrêmement difficile dans les environnements de travail à distance avec un manque de séparation claire entre le domicile et la vie professionnelle d’un employé.

Atténuation des risques internes dans environnements de travail à distance 

Dans les environnements de travail à distance et hybrides, les RSSI et autres dirigeants d’entreprise doivent être proactifs pour soutenir les employés afin de s’assurer qu’ils ne sont pas exposés au stress et à l’épuisement professionnel.

« Bien que l’abandon silencieux soit un terme relativement nouveau, il décrit un problème séculaire : le désengagement de la main-d’œuvre », a déclaré le RSSI de (ISC)2, Jon France.

« La différence cette fois-ci est que dans un environnement de travail à distance, les signes peuvent être un peu plus difficiles à repérer. Pour empêcher les employés de démissionner discrètement, il est important que les RSSI et les responsables de la sécurité garantissent et favorisent la connexion et la culture d’équipe », a déclaré France.

Pour aider à maintenir un environnement de travail épanouissant, la France recommande aux dirigeants d’avoir des contacts réguliers avec leurs équipes afin de maintenir une culture de travail solide, en donnant accès à des événements et activités sociaux réguliers. Cela peut aider les employés à se sentir plus impliqués dans leur travail.

Dans le même temps, il est important de s’assurer que les employés ne sont pas surchargés de travail pouvant conduire à l’épuisement professionnel. Une communication active avec les employés est essentielle pour que les équipes s’assurent que les employés sont engagés et gèrent confortablement les tâches qu’ils sont censés accomplir.

Lutter contre le risque humain 

En plus d’améliorer l’engagement des employés, les responsables de la sécurité doivent également chercher à atténuer les risques humains dans l’ensemble de l’organisation afin de réduire la probabilité de fuites de données.

L’une des solutions les plus simples consiste à mettre en œuvre le principe du moindre privilège, garantissant que les employés n’ont accès qu’aux données et aux ressources dont ils ont besoin pour remplir leur fonction. Cela signifie que si un utilisateur non autorisé accède au compte ou s’il tente lui-même de divulguer des informations, l’exposition à l’organisation est limitée.

Une autre approche consiste pour les organisations à proposer une formation de sensibilisation à la sécurité afin d’enseigner aux employés des comportements soucieux de la sécurité, tels que la sélection d’un mot de passe fort et leur apprendre à identifier les escroqueries par hameçonnage. Cela peut aider à réduire les risques de vol d’identifiants et de tentatives de prise de contrôle de compte.

Lors de la mise en œuvre d’une formation de sensibilisation à la sécurité, SANS Institute suggère que le programme soit géré par une personne dédiée à plein temps, telle qu’un responsable des risques humains ou un responsable de la sensibilisation et de l’éducation à la sécurité qui siège au sein de l’équipe de sécurité et relève directement du CISO.

Cette personne peut se charger d’aider l’organisation à identifier, gérer et mesurer le risque humain sous toutes ses formes et à lancer le changement culturel.