A stratégie de sécurité du nudge utilise des invites ou des rappels doux (appelés « coups de pouce ») pour encourager les utilisateurs à résoudre les problèmes de sécurité sur leur système.
Cette stratégie s'appuie sur les sciences du comportement. Elle utilise des techniques psychologiques telles que les questions ouvertes, les comparaisons et l'architecture du choix pour inciter les individus à réfléchir à leurs décisions de sécurité et les guider vers de meilleures habitudes en matière de cybersécurité, sans directives ni ordres stricts.
Les coups de pouce peuvent inclure :
- Notifications
- Messages
- Instructions
Pour des tâches telles que :
| Message | Exemple de coup de pouce | Psychologie |
| S'inscrire à un cours de sécurité | « Ce module de sécurité peut vous aider à protéger vos collègues et les membres de votre famille. » | Émotion: Les coups de pouce peuvent susciter des sentiments tels que la compassion, l’inquiétude ou l’enthousiasme pour inspirer l’action. |
| Installer la mise à jour du logiciel | « Sélectionnez une heure pour installer la nouvelle mise à jour. » (Cela ne permet pas à l'utilisateur de simplement retarder la tâche). | Architecture de choix : Encourager les gens à agir sans restreindre leur liberté de choix. |
| Réinitialiser un mot de passe | 1. « Votre mot de passe est plus faible que celui de 90 % de vos collègues. » 2. Un graphique de feu de circulation qui montre la force du nouveau choix de mot de passe d'un utilisateur. | 1. Comparaisons : Les comparaisons sociales peuvent apporter un sentiment de compétition aux tâches et motiver les gens à agir. 2. Commentaires: Les gens sont plus susceptibles d’agir lorsqu’ils reçoivent un retour instantané sur leurs choix. |
| Avertissement concernant un lien suspect | « Faites-vous confiance à ce lien ou à cette pièce jointe ? » | Risque: Encourage les gens à réfléchir en profondeur aux risques potentiels, les aidant ainsi à mieux les identifier à l’avenir. |
Pourquoi avons-nous besoin de coups de pouce ?
En matière de cybersécurité, l'humain est le maillon faible, et l'erreur humaine est responsable de la plupart des violations de données. Qu'elle soit intentionnelle ou accidentelle, une mauvaise gestion de la sécurité ouvre des vulnérabilités, quelle que soit l'efficacité de l'équipe et des outils de sécurité informatique d'une organisation.
La sensibilisation est plus importante que les outils pour améliorer la sécurité d'une organisation. Les nudges (terme popularisé par les spécialistes du comportement Cass Sunstein et Richard Thaler en 2008) ne dictent pas aux individus de faire quoi que ce soit ; ils visent à les guider vers la bonne action sans la pression habituelle associée à la gestion des risques.
Une stratégie de sécurité incitative aide les employés à adopter un état d'esprit axé sur la sécurité, en les sevrant de mauvaises habitudes telles que le retard des mises à jour, l'utilisation de mots de passe faibles et l'ignorance des avertissements de sécurité, qui peuvent tous augmenter les surfaces d'attaque sur les différentes technologies cloud et SaaS utilisées par les organisations aujourd'hui.