Sensibilisation à la cybersécurité : construire un programme qui change les réflexes.

Pourquoi sensibiliser à la cybersécurité ?

La plupart des cyberattaques contre les entreprises passent à un moment par une personne : un clic sur un lien piégé, une pièce jointe ouverte, un mot de passe réutilisé, un virement validé sur la foi d’un faux e-mail du dirigeant, un ordinateur portable laissé sans verrouillage. Les outils arrêtent beaucoup de menaces, mais les cybercriminels visent précisément ce qu’ils ne peuvent pas filtrer : le jugement humain. On parle souvent du collaborateur comme du « maillon faible » ; bien formé, il devient au contraire un capteur précieux.

Former l’ensemble des collaborateurs poursuit donc deux objectifs. Le premier est de réduire les erreurs, en apprenant à reconnaître les situations à risque. Le second, souvent plus important, est d’accélérer la réaction : une équipe qui alerte sans crainte sur un message douteux ou une erreur permet à l’informatique d’intervenir avant que l’incident ne s’étende. C’est aussi une attente croissante des assureurs et des donneurs d’ordre, et, pour les entités concernées par la directive européenne NIS2, une exigence : les dirigeants doivent être formés à la gestion des risques cyber.

Les fondamentaux : les 3 piliers de la cybersécurité

Un programme de sensibilisation commence par donner un cadre simple. La sécurité de l’information repose classiquement sur trois piliers : la confidentialité — seules les personnes autorisées accèdent aux données —, l’intégrité — les données ne sont pas modifiées à tort — et la disponibilité — les systèmes et les données restent accessibles quand on en a besoin. On y ajoute souvent un quatrième principe, la traçabilité : savoir qui a fait quoi, et quand.

Ces notions parlent aux équipes dès qu’on les relie à leur quotidien : un fichier client envoyé au mauvais destinataire touche la confidentialité et la protection des données, un RIB modifié dans une facture touche l’intégrité, un rançongiciel qui chiffre le serveur touche la disponibilité.

Les thèmes à intégrer dans un programme

Un bon programme ne se limite pas à l’hameçonnage, principal vecteur d’attaque mais pas le seul. Il couvre les situations réellement rencontrées dans l’entreprise :

• Le phishing par e-mail, SMS, téléphone ou QR code — notre guide « Sensibilisation au phishing » détaille ce module.
• Les mots de passe et l’authentification multifacteur : phrases de passe, gestionnaire de mots de passe, refus des demandes de validation inattendues.
• L’ingénierie sociale et la fraude au président : faux dirigeant, faux fournisseur, faux technicien, demandes de changement de RIB.
• Le poste de travail : verrouillage de session, mises à jour, logiciels malveillants, clés USB inconnues.
• La mobilité et le télétravail : Wi-Fi public, réseau domestique, appareils personnels, vol ou perte d’un ordinateur ou d’un smartphone.
• Les données sensibles et les partages : liens ouverts à tous, envoi de documents, stockage hors des outils de l’entreprise — autant de portes vers le vol de données.
• L’usage de l’IA générative : ce qui peut ou non être saisi dans un outil en ligne.
• La réaction aux incidents de sécurité : qui prévenir, comment, et pourquoi alerter vite même pour une simple erreur.

Quels formats choisir ?

Les formats courts et répétés ancrent mieux les réflexes qu’une longue session annuelle, vite oubliée : c’est le principe de la formation continue. Les entreprises combinent généralement :

• Un module d’accueil pour chaque nouvel arrivant, avant même l’accès aux outils.
• Des ateliers courts en présentiel ou en webinaire, par équipe, avec des exemples tirés des tentatives réellement reçues.
• Des modules e-learning de quelques minutes, à suivre à son rythme.
• Des simulations d’attaques, notamment de faux e-mails malveillants, pour s’entraîner en conditions réelles.
• Des rappels réguliers : courte note, affiche, message dans l’outil de communication interne.
• Des modules dédiés aux fonctions exposées : comptabilité, direction, ressources humaines, accueil.

Formation cybersécurité en entreprise : sensibiliser tous les salariés ou former un référent ?

