Sensibiliser ses salariés à la cybersécurité : construire un programme qui fonctionne

Pourquoi la formation annuelle ne marche pas

Beaucoup d'entreprises organisent une session de sensibilisation par an : une heure en salle, une présentation, une signature sur la feuille de présence. Trois semaines plus tard, les réflexes sont exactement les mêmes. Ce n'est pas un défaut des salariés : on n'apprend pas un réflexe en une heure, une fois par an, pas plus qu'on n'apprend à conduire en lisant le code de la route.

Ce qui fonctionne

Des modules courts et réguliers

Quelques minutes par semaine, plutôt qu'une heure par an. La répétition espacée ancre les réflexes : reconnaître un faux expéditeur, vérifier une adresse avant de cliquer, ne jamais communiquer un code reçu par SMS.

Des parcours adaptés au métier

Un comptable est visé par les fraudes au virement, un commercial par les faux clients, un assistant de direction par les usurpations d'identité du dirigeant. Un même module pour tous rate la moitié des risques réels.

Des simulations d'hameçonnage

Envoyer de faux messages piégés, réalistes mais inoffensifs, mesure les réflexes réels. Le but n'est pas de piéger pour sanctionner : un salarié qui clique reçoit immédiatement une courte explication, au moment précis où elle a le plus d'effet.

Un geste de signalement simple

Le meilleur indicateur n'est pas le nombre de clics, mais le nombre de signalements. Un salarié qui signale un message douteux protège ses collègues qui l'ont reçu aussi. Ce geste doit être simple et valorisé.

Les indicateurs à suivre

• Taux de clic sur les simulations, qui doit baisser dans le temps.
• Taux de signalement, qui doit monter.
• Taux de participation aux modules, par service.

Ces chiffres intéressent de plus en plus les assureurs cyber et les auditeurs, qui demandent la preuve d'un programme suivi plutôt qu'une feuille de présence.

Le cas des dirigeants

Les dirigeants sont des cibles privilégiées — et les moins disponibles pour se former. Des formats dédiés, plus courts, présentent le risque en termes de décisions et d'arbitrages, et les exercices de crise simulée leur font vivre une attaque fictive pour en mesurer le coût réel.

Mettre en place un programme

La plateforme Kaspersky ASAP automatise l'essentiel : parcours adaptés, rythme régulier, simulations et tableaux de bord pour la direction. Pour les équipes techniques et les dirigeants, nous présentons l'ensemble des formats sur notre page formations Kaspersky. Voir aussi reconnaître un email d'hameçonnage, et contactez-nous pour un devis en dirhams.