Quel rôle jouent les ressources humaines dans la gestion des risques en cybersécurité ?

Les attaques par rançongiciel n’épargnent plus personne, des hôpitaux aux PME, et les chiffres donnent le vertige, selon l’ANSSI, le volume d’incidents traités reste durablement élevé, tandis que les campagnes d’hameçonnage gagnent en sophistication. Dans ce paysage, la cybersécurité ne se joue plus seulement dans les salles serveurs, elle se joue aussi dans les couloirs, au recrutement, en formation, dans la culture managériale, et, surtout, dans la façon dont l’entreprise traite l’erreur humaine. Les ressources humaines, longtemps cantonnées au “soft”, se retrouvent au cœur de la gestion des risques.

Le facteur humain, première faille exploitable

Ce n’est pas la technologie qui clique, ce sont les salariés. Derrière une grande partie des intrusions, on retrouve des gestes ordinaires, ouvrir une pièce jointe, réutiliser un mot de passe, valider une demande “urgente” d’un faux dirigeant, et ces gestes n’ont rien d’exceptionnel, ils s’inscrivent dans un quotidien sous pression, où l’attention se fragmente. Verizon, dans son Data Breach Investigations Report, rappelle année après année le poids de l’erreur humaine et de l’ingénierie sociale dans les compromissions, et même quand l’attaque commence par une faille technique, l’escalade passe souvent par une identité mal protégée ou un réflexe inadapté face à l’alerte.

Les RH disposent ici d’un levier unique : elles tiennent le “parcours de vie” du collaborateur, depuis l’onboarding jusqu’au départ. C’est à ce niveau que se construisent les habitudes qui font baisser le risque, l’utilisation d’un gestionnaire de mots de passe, l’activation systématique de la double authentification, la capacité à signaler un e-mail suspect sans crainte d’être jugé, et la compréhension des règles de base sur les données sensibles. En clair, si la DSI met des barrières, les RH contribuent à réduire le nombre de personnes qui les contournent, par ignorance ou par fatigue, et elles peuvent aussi aider à mesurer ce qui compte réellement : pas seulement le nombre de formations réalisées, mais la baisse des comportements à risque observés, et l’augmentation des signalements pertinents.

Recruter et intégrer sans ouvrir la porte

Un recrutement, c’est aussi une surface d’attaque. Les processus RH concentrent des données personnelles très sensibles, pièces d’identité, RIB, adresses, parfois justificatifs médicaux, et ces informations attirent les cybercriminels, parce qu’elles se monnayent, et parce qu’elles servent à d’autres fraudes. La CNIL ne cesse de rappeler les obligations liées au RGPD, minimisation des données, limitation des accès, durées de conservation, et sécurité adaptée au risque, or l’entreprise oublie parfois que le recrutement se fait désormais largement via des outils SaaS, des boîtes mail partagées, des liens de transfert, et des prestataires externes, autant de points d’entrée potentiels.

Le rôle des RH est alors double, d’abord, cadrer les pratiques internes, qui accède à quoi, comment sont stockés les dossiers, quand les pièces sont supprimées, quels canaux sont autorisés, et comment on vérifie l’identité des interlocuteurs, ensuite, piloter l’intégration en mode “zéro angle mort”. Un onboarding solide ne se limite pas à remettre un ordinateur, il organise l’attribution des droits selon le principe du moindre privilège, il impose des comptes nominaux, il bannit les identifiants partagés, et il prévoit une première séquence de sensibilisation dès la première semaine, quand les réflexes se forment. Cette logique vaut aussi pour les populations à risque, alternants, intérimaires, prestataires, qui cumulent parfois faible ancienneté, accès techniques, et supervision limitée. Dans un contexte où les attaques par usurpation d’identité se multiplient, sécuriser la chaîne RH, c’est réduire des opportunités très “rentables” pour les attaquants.

Former, oui, mais surtout changer les réflexes

Une formation annuelle “obligatoire” suffit-elle ? La plupart des entreprises savent déjà que non, parce que la menace évolue plus vite que les supports, et parce que l’attention retombe. Les approches efficaces combinent des modules courts, réguliers, contextualisés, et des rappels au moment où le risque se présente, par exemple un avertissement clair sur les paiements urgents, un protocole simple pour vérifier un changement de RIB, et des exercices d’hameçonnage simulé, menés sans humiliation. L’objectif n’est pas de piéger, mais de muscler un réflexe collectif : vérifier, ralentir, demander une confirmation par un autre canal.

Les RH jouent ici un rôle de chef d’orchestre, car elles savent “tenir” une politique de formation dans la durée, l’inscrire dans les objectifs, la rendre compatible avec la réalité des métiers, et la relier à la culture managériale. Le manager, en particulier, est un point de bascule : s’il sanctionne le signalement d’un incident comme une perte de temps, la sous-déclaration s’installe, et l’attaquant gagne. À l’inverse, une organisation qui valorise le signalement rapide, même en cas d’erreur, réduit le temps de détection, ce qui est déterminant lors d’un rançongiciel. Les entreprises les plus matures traitent la cybersécurité comme la sécurité au travail, avec des rituels, des retours d’expérience, des procédures simples, et une capacité à apprendre des quasi-accidents. La prévention devient alors un actif, pas une contrainte.

Quand la cyber devient un sujet social

La gestion des risques cyber a aussi une dimension sociale, parce qu’elle touche au contrôle, à la surveillance, aux sanctions, et à la confiance. Un dispositif de sécurité mal expliqué peut être perçu comme intrusif, et générer des contournements, tandis qu’une politique trop punitive fait taire les alertes. Les RH, en lien avec la direction juridique et la DSI, doivent cadrer une gouvernance claire, quelles données sont journalisées, pourquoi, pendant combien de temps, qui y accède, et comment on respecte le droit du travail et le RGPD. Cette transparence n’est pas un luxe, elle conditionne l’adhésion, donc l’efficacité.

Autre enjeu, le risque interne, qu’il soit malveillant ou non. Les départs, les mobilités, les situations de conflit, ou la précarité peuvent accroître l’exposition, parce que les accès ne sont pas révoqués à temps, parce que des données partent sur une messagerie personnelle, ou parce qu’un employé conserve des documents “pour plus tard”. Les RH disposent d’outils concrets, une check-list de sortie systématique, la coordination entre manager, IT et paie, la vérification des accès, et la sensibilisation aux obligations de confidentialité. Enfin, les entreprises en croissance ou en transformation, notamment lors d’une levée de fonds, d’une acquisition, ou d’une réorganisation, voient leur surface d’attaque s’élargir, car les systèmes se connectent, les équipes changent, et les processus se bricolent. Dans ces moments, il est utile de structurer la démarche, et de s’appuyer sur des ressources pratiques, comme Onlynnov, pour cadrer la montée en maturité et éviter que la vitesse ne se paie en vulnérabilités.

Passer à l’action, sans usine à gaz

Pour avancer, commencez par cartographier les postes à accès critique, puis planifiez une sensibilisation trimestrielle, et imposez une procédure de double validation sur les paiements et changements de RIB. Réservez un budget pour un gestionnaire de mots de passe et la MFA, et renseignez-vous sur les aides mobilisables, notamment via les dispositifs régionaux et les accompagnements Bpifrance selon les profils.