La plupart des PME qui forment leurs équipes le font une fois par année, sur une demi-journée, avec un intervenant externe et beaucoup de bonne volonté. Trois mois plus tard, il ne reste presque rien. Ce n’est pas un problème de motivation ni de qualité de l’intervenant. C’est un problème de format.
Un programme de sensibilisation efficace ne demande ni service formation, ni budget important. Il demande de la régularité, un sujet à la fois, et un moyen honnête de vérifier qu’il produit quelque chose.
Pourquoi la séance annuelle unique ne fonctionne-t-elle pas ?
Une information reçue une seule fois s’efface vite. C’est vrai pour n’importe quel apprentissage, et particulièrement pour des consignes que l’on n’applique pas tous les jours. Quelques semaines après la séance, le collaborateur se souvient qu’il faut « faire attention aux mails bizarres », mais plus des signaux concrets qui distinguent un message légitime d’une tentative d’hameçonnage.
Le problème est aggravé par le format lui-même. Trois heures d’affilée sur une dizaine de thèmes produisent une saturation. On retient le début, un peu la fin, et rien du milieu.
À temps total égal, cinq séquences de vingt minutes réparties sur l'année produisent un effet nettement plus durable qu'une séance unique de deux heures. Ce n'est pas le volume d'information qui compte, c'est le nombre de fois où le sujet revient. Chaque rappel réactive ce qui commençait à s'effacer.
Il y a une deuxième raison, plus stratégique. Les modes d’attaque évoluent pendant l’année. Une formation annuelle décrit le paysage d’il y a onze mois. Un programme qui revient régulièrement permet d’intégrer ce qui circule maintenant, y compris les tentatives que votre propre entreprise a reçues.
Quel format est réaliste pour une PME ?
Le format qui tient dans la durée est volontairement modeste : quinze à trente minutes, quatre à six fois par année, sur un seul sujet à chaque fois.
Trois principes le rendent applicable sans service formation.
Un sujet unique par séquence. Traiter l’hameçonnage et les mots de passe le même jour dilue les deux. Une séquence, un message, une action à retenir.
Un moment déjà existant. Greffez la séquence sur une réunion d’équipe, un point mensuel ou un briefing. Créer un nouveau rendez-vous dans l’agenda est le meilleur moyen de le voir annulé dès le premier trimestre chargé.
Des exemples qui viennent de chez vous. Le message le plus efficace est une vraie tentative reçue par l’entreprise, anonymisée et projetée à l’écran. Elle porte le nom de vos fournisseurs, votre vocabulaire, vos montants. Aucun exemple générique n’a cette force.
Prévoyez aussi une séquence d’accueil pour toute nouvelle personne. Une sensibilisation à l’arrivée, même de dix minutes, vaut mieux que d’attendre huit mois la prochaine séance collective.
Un programme annuel prêt à l’emploi
L’ordre des thèmes n’est pas indifférent. On commence par la porte d’entrée la plus fréquente, puis on remonte vers ce qui protège les comptes, puis vers les attaques qui visent directement l’argent.
| Période | Thème | Message à faire passer | Support |
|---|---|---|---|
| Janvier | Hameçonnage | Reconnaître un message qui cherche à faire cliquer dans l’urgence | Vraies tentatives reçues par l’entreprise |
| Mars | Mots de passe et double authentification | Un mot de passe unique par service, et une deuxième preuve pour les accès sensibles | Démonstration du gestionnaire de mots de passe interne |
| Mai | Fraude au virement | Toute demande de paiement ou de changement de coordonnées se vérifie par un autre canal | Scénario joué à voix haute en réunion |
| Septembre | Données personnelles | Ce qui est confidentiel, où cela se stocke, ce qui ne s’envoie pas par messagerie | Exemples de documents internes |
| Novembre | Le réflexe du doute | Qui prévenir, comment, et pourquoi signaler n’expose à aucune sanction | Rappel de la procédure, une page A4 |
Ce calendrier est un point de départ, pas une norme. Une entreprise qui traite beaucoup de paiements avancera la séquence sur la fraude au virement. Une entreprise qui vient de subir une tentative d’hameçonnage traitera le sujet la semaine suivante, pendant qu’il est concret pour tout le monde.
Chaque thème correspond à une menace détaillée ailleurs sur ce site, ce qui vous donne la matière pour préparer la séquence : l’hameçonnage, la fraude au président et l’ingénierie sociale.
Adapter au métier, sinon la moitié de l’effet est perdue
Une séance identique pour toute l’entreprise part d’une intention louable et produit un résultat moyen. Les collaborateurs ne sont pas exposés aux mêmes attaques selon leur poste.
La comptabilité reçoit des demandes de paiement urgentes, des changements de coordonnées bancaires de fournisseurs, des factures modifiées. C’est la fonction la plus directement visée par la fraude au virement.
Les commerciaux et la direction exposent publiquement leur adresse, leur fonction et leurs déplacements. Ils reçoivent des messages personnalisés, construits à partir d’informations réelles trouvées en ligne.
Les équipes de production ou d’atelier utilisent souvent des postes partagés, des tablettes de chantier, parfois des équipements connectés. Leur risque tient davantage aux accès partagés et aux clés USB qu’aux courriels ciblés.
