Sensibilisation cybersécurité entreprise : plan sur l'année

La sensibilisation cybersécurité en entreprise consiste à donner à chaque salarié quelques réflexes simples pour éviter un piège et réagir à une attaque. Cybermalveillance.gouv.fr recommande aux dirigeants de sensibiliser leurs collaborateurs, qu'il décrit comme un maillon essentiel de la cybersécurité. Un programme léger sur l'année, avec des supports gratuits, suffit pour commencer.

Pourquoi la sensibilisation cybersécurité compte en entreprise

D'après Cybermalveillance.gouv.fr, 80 % des cyberattaques pourraient être évitées par des mesures simples et peu coûteuses, comme une bonne gestion des mots de passe, des sauvegardes, des mises à jour ou des droits d'accès. Plusieurs de ces gestes dépendent directement des salariés.

Les collaborateurs servent aussi à repérer une tentative d'attaque et à y réagir, pas seulement à appliquer des règles. Un salarié qui sait reconnaître un message piégé et qui ose le signaler protège toute l'entreprise.

Si vous avez déjà une charte informatique, la sensibilisation la fait vivre au quotidien.

Les 5 messages à faire passer en priorité

Inutile de tout dire. Ces cinq messages couvrent l'essentiel et se retiennent facilement.

1. Un message inattendu ou alarmiste se vérifie par un autre moyen, selon les 10 mesures essentielles de Cybermalveillance.gouv.fr. Un courriel, un SMS ou une messagerie instantanée qui presse d'agir peut être de l'hameçonnage (un faux message conçu pour voler des informations) : on rappelle l'expéditeur avec un numéro connu.
2. Un mot de passe long et différent pour chaque service, rangé dans un gestionnaire de mots de passe (un coffre-fort numérique qui les retient pour vous), avec la double authentification (un code en plus du mot de passe) dès que possible, comme le recommandent ces mêmes mesures.
3. Les mises à jour s'installent quand elles sont proposées. Elles corrigent des failles de sécurité.
4. Un faux technicien peut appeler ou afficher une alerte. L'arnaque au faux support technique fait partie des risques que le kit officiel explique. On ne rappelle pas le numéro affiché et on ne laisse personne prendre la main sur l'ordinateur : on prévient le support informatique habituel.
5. En cas d'attaque, on débranche l'appareil du réseau sans l'éteindre, puis on alerte le support informatique, car éteindre efface des preuves utiles aux enquêteurs.

Pour le dernier message, les consignes officielles pour les collaborateurs peuvent être affichées dans les locaux et près de chaque poste de travail. Le plan de réponse à incident cyber précise la suite côté direction.

Un programme sur 12 mois, en formats courts

Cybermalveillance.gouv.fr conseille d'organiser au moins une fois par an une formation à la sécurité des données, menée par exemple par les RH et l'informatique, ou confiée à un organisme externe. Autour de ce rendez-vous, de petits rappels réguliers entretiennent les réflexes.

Un exemple de calendrier, à adapter à votre taille :

Ce rythme est une proposition, pas une norme. L'important est la régularité et la brièveté.

Remettez aussi les fiches de bonnes pratiques à chaque nouvel arrivant dès son entrée, affichez-les avec des pictogrammes bien visibles et laissez-les à disposition sur votre espace de stockage partagé.

Quels supports gratuits utiliser ?

Le kit de sensibilisation de Cybermalveillance.gouv.fr comprend 9 thématiques déclinées en plusieurs formats : fiches pratiques et réflexes, mémos, affiche A2, BD, vidéos, quiz, infographies. Il se télécharge en PDF complet ou à l'unité, sujet par sujet.

Les fiches sur les risques traitent de l'hameçonnage, des rançongiciels et de l'arnaque au faux support technique. Le quiz convient bien au cinquième mois : chacun teste ses connaissances, sans note ni classement.

Le kit est sous licence ouverte Etalab 2.0 : vous pouvez y mettre votre logo, l'adapter à vos couleurs et le réutiliser, à condition de citer Cybermalveillance.gouv.fr.

Voir aussi Culture cyber en entreprise : le guide.

