Comment sensibiliser ses salariés à la cybersécurité ?
En bref
Pour sensibiliser vos salariés à la cybersécurité, préférez des formats courts et réguliers à une formation annuelle : ateliers pratiques, fiches réflexes, simulations de phishing et module d'accueil des nouveaux arrivants. Traitez les situations qu'ils rencontrent vraiment, comme les faux e-mails ou les demandes de virement urgentes. Mesurez surtout la progression des signalements, sans chercher de coupables.
Beaucoup d'attaques commencent par une personne : un e-mail piégé ouvert, un mot de passe saisi sur un faux site, un virement validé sous pression. Sensibiliser, ce n'est pas faire de chaque salarié un expert. C'est lui donner trois réflexes : reconnaître une situation suspecte, ne pas agir dans la précipitation et prévenir vite la bonne personne.
Quels thèmes aborder en priorité ?
| Thème | Réflexe attendu |
|---|---|
| Hameçonnage par e-mail, SMS ou téléphone | Vérifier l'expéditeur et la destination réelle du lien avant de cliquer, puis signaler. |
| Mots de passe | Un mot de passe différent par service, un gestionnaire, la double authentification activée. |
| Fraude au virement | Rappeler au numéro connu avant tout changement de RIB ou virement urgent. |
| Mises à jour | Redémarrer quand le poste le demande, ne pas reporter indéfiniment. |
| Mobilité et télétravail | Verrouiller l'écran, utiliser le VPN de l'entreprise, ne pas prêter le poste professionnel. |
| Clés USB et supports amovibles | Ne jamais brancher une clé trouvée ou reçue sans explication. |
| Données personnelles | Ne pas transférer de fichiers clients vers une messagerie ou un stockage personnels. |
| Signalement | Savoir qui prévenir, comment, et sans crainte d'être blâmé. |
Le hameçonnage, ou phishing, désigne un message frauduleux qui imite un expéditeur connu pour voler des identifiants ou faire ouvrir une pièce jointe piégée. Nous détaillons les indices dans notre article pour reconnaître un e-mail de phishing.
Quels formats fonctionnent ?
- Ateliers courts en petits groupes, avec de vrais exemples reçus dans l'entreprise, anonymisés.
- Module d'accueil pour chaque nouvel arrivant, avec les règles et le contact en cas de doute.
- Fiches réflexes d'une page, affichées ou disponibles sur l'intranet.
- Simulations de phishing, suivies d'une explication immédiate.
- Parcours en ligne : l'ANSSI propose SecNumacadémie, une formation ouverte à tous, et cybermalveillance.gouv.fr met à disposition un kit de sensibilisation.
- Messages ponctuels quand une arnaque circule, par exemple une vague de faux SMS de livraison.
Comment organiser un programme sur l'année ?
- Faire un point de départ : incidents passés, questionnaire rapide ou première simulation.
- Adapter selon les métiers : direction, comptabilité, ressources humaines, équipes terrain et administrateurs ne sont pas exposés aux mêmes pièges.
- Étaler les thèmes : un sujet à la fois, réparti sur plusieurs mois.
- Simplifier le signalement : un bouton dans la messagerie ou un contact clairement identifié.
- Mesurer, puis ajuster le contenu selon les résultats.
- Mettre à jour chaque année en fonction des nouvelles arnaques.
Qui doit porter la démarche ?
La sensibilisation fonctionne quand la direction la soutient ouvertement et qu'une personne identifiée l'anime, en interne ou chez un prestataire. Cette personne choisit les thèmes, répond aux questions et reçoit les signalements. Elle doit rester facile à joindre : un salarié qui hésite à déranger pour un e-mail douteux ne le signalera pas. Impliquez aussi les managers, qui relaient les consignes et donnent l'exemple dans leurs équipes.
Quels indicateurs suivre ?
- Le nombre de signalements et leur rapidité : une alerte donnée tôt permet de bloquer un message avant que d'autres ne tombent dans le piège.
- Le taux de clic en simulation, à suivre dans le temps et à scénario de difficulté comparable.
- La participation aux ateliers et aux modules.
- Les incidents réels détectés plus tôt ou évités grâce à un signalement.
Les erreurs qui annulent l'effort
- une longue formation unique, oubliée en quelques semaines ;
- un ton alarmiste ou culpabilisant, qui pousse à se désintéresser du sujet ;
- la sanction de ceux qui cliquent : ils cessent alors de signaler leurs erreurs ;
- une direction dispensée des règles, ce qui les rend moins crédibles pour tous ;
- des consignes impossibles à suivre sans outil, comme retenir des dizaines de mots de passe complexes.
Pour bâtir un programme adapté à vos métiers, découvrez les actions de sensibilisation à la cybersécurité de NexSecure.
Questions fréquentes
À quelle fréquence sensibiliser les salariés ?
Des rappels courts répartis sur l'année marquent davantage qu'une longue session unique. Ajoutez un module à chaque arrivée et un message ponctuel lorsqu'une nouvelle arnaque circule.
Faut-il sanctionner un salarié qui clique sur un e-mail piégé ?
La sanction pousse à cacher les erreurs, alors qu'un signalement rapide limite les dégâts. Il vaut mieux expliquer, remercier ceux qui signalent et traiter le clic comme une occasion d'apprendre.
Existe-t-il des ressources gratuites ?
Oui. Cybermalveillance.gouv.fr met à disposition un kit de sensibilisation et des fiches réflexes, et l'ANSSI propose SecNumacadémie, un parcours de formation en ligne ouvert à tous.
La direction doit-elle aussi être sensibilisée ?
Oui. Les dirigeants sont directement visés par les faux ordres de virement et leurs comptes donnent accès à des informations sensibles. Leur participation montre aussi que les règles s'appliquent à tous.
Sources
Service lié
Articles liés
Rédigé par l'équipe NexSecure. Responsable de la publication : Yohann Toumine. Dernière mise à jour le 11 septembre 2026.
Une question sur votre situation ? Parler de votre projet