Scénario type. Une PME de vingt personnes garde ses cinq séquences communes, et ajoute vingt minutes réservées à la comptabilité : un exercice où le responsable lit à voix haute un faux courriel de fournisseur annonçant un nouveau numéro IBAN. L'équipe décrit ce qu'elle ferait. La règle qui en sort tient en une phrase, elle est écrite et affichée : tout changement de coordonnées bancaires se confirme par téléphone, au numéro que nous avions déjà.
Que faut-il mesurer vraiment ?
C’est l’endroit où la plupart des programmes se trompent. On mesure le nombre de personnes formées, parce que c’est facile à compter. Cet indicateur ne dit rien : il mesure la présence, pas le comportement.
Trois indicateurs sont bien plus parlants.
Le nombre de signalements, qui doit augmenter. Une hausse des messages suspects remontés à l’interne est un bon signe, pas un mauvais. Elle signifie que les collaborateurs repèrent et osent dire. Une entreprise où personne ne signale jamais rien n’est pas une entreprise épargnée, c’est une entreprise aveugle.
Le délai de signalement. Entre le moment où quelqu’un clique et le moment où il le dit, il s’écoule des heures ou des jours. Ce délai détermine directement l’ampleur des dégâts. Le voir se réduire d’une semaine à une heure vaut tous les taux de participation.
La proportion de faux positifs. Des collaborateurs qui signalent parfois des messages parfaitement légitimes ne sont pas un problème, c’est le signe d’une vigilance active. L’inverse mérite l’attention.
Pour obtenir ces trois chiffres sans attendre une vraie attaque, il existe un outil : les simulations d’hameçonnage, utiles à condition de mesurer le taux de signalement autant que le taux de clic, et de ne jamais publier de résultats nominatifs.
Un simple tableau partagé, avec la date, le type de message et le délai entre réception et signalement, suffit à suivre l'évolution sur une année. C'est l'outil de mesure le moins coûteux qui existe, et le seul qui vous dise si votre programme change quelque chose plutôt que s'il a été suivi.
Quelles ressources gratuites utiliser ?
Vous n’avez pas besoin de tout produire vous-même.
La campagne nationale S-U-P-E-R, portée par la Confédération et ses partenaires de la prévention, propose des supports en français structurés autour de quatre gestes : mettre à jour, sauvegarder, protéger les accès et rester attentif aux messages. Le format est court et directement projetable en réunion.
Le Portail PME de la Confédération regroupe des fiches destinées aux entreprises, et l’Office fédéral de la cybersécurité publie régulièrement des exemples d’attaques en cours en Suisse, qui font d’excellents supports de séquence parce qu’ils sont d’actualité. iBarry propose des contenus de sensibilisation grand public réutilisables tels quels.
Ces supports demandent tout de même d’être assemblés et animés par quelqu’un. Pour les entreprises qui préfèrent un parcours déjà construit, nous préparons des formations en ligne destinées aux PME romandes.
Sans la direction, le message ne passe pas
C’est le facteur qui fait la différence entre un programme suivi et un programme subi. Si le dirigeant n’assiste pas aux séquences, chacun comprend que le sujet est secondaire, et se comporte en conséquence.
La participation de la direction envoie trois messages simultanés : le sujet compte, les règles s’appliquent à tout le monde, et signaler une erreur ne sera pas sanctionné. Ce dernier point est décisif. La fraude au virement fonctionne précisément parce qu’un collaborateur n’ose pas contredire une demande qui semble venir d’en haut. Un dirigeant qui dit publiquement « si vous recevez une demande urgente de ma part, vérifiez-la, même si c’est vraiment moi » supprime l’essentiel du levier de l’attaquant. Ce que ce message produit sur la durée, et les réflexes de direction qui l’annulent sans le vouloir, sont détaillés dans créer une culture de sécurité sans culpabiliser.
Prévoyez enfin que la direction annonce le programme au début de l’année, et qu’elle communique une fois par an les indicateurs de signalement. Une équipe qui voit ses signalements servir à quelque chose continue à signaler.
Où s’arrête ce que vous pouvez faire seul
Tout ce qui précède est à votre portée sans budget ni service formation. Un programme construit ainsi écarte déjà une grande part des tentatives automatisées, et surtout il transforme vos collaborateurs en système de détection.
Deux limites subsistent. La première tient à l’adaptation : savoir quelles attaques visent réellement votre entreprise suppose de connaître vos flux financiers, vos prestataires et vos données sensibles, ce qu’aucun programme générique ne peut deviner. La seconde tient à la mesure : juger honnêtement si un programme change les comportements est difficile quand on l’a soi-même conçu, car on mesure spontanément ce qui confirme ce que l’on espère.
Ce programme constitue un socle solide. Il ne remplace pas un regard extérieur sur vos risques propres et sur l’effet réel de vos séquences. Pour situer votre niveau actuel, le check-up cyber comporte plusieurs questions consacrées à la formation des équipes. Les autres volets sont rassemblés dans le pilier Formation, et les mesures techniques qui accompagnent la sensibilisation dans les 10 mesures essentielles.