Sensibilisation
Sensibilisation et simulation d’hameçonnage : votre premier pare-feu
Former les équipes et les tester sans les humilier, mesurer la progression plutôt que le taux d’échec, et tenir compte de ce que l’IA a changé.
L’essentiel
- Un employé informé n’est pas une barrière parfaite, mais c’est la moins chère à installer.
- La simulation punitive produit de la dissimulation : on cesse de signaler, on ne cesse pas de cliquer.
- L’indicateur utile est le taux de signalement, pas le taux de clic.
- L’IA a rendu l’hameçonnage indétectable à l’œil : la parade devient procédurale.
Aucun filtre ne peut trancher à la place de votre comptable
Un courriel sans pièce jointe ni lien suspect, envoyé depuis une adresse légitime parce que compromise, demande un changement de coordonnées bancaires. Il est mieux rédigé que la moyenne de vos courriels internes. La personne qui le reçoit doit décider seule, en quelques secondes.
La bascule s’est accélérée avec les outils de génération de texte : les fautes d’orthographe et les tournures maladroites, ces signaux sur lesquels on apprenait à se fier, ont disparu. Le clonage de voix ajoute un cran, puisqu’une demande urgente confirmée « au téléphone » par une voix reconnaissable ne prouve plus rien.
La parade se déplace donc de la détection vers la procédure. On ne demande plus aux gens de reconnaître un faux, on leur demande de vérifier autrement.
Tester sans casser la confiance
Si cliquer expose à une remontrance, la personne qui clique se tait. Elle ne préviendra pas non plus le jour où le message sera réel, et c’est ce jour-là que les minutes comptent. Une campagne punitive obtient donc de meilleurs chiffres et une organisation moins sûre.
- Annoncer le principe, pas le calendrier. Les équipes savent que des simulations ont lieu, sans en connaître la date. Personne ne se sent piégé.
- Ne jamais nommer publiquement. Les résultats se présentent par groupe. Les accompagnements individuels se font discrètement.
- Mesurer le signalement. Une organisation où l’on signale beaucoup est plus sûre qu’une organisation où l’on clique peu mais où personne ne dit rien.
- Progresser en difficulté. Commencer par des messages grossiers n’apprend rien. Le niveau monte à mesure que le réflexe s’installe.
Ce que contient le programme
Une formation initiale courte et en français, des campagnes simulées progressives, une mesure régulière du signalement, et une procédure de vérification hors bande pour les demandes financières. Ce dernier point est celui qui arrête réellement la fraude au président.
- La formation initiale. Courte, concrète, adaptée aux métiers : la comptabilité et la production ne sont pas exposées aux mêmes scénarios.
- Les campagnes. Progressives et non punitives, avec une page pédagogique immédiate pour qui clique, et non un avertissement.
- La mesure. Taux de signalement, délai moyen, évolution par groupe. Le taux de clic est suivi mais n’est pas l’objectif.
- La vérification hors bande. Toute demande de virement ou de changement de coordonnées bancaires se confirme par un canal distinct, sur un numéro connu à l’avance. Jamais en répondant au message.
Ce que la Loi 25 attend en matière de sensibilisation
La loi impose des mesures de sécurité proportionnées à la sensibilité des renseignements détenus, et la formation du personnel en fait partie. Elle n’en fixe pas le format : ce qui compte est de pouvoir démontrer que les personnes qui manipulent des renseignements personnels ont été informées de leurs obligations.
En pratique, la démonstration tient à trois éléments : un support de formation daté, une trace de qui l’a suivie, et une politique qui décrit les comportements attendus. Les questionnaires d’assurance et les questionnaires fournisseurs comportent presque tous une question sur la sensibilisation, et ces mêmes éléments y répondent directement.
Ce que nous observons sur le terrain
Ce que montrent les premières campagnes
Deux constats reviennent presque systématiquement. Le premier est que les personnes les plus exposées ne sont pas celles qu’on anticipe : les fonctions de direction et d’administration cliquent au moins autant que les autres, souvent parce qu’elles traitent un volume élevé de demandes légitimes et urgentes.
Le second est le délai de signalement, presque toujours plus long que le délai de clic. Quelqu’un a repéré le message mais n’a pas su à qui le dire, ou a supposé que quelqu’un d’autre s’en chargerait. C’est un problème de procédure, pas de vigilance, et il se corrige vite. Tendances observées dans nos mandats, pas statistique.
Questions fréquentes
Les simulations vont-elles humilier nos employés ?
Pas si elles sont conçues correctement, et c’est une condition que nous posons. Aucun résultat individuel n’est diffusé, la personne qui clique arrive sur une page pédagogique et non sur un avertissement, et les statistiques se présentent par groupe. Une campagne vécue comme un piège apprend surtout aux gens à se taire.
À quelle fréquence faut-il recommencer ?
Régulièrement plutôt qu’intensément. Une campagne annuelle unique produit un pic d’attention qui retombe en quelques semaines ; un rythme plus espacé mais continu installe un réflexe. La fréquence exacte dépend de votre renouvellement de personnel et de votre exposition : nous l’ajustons avec vous.
Comment mesurer le retour sur investissement ?
Par le taux de signalement et son délai, pas par le taux de clic. Un signalement rapide permet de bloquer un expéditeur, d’avertir les autres destinataires et de couper une campagne en cours. Le taux de clic, lui, ne descend jamais à zéro, et en faire l’objectif conduit à concevoir des campagnes trop faciles.
Faut-il un outil dédié ?
Pour les campagnes simulées, oui, et plusieurs solutions le font correctement. Mais l’outil n’est pas le sujet : le résultat dépend de la façon dont les campagnes sont conçues et dont les résultats sont présentés. Nous ne revendons aucune licence et nous travaillons avec le vôtre lorsqu’il fait l’affaire.
Et si quelqu’un clique pour de vrai ?
C’est le scénario pour lequel on se prépare. Ce qui compte alors est la vitesse : signaler, changer le mot de passe concerné, vérifier les règles de redirection de la boîte, regarder si des accès ont été utilisés. Ces gestes doivent être écrits à l’avance et connus, parce qu’improviser coûte les minutes qui comptent.
Savoir où en sont vos équipes aujourd’hui
Un premier échange permet d’établir ce qui existe déjà, formation, procédure de signalement, règle de vérification, et par quoi commencer.
Sources
- Centre canadien pour la cybersécurité : hameçonnage · signaux, scénarios et mesures recommandées
- Commission d’accès à l’information du Québec · exigence de mesures de sécurité proportionnées, dont la formation
- Centre antifraude du Canada · typologies de fraude, dont la fraude au président
Pour aller plus loin
Fondations de sécurité TI
Les mesures techniques qui limitent les dégâts quand quelqu’un clique.
Politique d’usage de l’IA
L’hypertrucage et la fraude assistée par IA, traités à part.
SIRIS
L’accompagnement continu, dont la sensibilisation est un volet.
Votre infrastructure est-elle prête pour la prochaine menace ?
Un appel de découverte, sans engagement, pour comprendre votre réalité avant de recommander quoi que ce soit.