Fiche 14 — Sensibilisation, formation & culture sécurité

C’est une des 4 offres de Cyberlift (« Sensibilisation & formation », dont un Bootcamp ISO 27001). Attends-toi à des questions sur la conception d’un programme, pas seulement sur « faire du phishing simulé ». Exigence NIS2 (art. 20 & 21 : formation des dirigeants) et ISO 27001 (cl. 7.2 compétences, 7.3 sensibilisation, A.6.3).

1. Distinguer trois choses (question piège classique) ⭐

	Objet	Public	Format
Sensibilisation (awareness)	Faire connaître, faire adopter des réflexes	Tous	Court, répété, contextualisé
Formation (training)	Développer une compétence évaluable	Ciblé par rôle	Long, exercices, évaluation
Éducation / culture	Changer les comportements et les normes sociales	Organisation	Durable, porté par le management

ISO 27001 distingue explicitement compétence (cl. 7.2, on doit la démontrer et la conserver en preuve) et sensibilisation (cl. 7.3).

2. Concevoir un programme (méthode à dérouler en entretien)

Diagnostic : mesure de l’état initial — taux de clic sur un phishing de référence, quiz de connaissances, entretiens, incidents d’origine humaine des 12 derniers mois, enquête de perception (est-ce qu’on ose signaler ?).
Segmentation des publics ⭐ (le point qui différencie un pro) :
- Tous les collaborateurs : mots de passe/MFA, phishing, données, poste, signalement.
- Dirigeants / COMEX / CA : responsabilité NIS2/DORA, arbitrage de risques, gestion de crise, fraude au président. Format court, chiffré, sectoriel.
- Managers : leur rôle dans les revues d’accès, l’arrivée/départ, l’exemplarité.
- Développeurs : OWASP, secure coding, secrets, dépendances (formats pratiques, CTF).
- Administrateurs IT : durcissement, administration sécurisée, tiering.
- Fonctions exposées : comptabilité/finance (BEC, fraude au virement), RH (CV piégés, données personnelles), assistants de direction, achats, commerciaux itinérants.
- Nouveaux arrivants : module d’onboarding obligatoire + charte signée.
Objectifs mesurables : pas « sensibiliser 100 % des salariés » mais « porter le taux de signalement des mails suspects de 4 % à 25 % en 12 mois ».
Contenus & formats : e-learning court (≤ 10 min), micro-learning, vidéos, newsletters, affiches, simulations de phishing, ateliers, serious games / escape game cyber, lunch & learn, exercices de crise (pour les dirigeants), MOOC SecNumAcadémie (ANSSI), Cybermalveillance.gouv.fr (ressources gratuites — bon argument pour une PME).
Calendrier annuel : rythme régulier (mensuel/trimestriel) + moments forts (Cybermoi/s en octobre, European Cybersecurity Month).
Mesure & itération : cf. §4.
Ancrage : charte informatique, politique de sécurité, intégration dans les processus (onboarding, évaluation annuelle des IT/dev), sponsorship visible du dirigeant.

3. Simulations de phishing — les faire correctement

Bonnes pratiques :

Annoncer le programme (pas les campagnes) : la transparence sur l’existence du dispositif est une obligation de loyauté vis-à-vis des salariés.
Consulter les représentants du personnel (CSE) et informer sur le traitement des données — c’est un traitement de données personnelles au sens du RGPD, avec finalité, base légale, durée de conservation et pas de sanction individuelle. ⭐
Progressivité : commencer par des scénarios simples, monter en difficulté.
Page de remédiation pédagogique immédiate au clic (pas de honte, pas de moquerie).
Mesurer aussi le signalement, pas seulement le clic (bouton « signaler un phishing »).
Bannir les scénarios déloyaux : faux bonus, fausse annonce de licenciement, fausse alerte décès. Techniquement efficaces, humainement destructeurs — le programme perd sa légitimité. Savoir refuser ça à un client est une réponse d’entretien très appréciée. ⭐
Coupler avec la mesure technique : est-ce que le mail aurait dû être bloqué ? (→ fiche 08)

Métriques : taux d’ouverture, taux de clic, taux de saisie d’identifiants, taux de signalement, temps médian de signalement, taux de récidive, taux de couverture des formations.

4. Mesurer la culture sécurité (au-delà du phishing)

Indicateurs comportementaux : nombre de signalements spontanés (un chiffre qui monte est un bon signe), nombre de demandes d’avis sécurité en amont des projets, délai de signalement d’un incident, taux d’utilisation du gestionnaire de mots de passe / du coffre de partage, taux d’adoption du MFA, nombre de contournements détectés (shadow IT).
Modèles de maturité de culture : Security Culture Framework, dimensions (attitudes, comportements, cognition, communication, conformité, normes, responsabilités).
Enquête de climat anonyme, avant/après.