Sensibilisation et simulation d'hameçonnage : votre premier pare-feu

Pourquoi la technique seule ne suffit plus

Parce que les messages qui passent les filtres sont précisément ceux qui ne comportent aucun signal technique : pas de pièce jointe, pas de lien malveillant connu, une adresse légitime parce que compromise. Ils demandent un virement, un changement de coordonnées bancaires, une validation urgente. Aucun filtre ne peut trancher à la place de la personne.

Cette bascule s'est accélérée avec les outils de génération de texte. Les fautes d'orthographe et les tournures maladroites (les signaux sur lesquels on apprenait à se fier)ont disparu. Un message de fraude est aujourd'hui mieux rédigé que la moyenne des courriels internes.

Le clonage de voix et de visage ajoute un cran. Une demande urgente confirmée « au téléphone » par une voix reconnaissable ne prouve plus rien.

La conséquence est un déplacement de la parade : de la détection vers la procédure. On ne demande plus aux gens de reconnaître un faux, on leur demande de vérifier autrement.

Comment tester sans casser la confiance ?

En annonçant que des campagnes auront lieu, sans dire quand. En ne nommant jamais publiquement les personnes qui cliquent. Et en faisant du signalement (pas de l'absence de clic)l'indicateur qui compte. Une campagne punitive obtient de meilleurs chiffres et une organisation moins sûre.

Le mécanisme est simple à comprendre. Si cliquer expose à une remontrance, la personne qui clique se tait. Elle ne préviendra pas non plus le jour où le message sera réel, et c'est précisément ce jour-là que les minutes comptent.

• Annoncer le principe, pas le calendrier. Les équipes savent que des simulations ont lieu. Personne ne se sent piégé, et le réflexe s'installe.
• Ne jamais nommer publiquement. Les résultats se présentent par groupe, jamais par personne. Les accompagnements individuels se font discrètement.
• Mesurer le signalement. Une organisation où 40 % des gens signalent un message douteux est plus sûre qu'une organisation où 5 % cliquent mais où personne ne dit rien.
• Progresser en difficulté. Commencer par des messages grossiers n'apprend rien. Le niveau monte à mesure que le réflexe s'installe.

Que contient le programme ?

Une formation initiale courte et en français, des campagnes simulées progressives, une mesure trimestrielle du signalement, et une procédure de vérification hors bande pour les demandes financières. Le dernier point est celui qui arrête réellement la fraude au président.

• La formation initiale. Courte, concrète, adaptée aux métiers. La comptabilité et la production ne sont pas exposées aux mêmes scénarios.
• Les campagnes. Progressives, non punitives, avec une page pédagogique immédiate pour qui clique : pas un avertissement.
• La mesure. Taux de signalement, délai moyen de signalement, et évolution par groupe. Le taux de clic est suivi mais n'est pas l'objectif.
• La vérification hors bande. Une règle écrite : toute demande de virement ou de changement de coordonnées bancaires se confirme par un canal distinct, sur un numéro connu à l'avance. Jamais en répondant au message.

Ce que la Loi 25 attend en matière de sensibilisation

La loi impose des mesures de sécurité proportionnées à la sensibilité des renseignements détenus, et la formation du personnel en fait partie. Elle n'en fixe pas le format : ce qui compte est de pouvoir démontrer que les personnes qui manipulent des renseignements personnels ont été informées de leurs obligations.

Dans la pratique, cette démonstration passe par trois éléments : un support de formation daté, une trace de qui l'a suivie, et une politique qui décrit les comportements attendus.

Ces éléments servent aussi ailleurs. Les questionnaires d'assurance et les questionnaires fournisseurs comportent presque tous une question sur la sensibilisation, et une réponse documentée s'y réutilise directement.

C'est une raison supplémentaire de tenir la trace : le même effort répond à trois demandes distinctes.

Questions fréquentes