Arsen calcule un score de sécurité pour chaque collaborateur à partir de ses résultats récents aux simulations et de sa formation. Le score reflète le risque réel : un bon résultat ancien ne masque pas un clic récent, ignorer une simulation ne passe plus pour un bon comportement, et les progrès se voient en quelques campagnes.
Qu'est-ce que le score de sécurité d'un collaborateur ?
Le score de sécurité d'un collaborateur réunit les résultats des simulations de phishing, de smishing et de vishing et ceux de la formation de sensibilisation en un seul indicateur de risque humain par personne. Il montre aux équipes sécurité et GRC quels collaborateurs et quels groupes sont les plus exposés à l'ingénierie sociale, où agir, et comment le risque évolue dans le temps. Un score n'est utile que s'il récompense les comportements qui arrêtent une vraie attaque, comme le signalement d'un message suspect, et pénalise ceux qui mènent à une compromission.
Comment ça marche
Le score de chaque collaborateur combine deux parties : 60 % simulations (phishing, smishing et vishing) et 40 % formation, qui tient compte à la fois de la réalisation des modules et de leur réussite.
Cinq règles déterminent la partie simulations :
- ⏱️ Les comportements récents priment. Un résultat d'il y a 6 mois compte deux fois moins qu'un résultat récent, et au-delà de 2 ans il ne compte plus. Les bons résultats d'hier ne cachent pas un clic d'aujourd'hui, et les progrès se voient vite.
- 🔇 Ignorer une simulation compte beaucoup moins. Une simulation ignorée, sans clic ni signalement, compte cinq fois moins qu'une vraie réaction. Elle ne suffit pas à compenser une compromission.
- 🚩 Le signalement est l'objectif. Signaler une simulation rapporte 100 points. Une action à risque rapporte entre 50 et 0 points, selon que des données ont été compromises ou non et que le collaborateur l'a signalée ou non.
- 🎯 La difficulté est prise en compte. Déjouer un scénario difficile rapporte davantage. Échouer sur un scénario facile coûte davantage.
- 📚 La formation compte aussi. La réalisation et la réussite des modules représentent 40 % du score.
Ce qui fait le score
| Résultat de simulation ou facteur | Effet sur le score |
|---|---|
| Signalement | Rapporte 100 points |
| Action à risque | Rapporte entre 50 et 0 points, selon que des données ont été compromises ou non et que le collaborateur l'a signalée ou non |
| Simulation ignorée (ni clic, ni signalement) | Compte cinq fois moins qu'une vraie réaction |
| Scénario difficile déjoué | Rapporte davantage |
| Scénario facile échoué | Coûte davantage |
| Résultat d'il y a 6 mois | Compte deux fois moins qu'un résultat récent |
| Résultat de plus de 2 ans | Ne compte plus |
- Une campagne que les collaborateurs ignorent dit peu de chose de leur risque, elle pèse donc peu dans le score.
- Une campagne où les collaborateurs cliquent, saisissent des données ou signalent en dit beaucoup. Le signalement est le comportement que le score récompense le plus.
Comment lire les scores
La plupart des collaborateurs ignorent la plupart des simulations. Quand ignorer une simulation comptait presque autant que la signaler, les scores se stabilisaient autour de 50 et masquaient ceux qui cliquaient réellement. Le même historique, évalué de cette façon, montre un risque qui existait déjà.
Prenons un collaborateur qui a saisi ses identifiants deux fois en deux mois et laissé expirer ses formations. Avec l'ancienne méthode, il obtenait environ 47. Avec celle-ci, il obtient environ 7.
Un score bas est un signal pour agir, pas une sanction. Comparez les collaborateurs et les groupes entre eux, et suivez l'évolution des scores à partir de ce point : les scores de l'ancienne méthode ne mesurent pas la même chose de la même façon et ne se comparent pas à ceux-ci.
-
Ignorer une simulation comptait auparavant presque autant que la signaler. Or la plupart des collaborateurs ignorent la plupart des simulations : les scores se stabilisaient donc autour de 50 et masquaient ceux qui cliquaient réellement. Prenons un collaborateur qui a saisi ses identifiants deux fois en deux mois et laissé expirer ses formations. Avant, il obtenait environ 47. Avec cette méthode, il obtient environ 7.
-
Non. Le même historique est évalué différemment, et le score montre un risque qui existait déjà. Un score bas est un signal pour agir, pas une sanction.
-
Non. Les deux méthodes ne mesurent pas la même chose de la même façon. Comparez plutôt les collaborateurs et les groupes entre eux, et suivez l'évolution des scores à partir de ce point.
-
Encouragez le signalement et veillez à ce que les formations soient terminées. Comme le comportement récent compte davantage, les scores progressent en quelques campagnes.
