Lors du dernier club croisé RH x Cyber organisé par inovallée avec KAIZEN Solutions au lycée du Grésivaudan, le 30 juin, un constat s’est imposé aux DRH, responsables cybersécurité et dirigeants présents : la première ligne de défense d’une entreprise est humaine. La cybersécurité ne relève plus seulement des pare-feu, antivirus ou systèmes d’information ; elle devient un sujet de gouvernance auquel la fonction RH contribue directement.

Premier enseignement : la cybersécurité entre désormais pleinement dans le champ RH. Les cadres récents comme le RGPD, NIS2, l’AI Act ou l’ISO 27001 placent la sensibilisation, les compétences et la formation des collaborateurs au centre du dispositif de protection. Pour les dirigeants, cela signifie que la cybersécurité ne peut plus être pilotée uniquement par la DSI ou le RSSI, mais doit être intégrée aux processus RH et à la culture d’entreprise.

Deuxième point : les données RH figurent parmi les plus sensibles de l’organisation. Identité, coordonnées, rémunération, santé, données familiales, dossiers de carrière ou candidatures sont particulièrement recherchés par les cybercriminels. Une fuite peut alimenter du phishing ciblé, des usurpations d’identité ou des tentatives de chantage, avec des conséquences lourdes pour les salariés comme pour l’entreprise.

Troisième vigilance : le recrutement est devenu un point d’entrée potentiel. Les participants ont cité plusieurs menaces en forte évolution, comme les faux CV générés par IA, les deepfakes en entretien à distance, les fausses offres d’emploi utilisées pour du phishing ou encore l’envoi de fichiers malveillants via les candidatures. D’où la nécessité de renforcer les vérifications d’identité, de sécuriser les processus et de sensibiliser les équipes RH à ces nouvelles fraudes.

Quatrième enseignement : l’onboarding et les départs sont des moments critiques du parcours collaborateur. Accès trop larges, absence de sensibilisation dès le premier jour, droits non révisés après une mobilité interne, comptes encore actifs après un départ ou matériel non restitué créent des vulnérabilités fréquentes. La recommandation est de traiter ces étapes comme des processus communs RH-Cyber, avec des responsabilités clairement partagées.

Enfin, l’atelier a mis en évidence la nécessité d’une coopération étroite entre RH et cybersécurité. Certaines équipes RH perçoivent encore la cyber comme un ensemble de contraintes, tandis que les experts cyber considèrent les RH comme un maillon essentiel, détenteur de données très sensibles et responsable de processus exposés. Le message central est clair : la cybersécurité n’est ni un sujet IT ni un sujet RH, mais un sujet d’entreprise qui implique métiers, RH, équipes techniques et direction générale.

La conclusion des participants résume l’enjeu : il ne s’agit plus de savoir si les RH doivent s’intéresser à la cybersécurité, mais comment l’intégrer durablement à chaque étape du parcours collaborateur. « La cybersécurité n’est plus une question technique. C’est une décision de gouvernance. »

Lorsqu’on parle cybersécurité, on pense encore trop souvent pare-feu, antivirus ou systèmes d’information. Pourtant, lors du dernier club croisé RH x Cyber organisé par inovallée avec KAIZEN Solutions au sein du lycée du Grésivaudan le 30 juin dernier, un constat s’est imposé : la première ligne de défense d’une entreprise est humaine.

Et la fonction RH en est l’un des piliers.

Au-delà des obligations réglementaires, les échanges entre DRH, responsables cybersécurité et dirigeants ont mis en lumière 5 points de vigilance qui concernent directement la gouvernance de l’entreprise.

1. La cybersécurité est devenue un sujet RH

Longtemps perçue comme une responsabilité technique, la cybersécurité entre désormais dans le champ des ressources humaines. Les référentiels et réglementations récentes placent explicitement la sensibilisation, les compétences et la formation des collaborateurs au cœur du dispositif de protection. Le RGPD, NIS2, l’AI Act ou encore l’ISO 27001 rappellent tous l’importance du facteur humain dans la maîtrise des risques.

Pour les dirigeants, le message est clair : la cybersécurité ne peut plus être pilotée uniquement par la DSI ou le RSSI. Elle doit être intégrée aux processus RH et à la culture de l’entreprise.

2. Les données RH sont parmi les plus sensibles de l’entreprise

Les équipes RH gèrent des informations particulièrement recherchées par les cybercriminels : identité, coordonnées, rémunération, santé, données familiales, dossiers de carrière ou candidatures. Une fuite de ces informations peut avoir des conséquences majeures pour les collaborateurs comme pour l’entreprise. Les participants ont rappelé que ces bases de données permettent notamment d’alimenter des campagnes de phishing ciblées, des usurpations d’identité ou des tentatives de chantage.

3. Le recrutement est devenu un point d’entrée potentiel

Parmi les sujets ayant suscité le plus d’échanges, le recrutement apparaît comme une zone de risque souvent sous-estimée. Les pratiques évoluent rapidement : faux CV générés par IA, deepfakes lors des entretiens à distance, campagnes de phishing utilisant de fausses offres d’emploi ou encore fichiers malveillants transmis dans des candidatures.

Pour les entreprises, cela implique de renforcer les vérifications d’identité, de sécuriser les processus de recrutement et de sensibiliser les équipes aux nouvelles formes de fraude.

4. L’onboarding et les départs sont des moments critiques

Les participants ont également identifié deux étapes particulièrement sensibles du parcours collaborateur : l’arrivée et le départ. Accès ouverts trop largement, absence de sensibilisation dès le premier jour, droits jamais révisés après une mobilité interne, comptes actifs après un départ ou matériel non restitué constituent autant de vulnérabilités fréquentes.

La bonne pratique consiste à traiter l’intégration et les départs comme des processus conjoints RH-Cyber, avec des responsabilités clairement définies et partagées.

5. RH et cyber ont tout intérêt à travailler ensemble

L’atelier a également permis de confronter les perceptions. D’un côté, certaines équipes RH voient encore la cybersécurité comme un univers de contraintes, de règles et d’interdictions. De l’autre, les experts cyber considèrent les RH comme un maillon essentiel, propriétaire de données extrêmement sensibles et responsable de processus particulièrement exposés.

Le principal enseignement de cette rencontre est probablement là : la cybersécurité n’est ni un sujet IT ni un sujet RH. C’est un sujet d’entreprise qui nécessite une coopération étroite entre les métiers, les ressources humaines, les équipes techniques et la direction générale.

En conclusion

La question n’est plus de savoir si les RH doivent s’intéresser à la cybersécurité, mais comment intégrer durablement cette dimension dans chaque étape du parcours collaborateur. Comme l’ont souligné les participants de ce club croisé, « la cybersécurité n’est plus une question technique. C’est une décision de gouvernance ».

L’article RH & cybersécurité : 5 enseignements concrets tirés du dernier interclub inovallée est apparu en premier sur inovallée.