Le dogmatisme en cybersécurité fait parfois plus de dégâts sur l’expérience client que les menaces qu’il tente d’éviter.
Soyons clairs. On devait rehausser la cybersécurité. C’était troué de partout. Mais en ce moment, on la plaque partout… sans intelligence d’usage.
L’autre jour, j’ai passé deux appels. Mon institution financière et un organisme gouvernemental. Dans les deux cas, la conversation a été majoritairement une longue série de questions de sécurité pour prouver que c’était bien moi. La partie utile, à la fin, a pris à peine une minute.
Quand on passe plus de temps à m’authentifier qu’à me servir, ce n’est plus de la sécurité. C’est un problème de conception. Et ça devient inacceptable.
La cybersécurité s’intègre souvent très maladroitement dans le parcours client, comme un contrôle de sécurité d’aéroport en sortant d’un magasin. Et elle redessine l’expérience client… sans avoir à vivre avec les conséquences.
Plus il y a d’étapes, plus les gens décrochent. On voulait augmenter la vigilance. On nourrit du relâchement à force d’irriter les utilisateurs. Ce n’est pas un problème de sécurité. C’est un problème de dogmatisme.
Peut-être que la prochaine étape, ce n’est pas d’ajouter des contrôles. C’est de concevoir la sécurité avec l’expérience… sinon elle devient juste une barrière de plus que les gens vont apprendre à contourner.
Sinon, on va continuer à protéger les systèmes… en perdant les gens. Comme le rappelle Bruce Schneier, une sécurité qui ignore le comportement humain finit souvent par échouer.