Orange renforce la cyberrésilience de l’ONSS

La cotisation ONSS figure chaque mois sur notre fiche de paie. Cette cotisation permet notamment de financer les allocations, les pensions et les frais médicaux dans notre pays. C’est l’ONSS (Office national de sécurité sociale) qui gère le tout. "Nous traitons une multitude de données personnelles sensibles", explique Hans Vandebos, Délégué à la protection des données (DPO) à l’ONSS. Il est chargé de sensibiliser le personnel à la gestion sûre de toutes les données. "Pas évident quand on sait que l’ONSS emploie 1 800 collaborateurs !"

Marché public

Quand Hans est devenu DPO en 2018, lors de l’entrée en vigueur du RGPD, il comptait publier un article sur l’intranet tous les mois. "Je voulais que tous les collaborateurs connaissent les dernières tendances en matière de cybercriminalité et soient conscients des risques", se souvient Hans. "Mais ça revenait à réinventer l’eau chaude. Les professionnels de la cybersécurité sont en mesure de fournir nettement plus de détails, car ils disposent de connaissances bien plus récentes."

Un jour, Smals, l’organisation ICT commune des institutions publiques belges du secteur social et de la santé, a lancé un appel d’offres. Hans : "Orange a remporté cet appel d’offres avec son Managed Security Awareness Program, un programme de sensibilisation qui repose sur les modules de formation de l’expert en cybersécurité Phished."

Formations et simulations de phishing

Le Managed Security Awareness Program a été déployé en deux phases. "Nous avons commencé par des formations destinées aux collaborateurs", explique Hans. "Ces modules sont courts, passionnants et accessibles. Les collaborateurs me disent souvent qu’ils en retirent beaucoup. Plus de 80 % d’entre eux suivent les sessions régulièrement."

Après six mois de formation, l’ONSS a activé la deuxième phase du programme : les simulations de phishing. "Peu après l’activation, j’ai reçu des réactions de collaborateurs qui, trop crédules, avaient cliqué sur des liens dans des e-mails de phishing simulés. Quel choc de se rendre compte qu’ils auraient été confrontés à un problème si l’e-mail de phishing avait été authentique", explique Hans.

"Le programme évolue constamment", poursuit-il. "Les simulations de phishing nécessitent encore quelques ajustements techniques : un organisme public comme l’ONSS utilise en effet un réseau hautement sécurisé. Ces ajustements devraient encore améliorer l’efficacité des simulations de phishing."

Moins d’incidents

Le Managed Security Awareness Program fait gagner beaucoup de temps à Hans. "Je peux désormais consacrer ce temps à d’autres tâches. Je ne prévois plus qu’une séance d’information pour les nouveaux collaborateurs. J’y passe en revue les règles de base en matière de sécurité de l’information au sein de l’ONSS. Tout le reste est abordé en formation : gestion des réseaux sociaux, informations pouvant être envoyées sans être sécurisées, identification du phishing, etc."

Grâce à ce programme, Hans sait avec certitude que les collaborateurs enrichissent leurs connaissances toutes les deux semaines, tests à l’appui. "Si un collaborateur fait systématiquement des erreurs, je peux me concentrer sur lui afin de trouver une solution. La formule fonctionne. Le nombre d’incidents a diminué depuis le lancement du programme."