Utiliser des exemples concrets et tester sans punir

Les exemples tirés de la vie réelle marquent plus qu'une règle abstraite. Un message qui demande de voter pour le neveu d'un ami sur WhatsApp, un appel d'un prétendu technicien, une offre d'emploi trop belle : chacun illustre le premier message, vérifier par un autre moyen. L'article sur le faux vote WhatsApp en donne un cas détaillé.

Pour vérifier que les réflexes sont acquis, Cybermalveillance.gouv.fr propose d'envoyer au hasard de faux messages d'hameçonnage sur les messageries professionnelles et de suivre les ouvertures ou les clics. Confiez la mise en place à votre prestataire informatique.

Présentez ces tests comme un entraînement. Un salarié qui a cliqué n'est pas un coupable : expliquez ensuite, en équipe, ce qui aurait pu alerter. Voir Réussir une simulation de phishing (sans punir).

Mesurer les progrès et montrer l'exemple

Trois repères simples, à suivre d'une année sur l'autre, suffisent :

• la part des salariés ayant suivi la session annuelle ;
• la part de clics lors des faux messages de test, qui doit baisser ;
• le nombre de messages suspects signalés spontanément, qui doit monter.

Ces indicateurs sont des choix internes, pas des seuils officiels.

Cybermalveillance.gouv.fr demande au dirigeant de s'impliquer en pilotant le plan d'action cybersécurité par des points réguliers, de montrer l'exemple et d'exiger que les mesures ne soient pas contournées. Concrètement : suivre vous-même la session, utiliser la double authentification et signaler vos propres messages douteux.

Quand l'entreprise adopte un nouvel outil numérique, prévoyez un court rappel sur son bon usage. Le guide dirigeants de Cybermalveillance.gouv.fr recommande d'intégrer tout nouveau service numérique au plan de cybersécurité avant sa mise en œuvre.

Questions fréquentes

Comment réutiliser le kit avec le logo de l'entreprise ?

Le kit est en licence ouverte Etalab 2.0 : vous pouvez reproduire, adapter, modifier et diffuser les supports, y compris avec votre logo et vos couleurs. Il suffit de mentionner Cybermalveillance.gouv.fr comme source.

Faut-il passer par un organisme de formation ?

Pas forcément. Cybermalveillance.gouv.fr indique que la formation peut être menée en interne, par les RH et l'informatique, ou confiée à un organisme externe spécialisé.

Sources

• Comment piloter sa cybersécurité ? (Dirigeants) — Cybermalveillance.gouv.fr, 22/05/2023
• Kit de sensibilisation — Cybermalveillance.gouv.fr, 26/06/2023
• Comment protéger vos données en sensibilisant vos collaborateurs ? — Cybermalveillance.gouv.fr
• Les 10 mesures essentielles pour votre cybersécurité — Cybermalveillance.gouv.fr, 28/07/2022
• Que faire en cas de cyberattaque ? (consignes pour les collaborateurs) — Cybermalveillance.gouv.fr, 10/05/2023

Comment Sedona peut aider

Fixer des priorités suppose de savoir d'abord ce qui est exposé. Sedona Radar fait l'audit de sécurité externe automatisé de votre domaine et en tire un rapport en français ; son Plan de traitement range ensuite les actions dans l'ordre. L'application présente chaque constat en langage clair pour la direction ou en détails techniques pour le DSI.

Parmi ce qu'il examine :

• Vos noms de domaine : les sous-domaines publics, la configuration DNS de votre messagerie, les sous-domaines qu'un tiers pourrait reprendre.
• Vos portes ouvertes : les services qui répondent depuis Internet, les logiciels qui les font tourner et leurs failles connues.

Le plan Discovery, gratuit, donne un premier Scan de Contrôle : score de risque, vos 3 vulnérabilités les plus graves, le décompte par sévérité et vos scores sur les 6 référentiels. Radar ne voit que ce qui est exposé sur Internet, pas l'intérieur de votre réseau ; il évalue votre exposition, il ne certifie rien. Pour en parler, nous contacter.

Article publié le 04/11/2026. Une erreur, une source à mettre à jour ? Nous contacter : nous corrigeons et datons la correction.