Votre UEBA ne peut pas détecter cela, et voici ce qui se passe ensuite.

Chaque plateforme UEBA remplit parfaitement sa fonction. Le problème réside dans le fait que de nombreux risques commerciaux apparaissent bien avant la détection de tout comportement inhabituel de l'utilisateur. Les comportements techniques sont souvent une manifestation tardive du risque, et non sa cause première.

Un utilisateur peut s'authentifier normalement, accéder uniquement aux fichiers autorisés et suivre un flux de travail défini. Pourtant, des problèmes d'intégrité, des conflits d'intérêts, des écarts par rapport aux politiques, des pressions organisationnelles ou des contrôles de gestion insuffisants peuvent survenir. Une implémentation UEBA parfaitement paramétrée peut passer inaperçue, car la télémétrie ne révèle aucune anomalie.

C’est pourquoi votre UEBA ne peut pas le détecter. Il ne s’agit pas d’un argument contre l’analyse du comportement des utilisateurs et des entités, mais plutôt d’un argument contre la prise en compte de la télémétrie technique comme image complète du risque d’entreprise. Les responsables de la sécurité ont besoin d’une couche complémentaire de risque humain , basée sur l’analyse des risques comportementaux, qui leur fournisse un contexte organisationnel plus précoce et oriente les préoccupations vers une gouvernance responsable.

Votre UEBA fonctionne exactement comme prévu.

L'UEBA est conçue pour analyser l'activité observable sur l'ensemble des identités, appareils, applications, réseaux et données. Elle détecte les écarts par rapport au comportement technique attendu et aide les analystes à déterminer si ces écarts correspondent à une violation de compte, un abus de privilèges, une fuite de données, un déplacement latéral ou un autre problème de sécurité.

Cette conception est précieuse. Les anomalies d'authentification, les accès privilégiés inhabituels, les accès inattendus aux fichiers, les mouvements de données anormaux, l'activité dans le cloud et les changements d'identité constituent des preuves importantes. Les technologies SIEM, DLP, EDR, IAM, XDR et de détection des menaces internes demeurent des mécanismes de contrôle fondamentaux pour les entreprises modernes.

L'erreur consiste à demander à ces systèmes de répondre à des questions pour lesquelles ils n'ont pas été conçus.

Le risque commence souvent avant même l'immatriculation.

Un employé du service financier pourrait se sentir obligé de contourner une procédure de révision. Un responsable pourrait normaliser les dérogations accordées à un fournisseur privilégié. Un service pourrait progressivement cesser d'appliquer les politiques internes, les délais primant systématiquement sur les contrôles. Une équipe pourrait développer de mauvaises habitudes de prise de décision, chaque connexion, demande de fichier et session système devenant une routine.

La télémétrie de sécurité traditionnelle peut enregistrer les événements survenus dans un système. Elle ne permet généralement pas d'expliquer pourquoi une décision est devenue plus facile à justifier , si un environnement de contrôle se détériore ou si plusieurs personnes occupant le même poste subissent les mêmes pressions en matière de gouvernance.

Une étude évaluée par des pairs sur les menaces internes involontaires a identifié des facteurs récurrents liés à la prise de décision, aux tâches, aux accidents et à l'organisation , démontrant ainsi que des conditions de risque peuvent exister avant même la survenue d'une anomalie technique ( étude sur les menaces internes involontaires ). Une autre étude menée auprès de décideurs d'institutions financières a établi un lien entre le risque comportemental et les conflits d'intérêts entre l'organisation et les intérêts personnels, la faiblesse des contraintes contextuelles et l'insuffisance des mécanismes d'audit et de retour d'information sur les décisions ( recherche sur les erreurs organisationnelles et humaines dans les institutions financières ).

Principe directeur : L’absence d’alerte indique seulement que le comportement technique surveillé est resté dans les limites attendues. Elle ne prouve pas que l’environnement de gouvernance est sain.

Le changement stratégique est simple : il s’agit de maintenir l’UEBA axée sur les comportements techniques et d’y ajouter une fonctionnalité distincte pour les indicateurs humains et organisationnels. Cette combinaison favorise une gouvernance préventive sans pour autant impliquer qu’un indicateur de risque constitue une preuve de culpabilité, d’intention, de tromperie ou de faute future.

Ce que l'UEBA observe et pourquoi cela reste important

Le principal atout de l'UEBA réside dans son accès à des preuves techniques structurées. Elle peut comparer l'activité actuelle d'un utilisateur avec des schémas établis et identifier les combinaisons justifiant une enquête.