Les deux démarches se complètent mais ne se confondent pas. La sensibilisation s’adresse à tous : elle installe les bons réflexes au quotidien. La formation plus technique s’adresse à quelques personnes — un référent sécurité, un responsable informatique ou un RSSI, un dirigeant — qui doivent comprendre les risques, piloter les mesures et dialoguer avec les prestataires.

Pour ces profils, des organismes de formation proposent des cursus certifiants, par exemple pour devenir référent cybersécurité de son entreprise. Lorsque l’organisme est certifié Qualiopi, ces formations peuvent être prises en charge par l’OPCO de l’entreprise, selon ses critères. Des ressources publiques existent aussi : le guide de France Num sur les formations à la cybersécurité pour les TPE et PME recense les options disponibles, et Bpifrance Université propose des formations en ligne destinées aux dirigeants.

Dans une PME, la combinaison la plus efficace associe une sensibilisation continue de toutes les équipes, un référent interne formé, et un prestataire qui apporte l’expertise technique et le suivi dans la durée.

Construire un programme sur l’année

Un programme de sensibilisation se pilote comme un projet. Il démarre par un état des lieux : incidents passés, tentatives reçues, pratiques réelles en matière de mots de passe et de partages, outils utilisés. Il se décline ensuite en un calendrier qui alterne les thèmes, pour que chaque sujet revienne régulièrement sans lasser.

L’implication de la direction est décisive : quand le dirigeant suit lui-même les modules et rappelle que signaler une erreur est attendu, une véritable culture cyber s’installe. À l’inverse, une démarche perçue comme un contrôle ou une sanction pousse à cacher les incidents. Le climat de confiance est la condition de tout le reste.

Mesurer l’efficacité de la sensibilisation

Ce qui ne se mesure pas ne progresse pas. Les indicateurs utiles sont simples : participation aux modules, résultats des quiz, taux de clic et surtout taux d’alerte lors des exercices, délai entre la réception d’un message suspect réel et son signalement, nombre d’incidents liés à une erreur humaine. Ils se suivent dans le temps et se restituent de façon collective, sans désigner de personne.

Le bon signal n’est pas l’absence totale de clic, objectif irréaliste, mais une hausse régulière des signalements : elle montre que les équipes ont intégré le réflexe d’alerter.

10 bonnes pratiques de cybersécurité à transmettre à vos équipes

Ces dix conseils résument l’essentiel du message à faire passer pour sécuriser le quotidien :

• Utiliser un mot de passe long et unique par service, idéalement dans un gestionnaire de mots de passe.
• Activer l’authentification multifacteur partout où elle est proposée, et refuser toute demande de validation inattendue.
• Vérifier l’expéditeur et l’adresse réelle des liens avant de cliquer.
• Confirmer par un autre canal toute demande de virement ou de changement de coordonnées bancaires.
• Verrouiller sa session dès qu’on quitte son poste.
• Installer les mises à jour dès qu’elles sont proposées.
• Ne pas brancher de clé USB d’origine inconnue.
• Éviter les Wi-Fi publics pour le travail, ou utiliser le VPN de l’entreprise.
• Partager les documents avec les seules personnes concernées, et jamais par un lien ouvert à tous.
• Signaler immédiatement tout message suspect, toute erreur ou toute perte d’appareil.

Ressources gratuites et accompagnement

Des ressources publiques permettent de démarrer sans budget : le dispositif cybermalveillance.gouv.fr propose SensCyber, un programme de e-sensibilisation pour apprendre et tester ses connaissances, ainsi qu’un kit sur les risques numériques utilisable en interne ; l’ANSSI propose SecNumacadémie, un MOOC gratuit sur la sécurité du numérique. Ces ressources constituent une bonne base pour les petites structures.

Un prestataire apporte ensuite la continuité, l’adaptation à vos outils et à vos métiers, et le lien avec la protection technique contre les pirates. Chez Dalena & Co, à Romainville, la sensibilisation des collaborateurs fait partie de notre accompagnement en cybersécurité, aux côtés de la sécurisation de Microsoft 365, du filtrage de la messagerie et de l’EDR managé. Nous intervenons auprès des entreprises de Paris et de la petite couronne.