Dans presque toutes les entreprises qui ont subi un incident sérieux, quelqu’un avait remarqué quelque chose avant. Un message étrange, une fenêtre inhabituelle, un fichier qui s’ouvre mal. La personne n’a rien dit, ou elle a attendu.
Elle n’a pas attendu par négligence. Elle a attendu parce qu’elle n’était pas sûre, qu’elle ne voulait pas déranger pour rien, et qu’elle craignait la réaction. Pendant ce temps, une attaque qui aurait pu être arrêtée en vingt minutes a eu deux jours pour se déployer.
C’est tout le sujet de la culture de sécurité. Il ne s’agit pas de faire des gens des experts. Il s’agit de faire en sorte qu’ils parlent vite.
Le délai de signalement décide de tout
Un incident informatique n’est pas un événement, c’est une durée.
Quand un identifiant est volé, l’attaquant ne vide pas immédiatement les comptes. Il regarde, il lit les messages, il apprend comment l’entreprise fonctionne, qui valide les paiements et sur quel ton les gens s’écrivent. Cette phase discrète dure parfois des semaines. C’est exactement ce que nous décrivons dans notre article sur la compromission de messagerie.
Chaque heure gagnée sur cette durée réduit l’ampleur des dégâts. Signaler dans l’heure permet souvent de couper l’accès avant tout mouvement d’argent. Signaler le lendemain matin, c’est parfois déjà trop tard.
Or ce délai ne dépend d’aucun outil. Il dépend de ce que la personne anticipe comme réaction. Une entreprise peut installer les meilleurs filtres du marché : si son équipe redoute d’annoncer une mauvaise nouvelle, elle perdra à chaque fois les heures qui comptent.
Qu’est-ce qui tue une culture de sécurité ?
Trois pratiques suffisent, et aucune n’est mal intentionnée.
Chercher un coupable. Après un incident, la question « qui a cliqué » arrive naturellement. Elle semble légitime, elle paraît même méthodique. Elle est pourtant sans utilité opérationnelle : savoir qui a cliqué ne change rien à ce qu’il faut faire dans l’heure. En revanche, toute l’équipe enregistre la question, et en tire la conclusion évidente pour la prochaine fois.
Afficher les résultats nominatifs d’une simulation. Une simulation de hameçonnage, c’est un faux message piégé envoyé volontairement aux collaborateurs pour mesurer les réflexes. L’outil peut être utile, et notre article sur les simulations d’hameçonnage décrit les conditions à respecter pour qu’il le reste. Publier la liste de ceux qui ont cliqué le transforme en humiliation publique. Les personnes concernées ne deviennent pas plus vigilantes, elles deviennent méfiantes envers leur employeur, et elles cessent de signaler les vrais messages douteux par crainte qu’il s’agisse encore d’un test.
Ridiculiser une question naïve. « Comment on sait si un site est sécurisé ? » Un soupir, un regard entendu, et la personne ne posera plus jamais de question. Elle continuera pourtant d’utiliser l’outil, simplement sans demander. Chaque question non posée est un risque qui reste dans l’entreprise.
Beaucoup de dirigeants trouvent rassurant de n'avoir jamais rien à traiter. C'est en réalité le signal le plus inquiétant. Les messages frauduleux arrivent dans toutes les boîtes, sans exception. Si personne ne remonte jamais rien, ce n'est pas que rien n'arrive : c'est que rien ne remonte. Le jour où un incident sérieux se produira, il sera découvert tard, par ses conséquences.
Qu’est-ce qui la construit ?
Les gestes efficaces sont peu nombreux et coûtent peu.
Remercier publiquement celui qui signale, y compris pour une fausse alerte. C’est le geste le plus rentable de toute la démarche. Quand une personne transmet un message suspect qui se révèle parfaitement légitime, la tentation est de répondre que ce n’était rien. Faites l’inverse : dites en réunion que c’était un bon réflexe, et que c’est exactement ce qu’il faut faire. Vous venez de fixer le niveau de vigilance acceptable pour tout le monde, sans avoir eu besoin d’une formation.
Expliquer le pourquoi des règles. Une consigne sans justification est vécue comme une contrainte arbitraire, et une contrainte arbitraire se contourne dès qu’elle gêne. « Changez de mot de passe » ne produit rien. « Si ce mot de passe est aussi celui de votre boutique en ligne préférée et que cette boutique se fait pirater, quelqu’un pourra lire votre messagerie professionnelle » produit un changement de comportement. Notre article sur le hameçonnage fournit ce genre d’explications concrètes, réutilisables telles quelles en interne.
Accepter qu’une règle inapplicable soit contournée, et donc la corriger. C’est le point le plus difficile pour une direction, parce qu’il suppose d’admettre qu’on s’est trompé.