Un déploiement typique pourrait examiner :

• Anomalies d'authentification : Connexions provenant de lieux, d'appareils ou de schémas horaires inhabituels.

• Accès privilégié : modifications de l’activité administrative, utilisation des autorisations ou accès aux systèmes sensibles.

• Déplacement de fichiers et de données : téléchargements, transferts, chargements ou accès à des référentiels inhabituels, en dehors des schémas de travail normaux.

• Mouvements latéraux : Connexions et comportements suggérant qu’un compte ou un appareil se déplace dans l’environnement.

• Activité du cloud : modifications de l’utilisation des SaaS, de l’accès au stockage, du partage et du comportement des applications.

• Anomalies d'identité : modifications inattendues affectant les comptes, rôles, sessions ou entités associés.

Les lignes de base nécessitent du temps et de la maintenance.

La mise en œuvre de l'UEBA nécessite généralement une période de référence de 90 jours pour distinguer les variations légitimes des comportements suspects, comme indiqué dans la présentation des cas d'utilisation de l'UEBA et des menaces internes de Sumo Logic . Durant les premières semaines, des actions peu fréquentes mais légitimes peuvent générer de faux positifs. Les analystes doivent affiner les règles de corrélation et normaliser l'activité par rôle, lieu et heure avant de pouvoir se fier au flux d'alertes.

Ce processus de référence est important car un seuil statique peut ne pas détecter les exfiltrations lentes et peu fréquentes et introduire du bruit lorsque les rôles, les saisons, les projets ou les processus métier évoluent. Le même résumé indique que l'analyse comportementale des utilisateurs (UEBA) basée sur l'apprentissage automatique peut réduire les faux positifs jusqu'à 60 % par rapport à la détection par règles, mais il souligne également sa dépendance opérationnelle. Le résultat nécessite des boucles de rétroaction continues et une maintenance de la configuration de référence, et non une configuration ponctuelle.

Les limites de l'UEBA n'en diminuent pas la valeur, mais définissent plutôt sa fonction. Elle détecte les manifestations techniques, met en corrélation les preuves et appuie les enquêtes. Elle n'offre pas une vision globale de l'intégrité, de la culture organisationnelle, des conflits éthiques ou de la qualité du contrôle de gestion.

L'angle mort que votre UEBA ne peut pas voir

Une grande institution financière peut disposer de procédures d'authentification standardisées, tandis qu'une équipe de négociation boursière est soumise à des pressions pour privilégier les revenus au détriment des contrôles. Une entité gouvernementale peut présenter un accès système ordinaire, alors que des solutions de contournement informelles deviennent monnaie courante. Un service de santé peut maintenir l'utilisation prévue des applications, tandis que les pénuries de personnel et les problèmes de communication augmentent le risque de divulgation involontaire.

Aucune de ces conditions ne génère nécessairement une alerte UEBA.

Trois situations qui laissent les équipes de sécurité aveugles

Des problèmes d'éthique et d'intégrité peuvent survenir en premier lieu. Un individu peut se trouver confronté à un conflit d'intérêts, à des pressions de la part de son supérieur hiérarchique ou à une tendance croissante à ignorer les règles sans modifier les systèmes qu'il utilise. Tant que cet individu n'accomplit pas d'action technique inhabituelle, l'UEBA ne dispose d'aucun écart de comportement à évaluer.

Le risque peut se concentrer sur une seule fonction, même si chaque utilisateur semble avoir des compétences normales. Plusieurs employés d'un même service peuvent présenter des indicateurs élevés liés au respect des politiques ou à des problèmes de gouvernance. Si chaque employé continue d'accéder aux systèmes dans le cadre de son autorisation, ses compétences techniques individuelles peuvent paraître normales. La concentration est organisationnelle, et pas nécessairement numérique.

Un comportement peut évoluer progressivement sans qu'aucune anomalie apparente ne soit constatée. Une personne peut devenir moins rigoureuse dans ses approbations, sa documentation, ses remontées d'information ou ses procédures, tout en continuant d'assumer ses responsabilités professionnelles habituelles. Ces changements progressifs restent généralement en deçà des seuils conçus pour détecter les écarts soudains.

