Pare-feu humain (human firewall) : faire des salariés une défense

Le pare-feu humain, ou « human firewall », désigne des salariés capables de reconnaître une attaque qui a franchi les protections techniques et qui ont le réflexe de la signaler. L'image est séduisante : après le pare-feu du réseau, une dernière barrière faite de personnes attentives. Elle est aussi trompeuse si on la prend au pied de la lettre, car un humain ne filtre pas comme une machine. Voici ce que la notion recouvre, ce que disent les chiffres et la recherche, et comment en faire une défense réelle.

Un pare-feu technique laisse passer ou bloque chaque flux selon des règles. Le pare-feu humain joue un autre rôle : détecter et alerter. Un salarié qui doute d'un courriel, refuse un virement demandé dans l'urgence ou appelle le support sur le numéro habituel plutôt que sur celui du message arrête une attaque que les outils n'ont pas vue. Le terme recouvre donc trois choses : des réflexes individuels, une culture collective où l'on signale sans crainte, et le programme qui les entretient.

Il complète la sensibilisation à la cybersécurité, qui en est le moyen principal, et les règles posées par la charte informatique. Dans le NIST CSF 2.0, il relève de la catégorie « sensibilisation et formation » de la fonction Protéger, mais aussi de Détecter et de Répondre : un signalement est un capteur.

Les attaquants passent par les personnes parce que c'est souvent plus simple que de forcer un système. Trois sources indépendantes convergent :

À ces attaques classiques s'ajoutent la fraude au faux dirigeant, les faux changements de coordonnées bancaires d'un fournisseur et, de plus en plus, des messages ou des voix fabriqués par intelligence artificielle, plus crédibles et sans fautes. Un rançongiciel commence très souvent par des identifiants dérobés de cette façon.

Prise au pied de la lettre, l'image fait reposer la sécurité sur la vigilance de chacun, et donc la faute sur celui qui clique. Plusieurs voix reconnues mettent en garde :

• Bruce Schneier, dans son essai « Stop Trying to Fix the User » (2016), estime que l'on demande aux utilisateurs des gestes contre-intuitifs parce que les systèmes sont mal conçus, et que la sécurité doit fonctionner quoi que fassent les gens.
• La recherche : une équipe de l'université de Californie à San Diego a suivi plus de 19 500 salariés d'un grand groupe de santé pendant huit mois et dix campagnes simulées. Elle n'a pas trouvé de lien significatif entre la formation annuelle récente et le fait de se faire piéger, et la formation présentée juste après un clic n'a réduit ce risque que d'environ 2 % (article de recherche).
• Le NCSC britannique rappelle dans « The trouble with phishing » qu'on obtient le taux de clic que l'on veut en réglant la difficulté des messages, et qu'une culture de la peur pousse à cacher les erreurs. Le centre de recherche britannique CREST note de son côté que des simulations conçues pour « piéger » font de l'équipe sécurité un adversaire (« Phishing your staff »).

La conclusion n'est pas d'abandonner la sensibilisation, mais de changer d'objectif : moins viser le zéro clic, davantage le signalement rapide, et bâtir des processus qui tiennent quand quelqu'un se trompe.

1. Un signalement en un geste. Un bouton dans la messagerie ou une adresse unique, une réponse rapide de l'équipe sécurité et un remerciement systématique, y compris pour les fausses alertes. C'est ce qui permet de retirer un message de toutes les boîtes en quelques minutes.
2. Une culture sans blâme. Les principes de culture de cybersécurité publiés par le NCSC en 2025 insistent sur l'ouverture (pouvoir parler d'une erreur sans crainte), l'exemplarité des dirigeants, les normes sociales et des règles claires. Celui qui avoue avoir cliqué doit être remercié, pas sanctionné.
3. Des formations ciblées. Les fonctions exposées (comptabilité, paie, assistants de direction, achats, administrateurs) reçoivent des scénarios propres à leur métier : changement de RIB, faux dirigeant, faux support. Le reste du personnel, des messages courts et réguliers plutôt qu'un module annuel.
4. Des exercices réalistes et annoncés. Des simulations dont le principe est connu, sans leurres sur des sujets sensibles, suivies d'une explication immédiate ; et des exercices de crise pour la direction.
5. Un lien avec l'équipe qui répond. Chaque signalement alimente la gestion des incidents : le salarié devient un capteur, et le retour qu'on lui fait entretient le réflexe.

Un pare-feu humain solide repose sur des processus qui rendent l'erreur moins grave. Plusieurs mesures du guide d'hygiène informatique de l'ANSSI vont dans ce sens (authentification, droits limités, mises à jour, sauvegardes) ; les procédures métier font le reste :

Cette logique rejoint celle du zero trust : ne jamais supposer qu'un accès est légitime parce qu'il vient de l'intérieur ou d'un compte connu.

La révision de la publication NIST SP 800-50 (2024) recommande de mesurer l'effet des programmes sur les comportements, pas seulement leur suivi. Quatre indicateurs suffisent pour commencer :

• le taux de signalement des messages suspects, réels ou simulés ;
• le délai de premier signalement après réception : c'est lui qui détermine combien de personnes sont protégées ;
• le rapport entre signalements et clics sur une même campagne, plus parlant que le clic seul ;
• les incidents évités ou contenus grâce à un signalement, racontés à la direction avec un exemple.

Présentez-les en tendance dans le tableau de bord de la sécurité, piloté par le RSSI.

Pour les entités soumises à NIS 2, ce programme répond en partie aux exigences de cyberhygiène et de formation de l'article 21 et à la formation des dirigeants prévue par la directive. Pour suivre ces mesures et leurs preuves parmi les autres exigences, le module campagnes de conformité de Phinasoft évalue chaque entité sur une même liste ; la page logiciel de conformité NIS 2 en décrit l'usage.