Quelles attaques un salarié doit-il savoir reconnaître ?
La priorité est le phishing : un message pousse à ouvrir une pièce jointe, saisir des identifiants ou agir dans l'urgence. L'adresse affichée, le ton ou le logo ne suffisent pas à prouver l'identité de l'expéditeur. Il faut apprendre à ralentir, inspecter la destination d'un lien et revenir au site ou au contact par une voie connue.
La fraude au président, ou compromission d'e-mail professionnel (BEC), imite un dirigeant, un fournisseur ou un collègue pour demander un virement, changer un RIB ou transmettre une donnée sensible. La bonne réponse n'est pas une intuition : toute demande financière inhabituelle se vérifie par un second canal déjà connu, jamais avec le numéro fourni dans le message.
Quels réflexes enseigner en priorité ?
- Activer le MFA. Utilisez l'authentification multifacteur partout où elle est proposée et ne validez jamais une notification que vous n'avez pas déclenchée.
- Utiliser un gestionnaire de mots de passe. Un mot de passe long et unique par service évite qu'une fuite ouvre plusieurs comptes. Le gestionnaire doit être celui approuvé par l'entreprise.
- Installer les mises à jour. Redémarrez lorsque l'entreprise le demande et ne reportez pas indéfiniment les correctifs du système, du navigateur et des applications.
- Protéger les données. Ne contournez pas les outils approuvés pour partager un fichier et vérifiez destinataires et droits d'accès avant l'envoi.
Ces mesures sont complémentaires : le MFA ne répare pas un appareil obsolète, et un mot de passe robuste n'empêche pas un virement frauduleux autorisé sous pression. Le guide d'hygiène informatique de l'ANSSI fournit un socle de référence plus large pour l'organisation.
Que faut-il rappeler pour le télétravail et les appareils ?
Un ordinateur professionnel reste sous le contrôle de son utilisateur hors du bureau. Verrouillez l'écran en vous éloignant, empêchez l'accès des proches, utilisez les moyens d'accès distant approuvés et évitez de travailler sur un appareil personnel si l'entreprise ne l'a pas autorisé et sécurisé.
Sur un réseau public, évitez les opérations sensibles lorsque l'accès sécurisé de l'entreprise n'est pas disponible. Ne branchez pas une clé USB inconnue. En cas de perte ou de vol, prévenez immédiatement le contact interne : attendre de « chercher encore un peu » peut retarder le verrouillage des accès.
Comment obtenir un signalement rapide ?
Donnez un canal unique, visible et simple : adresse, bouton de signalement ou numéro interne. Dites quoi transmettre — message original, heure, action effectuée — et quoi éviter, comme faire suivre une pièce jointe douteuse à plusieurs collègues. Un salarié qui a cliqué doit pouvoir le dire immédiatement sans chercher à cacher son erreur.
Expliquez aussi la suite : couper une connexion si demandé, changer un secret depuis un appareil sain, et laisser l'équipe compétente conserver les éléments utiles. La sensibilisation doit être reliée au plan de réponse aux incidents ; elle ne le remplace pas.
Comment construire une sensibilisation utile ?
Partez des outils et situations réels de l'entreprise. Un socle court peut traiter le phishing et la BEC, le MFA et les mots de passe, les mises à jour, les appareils et le télétravail, puis le signalement. Ajoutez les procédures locales : qui appeler, quel gestionnaire utiliser, quelles demandes nécessitent une double validation.
Un quiz aide à repérer une incompréhension et à proposer une nouvelle tentative. Il ne prédit pas le comportement futur. Réactualisez le contenu lorsque vos outils, procédures ou menaces changent, après un incident révélateur et pour les nouveaux arrivants.
Quelle preuve faut-il conserver ?
Conservez le public invité, la participation, la version et les thèmes du parcours, sa date et, si vous utilisez un quiz, le résultat. Une attestation datée documente qu'une personne a terminé une version donnée ; le registre de formation permet de retrouver la campagne avec les autres actions de sensibilisation.
Limitez les données conservées à ce qui est utile, contrôlez leur accès et fixez une durée cohérente avec votre politique interne. La preuve doit aider à piloter la prévention, pas créer une surveillance permanente des salariés.