La sécurité qui empêche de travailler est contournée
Ce n’est pas une hypothèse, c’est une constante.
Si l’envoi d’un document à un client demande trois validations, les gens utiliseront leur messagerie personnelle. Si le partage de fichiers officiel est lent, ils passeront par une clé USB. Si le mot de passe doit changer tous les trente jours et respecter huit contraintes, il sera noté sur un papier sous le clavier, avec un chiffre incrémenté à chaque fois.
Réunissez l'équipe et demandez : « Qu'est-ce qui vous complique la vie dans nos règles informatiques ? » Écoutez sans corriger, sans justifier, et notez. Chaque réponse désigne un contournement qui existe déjà, ou qui existera bientôt. Corriger une règle inapplicable protège davantage que la répéter.
Une règle réaliste vaut mieux qu’une règle idéale contournée. Mieux vaut un partage de fichiers professionnel un peu moins verrouillé que tout le monde utilise, qu’un dispositif parfait que personne n’ouvre. Les mesures décrites dans le pilier Bonnes pratiques ne valent que si elles sont appliquées au quotidien.
Quel est le rôle d’exemple de la direction ?
Une culture de sécurité se juge sur ce que fait la direction, pas sur ce qu’elle dit.
Un dirigeant qui demande une exception pour lui-même, qui refuse la double authentification parce que c’est agaçant, ou qui exige un accès permanent à tout, annonce clairement que ces règles concernent les autres. Aucune séance de sensibilisation ne rattrapera ce message.
L’enjeu est en plus très concret. Les dirigeants et les responsables financiers sont les cibles les plus recherchées, parce qu’ils disposent de l’autorité pour valider un paiement. C’est le ressort exact de la fraude au président, qui a fait l’objet de 605 annonces d’entreprises suisses au premier semestre 2025 et de 366 au second.
Il y a un dernier geste, gratuit et redoutablement efficace : raconter sa propre hésitation. Un dirigeant qui dit avoir failli répondre à un faux message fournisseur autorise toute son équipe à admettre la même chose.
Cette exemplarité suppose que la direction se soit formée la première, avant ses équipes, et pour de vraies raisons plutôt que par principe. Nous les exposons dans former la direction en premier.
La première phrase compte plus que le reste
Quelqu’un vient vous voir. Il a cliqué, il a saisi son mot de passe sur une fausse page, il a transmis un fichier à la mauvaise personne. Il est mal à l’aise, et il hésite depuis vingt minutes devant votre porte.
Ce que vous dites dans les cinq secondes qui suivent produira plus d’effet que toutes vos actions de sensibilisation de l’année. Toute l’équipe le saura avant le soir.
| Situation | Ce qui ferme la porte | Ce qui l’ouvre |
|---|---|---|
| Un collaborateur signale un clic | « Comment avez-vous pu tomber là-dedans ? » | « Merci de me le dire tout de suite, on s’en occupe. » |
| Une fausse alerte | « Ce n’était rien, ne me dérangez pas pour ça. » | « Bon réflexe, c’est exactement ce qu’il faut faire. » |
| Une question de base | « Vous devriez le savoir depuis le temps. » | « Bonne question, personne ne l’avait posée. » |
| Une règle contournée | « La consigne est pourtant claire. » | « Pourquoi elle ne marche pas ? On va la revoir. » |
Ensuite seulement viennent les gestes techniques : isoler le poste, changer les mots de passe concernés, regarder ce qui a pu être atteint. Notre article sur les premières heures après une attaque détaille cette marche à suivre.
Qu’apporte un regard extérieur ici ?
La culture d’une entreprise ne se sous-traite pas. Personne ne peut construire à votre place la confiance qui fait qu’un collaborateur vient vous parler un vendredi soir. Cela se joue dans des dizaines de petites interactions, sur des années, et cela vous appartient entièrement.
Un regard extérieur sert à autre chose : voir ce que l’habitude a rendu invisible. Une entreprise ne perçoit plus ses propres évidences. L’accès partagé que tout le monde utilise depuis six ans, la boîte générique dont personne ne connaît plus le mot de passe, la procédure de paiement dont chacun croit qu’un autre la vérifie. Ces angles morts ne sont pas des négligences, ce sont des arrangements devenus normaux.
Ces principes constituent un socle réel, ils ne remplacent pas un examen de votre organisation telle qu’elle fonctionne vraiment. Pour situer votre point de départ, le check-up cyber comporte plusieurs questions sur le signalement et les habitudes internes. Les autres articles de sensibilisation, dont l’accueil d’un nouveau collaborateur, sont regroupés dans le pilier Formation, et nos formations en ligne pour les PME romandes reprendront ces principes sous une forme prête à suivre.