Lorsqu’on parle cybersécurité, on pense encore trop souvent pare-feu, antivirus ou systèmes d’information. Pourtant, lors du dernier club croisé RH x Cyber organisé par inovallée avec KAIZEN Solutions au sein du lycée du Grésivaudan le 30 juin dernier, un constat s’est imposé : la première ligne de défense d’une entreprise est humaine.
Et la fonction RH en est l’un des piliers.
Au-delà des obligations réglementaires, les échanges entre DRH, responsables cybersécurité et dirigeants ont mis en lumière 5 points de vigilance qui concernent directement la gouvernance de l’entreprise.
1. La cybersécurité est devenue un sujet RH
Longtemps perçue comme une responsabilité technique, la cybersécurité entre désormais dans le champ des ressources humaines. Les référentiels et réglementations récentes placent explicitement la sensibilisation, les compétences et la formation des collaborateurs au cœur du dispositif de protection. Le RGPD, NIS2, l’AI Act ou encore l’ISO 27001 rappellent tous l’importance du facteur humain dans la maîtrise des risques.
Pour les dirigeants, le message est clair : la cybersécurité ne peut plus être pilotée uniquement par la DSI ou le RSSI. Elle doit être intégrée aux processus RH et à la culture de l’entreprise.
2. Les données RH sont parmi les plus sensibles de l’entreprise
Les équipes RH gèrent des informations particulièrement recherchées par les cybercriminels : identité, coordonnées, rémunération, santé, données familiales, dossiers de carrière ou candidatures. Une fuite de ces informations peut avoir des conséquences majeures pour les collaborateurs comme pour l’entreprise. Les participants ont rappelé que ces bases de données permettent notamment d’alimenter des campagnes de phishing ciblées, des usurpations d’identité ou des tentatives de chantage.
3. Le recrutement est devenu un point d’entrée potentiel
Parmi les sujets ayant suscité le plus d’échanges, le recrutement apparaît comme une zone de risque souvent sous-estimée. Les pratiques évoluent rapidement : faux CV générés par IA, deepfakes lors des entretiens à distance, campagnes de phishing utilisant de fausses offres d’emploi ou encore fichiers malveillants transmis dans des candidatures.
Pour les entreprises, cela implique de renforcer les vérifications d’identité, de sécuriser les processus de recrutement et de sensibiliser les équipes aux nouvelles formes de fraude.
4. L’onboarding et les départs sont des moments critiques
Les participants ont également identifié deux étapes particulièrement sensibles du parcours collaborateur : l’arrivée et le départ. Accès ouverts trop largement, absence de sensibilisation dès le premier jour, droits jamais révisés après une mobilité interne, comptes actifs après un départ ou matériel non restitué constituent autant de vulnérabilités fréquentes.
La bonne pratique consiste à traiter l’intégration et les départs comme des processus conjoints RH-Cyber, avec des responsabilités clairement définies et partagées.
5. RH et cyber ont tout intérêt à travailler ensemble
L’atelier a également permis de confronter les perceptions. D’un côté, certaines équipes RH voient encore la cybersécurité comme un univers de contraintes, de règles et d’interdictions. De l’autre, les experts cyber considèrent les RH comme un maillon essentiel, propriétaire de données extrêmement sensibles et responsable de processus particulièrement exposés.
Le principal enseignement de cette rencontre est probablement là : la cybersécurité n’est ni un sujet IT ni un sujet RH. C’est un sujet d’entreprise qui nécessite une coopération étroite entre les métiers, les ressources humaines, les équipes techniques et la direction générale.
En conclusion
La question n’est plus de savoir si les RH doivent s’intéresser à la cybersécurité, mais comment intégrer durablement cette dimension dans chaque étape du parcours collaborateur. Comme l’ont souligné les participants de ce club croisé, « la cybersécurité n’est plus une question technique. C’est une décision de gouvernance ».