Une synthèse d'IBM de 2024 a révélé que 83 % des organisations ont subi au moins une attaque interne au cours de l'année précédente , tandis que 48 % ont indiqué que le problème était devenu beaucoup plus fréquent ces 12 derniers mois ( Synthèse du rapport IBM sur les menaces internes de 2024 ). Ce même rapport a noté que la proportion d'organisations ayant subi entre 11 et 20 attaques internes est passée de 4 % à 21 % d'une année sur l'autre , illustrant ainsi la rapidité avec laquelle un environnement à risque peut dégénérer au-delà d'une simple surveillance réactive.

Ce contexte modifie la question posée aux dirigeants. Il ne s'agit plus seulement de savoir si la plateforme a détecté un accès inhabituel, mais aussi quelles conditions organisationnelles pourraient accroître la probabilité d'une décision préjudiciable et qui est responsable de la réponse à apporter.

Pour une planification pratique de la réponse suite à une exposition externe, les équipes de sécurité peuvent également consulter des lignes directrices sur la manière de réagir aux résultats d'analyses du dark web , en particulier lorsque des renseignements externes doivent être reliés à la gouvernance interne.

https://www.youtube.com/embed/KFQJk-w3u2U

Une analyse plus approfondie de cette distinction apparaît au niveau du facteur humain, que les programmes traditionnels de détection des menaces internes ne prennent pas en compte . L'idée essentielle est simple : l'analyse comportementale organisationnelle (UEBA) observe le comportement du système. La gestion des risques humains, quant à elle, examine le contexte organisationnel dans lequel les décisions sont prises.

Introduction de la couche de risque humain grâce à l'analyse des risques comportementaux.

L'analyse des risques comportementaux offre des capacités de gouvernance que la seule surveillance technique ne peut fournir. Elle révèle le contexte organisationnel existant, les indicateurs de risques comportementaux et liés à la main-d'œuvre, les zones critiques et les informations d'aide à la décision pour les responsables des ressources humaines, de la conformité, de la sécurité, des affaires juridiques, de l'audit interne et de la gestion des risques d'entreprise.

Elle doit également avoir des limites claires.

L’analyse des risques comportementaux ne permet pas d’établir la culpabilité, l’intention, la tromperie ou les comportements fautifs futurs . Elle ne transforme pas une préoccupation en accusation. Elle fournit aux décideurs autorisés des informations structurées pouvant servir de base à l’examen, à l’atténuation des risques, à la formation, à la validation des accès, aux mesures de gestion ou à des enquêtes complémentaires.

Le modèle à trois couches

La dimension humaine permet de saisir les indicateurs organisationnels, les signaux de gouvernance, les risques liés au travail et la visibilité de la direction. Elle aide les dirigeants à identifier les situations de pression, les écarts par rapport aux politiques, les faiblesses des contrôles ou les préoccupations concentrées qui requièrent une attention particulière.

La couche de cybersécurité comprend les technologies UEBA, SIEM, DLP, EDR, IAM, XDR et de détection des menaces internes. Ces systèmes surveillent en permanence l'authentification, l'accès, les appareils, les applications, les réseaux et les mouvements de données.

La couche de gouvernance transforme l'information en actions responsables grâce à la gestion des cas, l'automatisation des flux de travail, la responsabilisation en matière de risques, l'audit interne, la conformité réglementaire, l'examen juridique et les tableaux de bord de direction.

Cette architecture permet d'éviter une défaillance courante. Les équipes de sécurité ne doivent pas recevoir les indicateurs de risque humain sous forme d'allégations non structurées, et les ressources humaines ne doivent pas avoir à interpréter des données de sécurité brutes et décontextualisées. Chaque niveau conserve sa responsabilité respective tout en partageant une vue opérationnelle contrôlée.

Une mise en œuvre concrète pourrait inclure des structures organisationnelles documentées, des questions de gouvernance, des évaluations initiales, des profils de risque, des règles de routage et des processus de révision.L'analyse des risques comportementaux et son rôle dans la gouvernance d'entreprise constituent un point de référence utile pour définir cette capacité sans la réduire à une simple surveillance des employés.

La valeur réside dans la complémentarité . L'analyse comportementale des utilisateurs (UEBA) peut identifier un transfert de données inhabituel. L'analyse des risques humains peut révéler qu'un service rencontre des problèmes non résolus en matière de conformité aux politiques ou que ses contrôles de gestion nécessitent une révision. Les processus de gouvernance peuvent alors déterminer les mesures appropriées, les personnes chargées de les examiner et les preuves nécessaires.

