Cette réflexion m’a particulièrement interpellé lorsque j’ai lu le livre en début d’année, et c’est pourquoi j’étais ravi lorsque nous avons invité Josiah Dykstra, Ph.D., directeur des initiatives stratégiques chez Trail of Bits, à participer au podcast « The Resilience Rundown » pour discuter du « biais d’action » et de son impact sur la prise de décision lors d’incidents de cybersécurité.
S’abonner : Apple Podcasts | Spotify | YouTube
Comprendre le biais d’action
Le « biais d’action » désigne la tendance naturelle de l’être humain à agir immédiatement face à une menace ou à une crise. Si cet instinct peut s’avérer utile dans certaines situations, il peut également conduire à des prises de décision irrationnelles et potentiellement aggraver le problème en question. Dans le domaine de la cybersécurité, le biais d’action peut se manifester de différentes manières, par exemple en se faisant piéger par des attaques de hameçonnage qui exploitent le sentiment d’urgence d’agir, ou en prenant des décisions précipitées lors de la gestion d’un incident.
Exemples de biais d’action dans le domaine de la cybersécurité
Les incidents de hameçonnage constituent un exemple courant de biais d’action dans le domaine de la cybersécurité. Les pirates exploitent souvent le sentiment d’urgence et la peur pour pousser les individus à agir immédiatement, par exemple en cliquant sur des liens malveillants ou en communiquant des informations sensibles. Même les professionnels de la cybersécurité peuvent être victimes de ce biais d’action et prendre des décisions impulsives lors d’une intrusion ou d’une intervention en cas d’incident, ce qui peut entraîner des conséquences imprévues.
Quand « ne rien faire » est une bonne chose
Dykstra aborde le concept de « ne rien faire » comme un choix stratégique dans certaines situations liées à la cybersécurité. Il prend l’exemple des gardiens de but professionnels lors des tirs au but pour illustrer ce point. Des études ont montré que les gardiens qui choisissent de ne pas sauter ni de bouger lors d’un tir au but ont plus de chances de bloquer le tir. Cette décision stratégique peut sembler contre-intuitive aux yeux des spectateurs, qui s’attendent à ce que le gardien réagisse, mais elle repose sur une analyse et une préparation minutieuses.
Atténuer les effets négatifs du biais d’action
Pour atténuer les effets négatifs du biais d’action dans le domaine de la cybersécurité, les organisations peuvent adopter plusieurs stratégies :
1. Préparation et exercices : l’élaboration d’un plan d’intervention complet en cas d’incident et la mise en œuvre régulière d’exercices permettent aux équipes de réagir efficacement en cas de crise. Cette préparation favorise une prise de décision stratégique plutôt que des réactions impulsives.
2. Patience et sensibilisation : il est essentiel de reconnaître que la patience est une vertu dans le contexte des incidents de cybersécurité. Sensibiliser les parties prenantes, notamment les membres du conseil d’administration, les actionnaires et les dirigeants, à l’importance d’une prise de décision stratégique et aux risques potentiels liés à des actions précipitées peut contribuer à instaurer une culture qui valorise la patience.
3. Prendre son temps : prendre son temps ne signifie pas allonger le délai de réaction. Cela souligne au contraire l’importance d’une préparation minutieuse avant qu’un incident ne se produise. En consacrant du temps et des efforts à la planification et à la formation, les organisations peuvent s’assurer que leurs équipes sont en mesure de prendre des décisions réfléchies en temps réel.
Conclusion
Le biais d’action est un biais cognitif courant qui influence la prise de décision lors d’incidents de cybersécurité. En prenant conscience des écueils potentiels liés aux actions impulsives et en mettant en œuvre des stratégies visant à atténuer ce biais, les organisations peuvent améliorer leurs capacités de réponse aux incidents et réduire au minimum le risque d’aggraver les menaces de cybersécurité. Pour en savoir plus sur le biais d’action et son impact sur la cybersécurité, écoutez l’épisode complet du podcast « Resilience Rundown » avec Josiah Dykstra.
Je vous recommande vivement de suivre Josiah sur LinkedIn et de lire son ouvrage intitulé « Cybersecurity Myths and Misconceptions », qui explore divers préjugés et problèmes liés au domaine de la cybersécurité.
