Conception et mise en oeuvre d'une culture sécurité des systèmes d'information : le cas des PME

Design and implementation of an information systems security culture : the case of SMEs

• Auteur / Autrice : Olfa Ismail
• Direction : Christian Cadiou, André Mourrain
• Type : Thèse de doctorat
• Discipline(s) : Sciences de gestion
• Date : Soutenance le 25/11/2021
• Etablissement(s) : Brest
• Ecole(s) doctorale(s) : École doctorale Sciences économiques et sciences de gestion (Rennes)
• Partenaire(s) de recherche : Laboratoire : Laboratoire d’Économie et de Gestion de l’Ouest
• Jury : Président / Présidente : Sandrine Berger-Douce
• Jury : Examinateurs / Examinatrices : Christian Cadiou, André Mourrain, Sandrine Berger-Douce, Marc Bidan, Yves Barlette, Hubert Tondeur
• Jury : Rapporteurs / Rapporteuses : Marc Bidan, Yves Barlette

Mots clés

Mots clés contrôlés

Formation

Utilisateurs d'ordinateurs

Mesures de sécurité

Petites et moyennes entreprises

Systèmes d'information -- Gestion

Mots clés libres

Culture sécurité

Sécurité des systèmes d’information (SSI)

Comportements de sécurité

PME

Security culture

Information systems security (ISS)

Security-related behaviour

SMEs

Résumé

Cette recherche vise à comprendre, conceptualiser et insuffler la culture sécurité des utilisateurs des systèmes d’information (SI) dans les PME, puisque la revue de littérature dans ce domaine a mis en évidence que les employés représentent le « maillon faible » de la sécurité des systèmes d’information (SSI). Dans un premier temps, nous avons réalisé une intervention au sein d’une PME, cette intervention consiste à sensibiliser et former un groupe d’utilisateurs sur la sécurité des SI ensuite évaluer l’effet de cette intervention sur la culture et les comportements de ces utilisateurs. Cette évaluation a montré une amélioration au niveau de la culture et des comportements des utilisateurs. Néanmoins, après des allers retours entre théorique et pratique, il s’avère que l’amélioration de la culture sécurité ne se limite pas uniquement à une sensibilisation et/ou une formation mais dépend aussi d’autres facteurs, d’où la nécessité de la prise en compte de la culture sécurité dans sa globalité et d’analyser cette culture dans une logique plus systémique. A cet effet, nous avons dans un deuxième temps élaboré notre modèle conceptuel de la culture sécurité à partir de la revue de littérature et de nos premiers résultats du terrain. Ensuite, pour confronter notre modèle conceptuel au terrain, nous avons réalisé une étude qualitative à travers l’étude de cas de huit PME en réalisant 32 entretiens semi directifs avec la direction et les utilisateurs SI de chaque PME étudiée. Les résultats de cette étude ont confirmé que des facteurs exogènes (Contexte légal, le secteur d’activité, etc.), des facteurs endogènes (gestion des risques, formation et sensibilisation) et le dirigeant de la PME influencent positivement la culture sécurité des utilisateurs du SI et en conséquence, une culture de sécurité positive est favorable à créer un comportement lié à la sécurité. D’autres facteurs tels que l’âge de l’utilisateur et son poste ont émergé de cette étude comme facteurs modérateurs dans la relation entre la culture sécurité de l’utilisateur et son comportement effectif.

This research seeks to understand, conceptualize and instill the security culture of information systems (IS) users in SMEs, as the literature review in this field has highlighted the fact that employees represent the "weak link" in information systems security (ISS). First, we conducted an intervention within an SME; this intervention consists in raising awareness and training a group of users on IS security and then, in evaluating the effect of this intervention on the culture and behaviors of these users. This assessment showed an improvement in the culture and behavior of the users. Nevertheless, after going back and forth between theory and practice, it turns out that the improvement of the security culture is not limited to awareness-raising and/or training alone, but also depends on other factors, hence the need to take into account the security culture in its entirety and to analyze this culture in a more systemic perspective. For this purpose, in a second stage, we developed our conceptual model of safety culture based on the literature review and our first field results. Then, in order to confront our conceptual model with reality, we carried out a qualitative study through the case study of eight SMEs, by conducting 32 semi-directive interviews with the leadership and the IS users of each SME studied. The results of this study confirmed that exogenous factors (legal context, sector of activity, etc.), endogenous factors (risk management, training and awareness) and the SME leader positively influence the security culture of IS users and, as a result, that a positive security culture is beneficial in creating security-related behavior. Other factors, such as the user's age and position, emerged from this study as moderating factors in the relationship between the user's security culture and actual behavior.