Comment intégrer les systèmes d'alerte précoce dans les processus de gouvernance

N’intégrez pas la gestion des risques humains comme un simple panneau de contrôle isolé. Intégrez-la aux processus de gouvernance déjà en vigueur dans votre entreprise et définissez les responsabilités avant même l’apparition du premier signe d’alerte.

Commençons par le contexte commercial.

Identifiez les fonctions critiques de l'entreprise, les rôles à haut risque, les processus sensibles et les objectifs de gouvernance. Les secteurs de la banque, de l'assurance, de la défense, de la santé, de l'énergie, de l'industrie, des télécommunications, du commerce de détail, des transports, des technologies et de l'administration publique présentent tous des niveaux de risque différents. Un seuil unique et universel serait source de confusion.

Configurez les départements, les postes, les structures hiérarchiques, les questions de gouvernance et les responsabilités en matière de risques. Indiquez quelles questions relèvent des ressources humaines, de la conformité, de la sécurité, des affaires juridiques, de l'audit interne, de la gestion des risques ou de la direction générale.

Définissez l'itinéraire avant l'ascension.

Un signal relatif au respect des politiques peut relever du service Conformité ou des Ressources Humaines. Une faille dans les contrôles peut nécessiter l'intervention de la Gestion des Risques ou de l'Audit Interne. Un signal évoquant une activité technique suspecte doit être transmis au service Sécurité, avec l'implication du service Juridique en cas de questions de confidentialité, d'emploi ou de gestion des preuves.

Suivez ces étapes de mise en œuvre :

1. Établir une évaluation de référence : créer un profil de risque organisationnel initial et documenter les hypothèses sur lesquelles il repose.

2. Configurez les tableaux de bord de direction : affichez les tendances, les concentrations, les stocks ouverts, les responsabilités et le statut sans exposer d’informations personnelles inutiles.

3. Créer des règles de routage : définir les conditions d’envoi des informations aux Ressources humaines, à la Conformité réglementaire, à la Sécurité, au Service juridique, à l’Audit interne ou à la Gestion des risques.

4. Intégrer la gestion des cas : relier les indicateurs aux flux de travail existants pour les enquêtes, les mesures correctives, la formation, l’examen des accès et l’audit.

5. Analyser périodiquement les tendances : ajuster les thèmes et les seuils de gouvernance en fonction de l’évolution des priorités, des structures et des contrôles de l’entreprise.

Maintenez le processus proportionnel

Un indicateur de risque humain doit déclencher une analyse, et non une mesure de travail automatique. La direction doit évaluer le contexte, vérifier les faits pertinents, documenter la justification et mettre en œuvre la réponse la moins intrusive possible pour répondre au problème.

Un indicateur récurrent dans un domaine opérationnel peut déclencher une formation des managers, une clarification des politiques, des tests de contrôle ou un audit. Il ne doit pas entraîner automatiquement de mesures disciplinaires. Les organisations dont le personnel manipule des informations sensibles et utilise des environnements Microsoft peuvent également tirer profit d'une consultation des bonnes pratiques de sécurité des données M365 destinées aux responsables RH , notamment lorsque les informations RH doivent être gérées conjointement avec les processus de sécurité et de gouvernance.

Relier les preuves humaines et techniques

Le flux de travail opérationnel doit se poursuivre à travers les deux niveaux :

• Évaluation des risques humains : identifier les indicateurs organisationnels émergents.

• Bilan de direction : Prioriser les domaines qui nécessitent une attention particulière.

• Routage de la gouvernance : Attribuer le problème au rôle approprié.

• Action de leadership : Analyser le contexte et choisir une réponse proportionnée.

• Surveillance cybernétique : Continuez à surveiller les indicateurs techniques via UEBA, SIEM, DLP, EDR, IAM et les contrôles associés.

• Apporter son soutien à l'enquête : en cas d'incident technique, associer le contexte de gouvernance aux preuves techniques.

• Leçons apprises : améliorer les contrôles, la formation, les flux de travail et la résilience.

Cette approche permet une meilleure visibilité sans pour autant impliquer qu'un système puisse prédire avec précision les comportements répréhensibles.

Gouvernance, confidentialité et IA responsable sans surveillance.

Un système de gestion des risques humains est voué à l'échec si les employés et les autorités de réglementation le perçoivent comme une surveillance clandestine. Sa conception doit reposer sur la limitation de son objectif, la proportionnalité, la transparence, la responsabilité et le contrôle humain.

