Points clés
- Les ressources humaines sont un acteur indispensable de la gestion du risque numérique — pas un acteur secondaire qui reçoit des demandes de l'IT mais un partenaire actif dans la conception et l'application des contrôles.
- Les processus RH touchent à tous les moments critiques du cycle de vie des accès : recrutement, onboarding, mobilité interne, et offboarding.
- La DRH dispose d'une information unique sur les signaux humains précurseurs d'incidents — turnover, tensions, frustrations — qu'aucun outil technique ne peut collecter.
- La coopération structurée entre RH, RSSI et IT est un facteur de maturité différenciant pour la gestion des risques humains.
La gestion du risque numérique est trop souvent perçue comme une responsabilité exclusive des équipes IT et sécurité. Cette perception sous-estime le rôle central que les ressources humaines jouent dans la gestion du facteur humain — qui est, comme documenté, la première cause d'incident de sécurité. Sans une intégration active des RH dans les processus de sécurité, les organisations disposent d'outils techniques sans le contexte humain indispensable pour les utiliser efficacement.
Les ressources humaines ont un accès privilégié aux informations qui alimentent les risques humains : elles savent qui part, qui est insatisfait, qui change de rôle, qui travaille dans des conditions inhabituelles. Cette information, partagée dans un cadre légal et éthique approprié avec les équipes de sécurité, transforme la capacité de détection précoce des risques.
Les processus RH comme infrastructure de sécurité
Chaque étape du cycle de vie d'un employé est un moment de risque de sécurité qui doit être géré par un processus incluant les RH : le recrutement (vérification des antécédents, protection des informations pendant le processus), l'onboarding (attribution des accès minimaux nécessaires, formation initiale), la mobilité interne (adaptation des accès au nouveau rôle, révocation des accès de l'ancien rôle), et l'offboarding (révocation complète des accès, entretien de sortie, récupération des actifs).
Ces processus ne sont efficaces que s'ils sont co-conçus par les RH et les équipes IT/sécurité, avec des responsabilités clairement réparties et des systèmes connectés qui permettent la synchronisation automatique des statuts entre le SIRH et les systèmes d'accès.
La DRH comme capteur de signaux faibles
La DRH détecte des signaux précurseurs d'incidents que les équipes sécurité ne voient pas : un taux d'absentéisme inhabituel dans une équipe sensible, des entretiens de rétention qui révèlent une insatisfaction profonde, des demandes de départ vers des concurrents identifiés, des plaintes sur des conditions de travail dégradées. Ces signaux, partagés avec les équipes sécurité dans le respect des obligations légales de confidentialité des données personnelles, permettent d'ajuster les mesures de surveillance et de prévention proactivement.
Cette coopération exige un cadre de partage d'informations formalisé entre RH et RSSI — avec des règles claires sur ce qui peut être partagé, dans quel but et avec quelles protections — pour que la valeur de l'information soit capturée sans créer de risques légaux ou éthiques.
La formation à la sécurité comme processus RH
L'efficacité des programmes de formation à la sécurité dépend fortement de leur intégration dans les processus RH : formation initiale obligatoire à l'onboarding, renouvellements réguliers inclus dans les plans de développement, formations spécifiques aux changements de rôle ou de contexte. Les formations déconnectées des processus RH — modules en ligne optionnels, rappels génériques envoyés par email — ont des taux d'adoption et d'impact documentés très inférieurs aux formations intégrées dans les parcours de développement professionnel.
Construire la coopération RH-RSSI : une décision de direction
La coopération entre DRH et RSSI ne s'instaure pas spontanément — les cultures professionnelles, les priorités et les vocabulaires de ces deux fonctions sont souvent très différents. La construire exige un mandat explicite de la direction générale définissant les domaines de coopération attendus, les processus communs à développer et les indicateurs communs à mesurer. Sans ce mandat, les deux fonctions restent dans leurs silos respectifs, traitant le même problème — le facteur humain — de manière non coordonnée et donc moins efficace.
Études de cas
Programme intégré RH-Sécurité — Banque internationale
Une grande banque internationale a formalisé un programme de coopération entre sa DRH et son RSSI incluant : des briefings mensuels entre les deux fonctions sur les événements RH significatifs (départs sensibles, restructurations, nouvelles embauches dans des rôles critiques), une intégration directe entre le SIRH et le système IAM pour la synchronisation automatique des accès, et des formations co-développées par les équipes RH et sécurité. Ce programme, documenté dans un cas d'étude de l'ISACA, a produit une réduction de 40% des incidents liés aux départs dans les deux années suivant sa mise en oeuvre.
Détection précoce via la DRH — Secteur technologique américain
Plusieurs entreprises technologiques américaines ont documenté des cas où des signaux captés par la DRH — demandes inhabituelles d'informations contractuelles, demandes d'accès à des données hors du périmètre habituel concomitantes avec des discussions salariales avec des concurrents — ont conduit à des investigations préventives révélant des exfiltrations en cours ou planifiées. Dans ces cas, la coopération RH-sécurité a permis d'intervenir avant que l'exfiltration soit complète, limitant significativement l'impact.
Onboarding sécurisé — Mise en oeuvre dans une organisation de santé
Un grand réseau hospitalier américain a revu son processus d'onboarding pour intégrer systématiquement les principes du moindre privilège (accès initiaux strictement limités au minimum nécessaire), une formation à la sécurité obligatoire avant tout accès aux systèmes cliniques, et une revue des accès à 90 jours après l'embauche. Ce processus, co-développé par les RH, l'IT et les équipes cliniques, a réduit significativement les incidents liés aux nouveaux employés — historiquement une population à risque élevé du fait d'une formation insuffisante et d'accès trop larges accordés par défaut.
États-Unis — SHRM et les ressources humaines dans la cybersécurité
La Society for Human Resource Management (SHRM) a publié des guides sur le rôle des professionnels RH dans la cybersécurité, documentant comment les compétences et les processus RH sont indispensables pour gérer efficacement le facteur humain dans la sécurité. Ces guides, utilisés par des milliers de professionnels RH américains, constituent une reconnaissance institutionnelle du rôle central des RH dans la stratégie de cybersécurité — au-delà du rôle administratif qui leur est souvent assigné implicitement.
France — CNIL et les données RH dans la gestion de la sécurité
La CNIL a publié des recommandations sur le partage des données RH avec les équipes de sécurité, définissant le cadre légal dans lequel ces partages sont possibles et ceux qui ne le sont pas. Ces recommandations, qui précisent notamment les conditions dans lesquelles des informations RH peuvent être utilisées pour des décisions de sécurité (surveillance renforcée lors de départs annoncés, restriction d'accès lors d'enquêtes disciplinaires), permettent aux organisations françaises de structurer une coopération RH-sécurité efficace dans le respect du cadre légal.
Singapour — Personal Data Protection Act et gestion des données RH en sécurité
La PDPA singapourienne encadre l'utilisation des données personnelles des employés, incluant leur utilisation par les équipes de sécurité dans le cadre de la gestion des risques. La CSA et le PDPC ont publié des guides conjoints sur la coopération RH-sécurité dans ce cadre légal, permettant aux organisations d'utiliser les informations RH pertinentes pour la gestion du risque tout en respectant les droits des employés. Ce cadre équilibré est cité comme modèle dans la région ASEAN pour la gouvernance de la coopération RH-sécurité.