Le modèle opérationnel doit respecter les obligations et principes applicables, notamment les lignes directrices de l'EEOC sur l'IA dans l'emploi , la loi sur la protection des employés contre les tests polygraphiques et les directives du département du Travail des États-Unis , la loi californienne sur la protection de la vie privée , la loi locale 144 de la ville de New York (le cas échéant) et les principes du RGPD . Le décret présidentiel 14395 et l'initiative du département de la Justice relative à la directive nationale de lutte contre la fraude illustrent également l'importance croissante accordée à une gouvernance proactive et à des contrôles internes renforcés.

La plateforme doit être clairement définie :

• Ce n'est pas de la surveillance.

• Ce n'est pas un test polygraphique.

• Il ne s'agit pas d'un système de détection des fraudes.

• Il ne prend pas de décisions d'embauche automatisées.

• Génère des indicateurs pour un examen humain éclairé.

Cette distinction est importante tant sur le plan opérationnel que juridique. Les organisations doivent documenter la finalité du traitement, limiter l'accès aux seuls examinateurs autorisés, ne conserver que les informations nécessaires, expliquer le fonctionnement du système et interdire son utilisation pour les évaluations de productivité ou les décisions automatisées relatives au personnel. Elles doivent également associer les services juridiques, des ressources humaines et de conformité, ainsi que les représentants du personnel, le cas échéant.

Un aperçu pratique de l'analyse des risques humains et d'une gouvernance axée sur la protection de la vie privée peut aider les dirigeants à considérer cette capacité comme un outil d'aide à la décision plutôt que comme un critère d'évaluation. Les principes généraux de protection des données pour les équipes modernes sont également pertinents lors de la conception, par les organisations, de contrôles relatifs aux informations sensibles des employés.

L'IA responsable ne signifie pas abandonner les signaux utiles. Elle implique de limiter les affirmations du système, les personnes habilitées à agir sur la base de ses conclusions et la manière dont les décisions sont documentées.

Valeur ajoutée pour les dirigeants et indicateurs à suivre

La justification commerciale de la mise en place d'un système de gestion des risques humains ne doit pas reposer sur des pertes hypothétiques évitées. Il est nécessaire de mesurer si les dirigeants bénéficient d'une meilleure visibilité et si l'organisation gère les problèmes avec plus de rigueur.

Indice:

• Durée du cycle d'enquête : le temps nécessaire pour passer d'un problème signalé à une décision documentée.

• Priorisation des dossiers : Les questions les plus importantes sont-elles traitées avant les questions non pertinentes et de faible valeur ?

• Efficacité des flux de travail : avec quelle efficacité les départements des ressources humaines, de la sécurité, de la conformité réglementaire, des affaires juridiques, de l’audit et de la gestion des risques partagent-ils les responsabilités ?

• Effort de préparation de l'audit : rapidité avec laquelle les équipes peuvent générer des preuves d'examen, d'actions et de responsabilisation.

• Délai de réponse de la direction : le temps nécessaire à la direction pour identifier et traiter les indicateurs organisationnels pertinents.

La même logique s'applique aux secteurs de la banque, de l'assurance, de l'administration publique, de la défense, de la santé, des infrastructures critiques, de l'énergie, de l'industrie manufacturière, des télécommunications, du commerce de détail, des transports et des technologies. Chaque secteur requiert une détection technique, mais dépend également des personnes qui prennent les décisions dans un cadre de politiques, d'incitations, de hiérarchies et de contraintes opérationnelles.

Pour les RSSI, les CRO, les CCO, les DRH et les responsables d'audit, la liste de contrôle pour la prise de décision est simple :

1. Cartographie des responsabilités humaines, cybernétiques et de gouvernance.

2. Définir les limites de la vie privée et du contrôle humain.

3. Itinéraire vers les propriétaires responsables.

4. Assurez-vous que l'UEBA et les contrôles techniques fonctionnent comme prévu.

5. Mesurer la qualité des réponses, la rapidité du flux de travail et la vérifiabilité.

Logical Commander Software Ltd. propose E-Commander, une plateforme de gouvernance et d'analyse des risques comportementaux configurable et respectueuse de la vie privée. Cette plateforme centralise l'analyse des risques, les flux de travail structurés, les tableaux de bord, la documentation des preuves et l'aide à la décision interfonctionnelle. Visitez le site web de Logical Commander Software Ltd. pour découvrir comment une approche humaine du risque peut compléter vos programmes UEBA, SIEM, DLP, EDR, IAM et de lutte contre les menaces internes.