Sensibiliser vos équipes, en une heure et sans jargon
Vos pare-feu ne serviront à rien contre une pièce jointe ouverte par quelqu'un de pressé. Je viens montrer à votre équipe à quoi ressemble vraiment une attaque, avec vos exemples.
Hameçonnage : reconnaître un message qui imite votre banque ou votre fournisseur
Fraude au virement : le faux changement de RIB, et la règle qui l'arrête
Faux support technique : l'appel qui demande une prise en main à distance
Réf. ANSSI : guide d'hygiène informatique
La faille la plus exploitée n'a pas de correctif
On peut mettre à jour tous les postes, cloisonner le réseau et chiffrer les sauvegardes. Il suffira d'un message bien tourné, reçu un vendredi à 17 h, pour que tout cela soit contourné : c'est un collaborateur légitime qui ouvrira la porte, avec ses propres identifiants, et rien dans le système ne signalera d'anomalie.
Ce n'est pas une question de négligence, et le dire ainsi serait injuste. Les messages frauduleux d'aujourd'hui reprennent le logo, le ton, la signature et parfois l'historique réel d'une conversation. Ils arrivent au moment où l'on traite quinze choses à la fois. Personne n'y échappe par bon sens : on y échappe en ayant déjà vu à quoi ça ressemble, et en ayant une règle simple à appliquer quand le doute apparaît.
C'est tout l'objet de cette session. Pas un cours de sécurité informatique : une heure pour rendre familières trois ou quatre situations qui, sinon, se présenteront pour la première fois le jour où elles coûteront cher.
Ce qu'on regarde ensemble
Le contenu s'adapte à votre métier. Dans une étude notariale on insistera sur la fraude au virement, dans un cabinet médical sur les données de santé et le partage de dossiers. Le socle reste le même.
-
Reconnaître un hameçonnage
On ouvre de vrais messages frauduleux, récents, et on regarde ensemble ce qui aurait dû alerter : l'adresse d'expédition réelle derrière le nom affiché, l'urgence artificielle, le lien qui ne mène pas où il prétend. Puis on fait l'inverse : un message parfaitement légitime qui ressemble à une arnaque, pour montrer que la méfiance seule ne suffit pas.
-
La fraude au virement
C'est celle qui coûte le plus cher aux petites structures. Un fraudeur prend pied dans une boîte mail, observe une conversation en cours, puis demande au bon moment de modifier un RIB. On voit le scénario complet et la seule règle qui l'arrête vraiment : la vérification sur un canal différent, par un numéro déjà connu, avant tout paiement modifié.
-
Le faux support technique
L'appel ou la fenêtre d'alerte qui annonce un problème sur votre ordinateur et propose de le régler à distance. On voit comment ça se présente, ce qui se passe si on accepte, et pourquoi aucun éditeur ne vous appellera jamais spontanément.
-
Les mots de passe et la double authentification
Pourquoi le mot de passe complexe changé tous les trois mois est une mauvaise idée, ce qui marche à la place, et comment la double authentification arrête une attaque même quand le mot de passe a fuité. Mise en place immédiate sur les comptes critiques si vous le souhaitez.
-
L'usage de l'IA au bureau
Vos équipes utilisent déjà ChatGPT, Copilot ou Gemini, que ce soit décidé ou non. On regarde ce qui se passe réellement quand on colle un contrat, une liste de clients ou un dossier dans un outil grand public, ce qui peut être utilisé ou non selon l'offre souscrite, et où se situe la limite du secret professionnel. On repart avec une règle simple sur ce qui ne sort jamais de l'entreprise.
-
Que faire quand ça arrive
Le plus important, et le plus souvent oublié. Qui prévenir en interne, dans quel ordre, quoi surtout ne pas faire, et pourquoi signaler vite change tout. Une personne qui sait qu'elle ne sera pas blâmée signale en dix minutes plutôt qu'en trois jours, et c'est ce délai qui décide de l'ampleur des dégâts.
Sensibiliser ses équipes à l'usage de l'IA
C'est la demande qui monte le plus vite chez les petites structures, et elle arrive presque toujours après coup : quelqu'un s'aperçoit qu'un dossier client a été collé dans un assistant en ligne, et on se demande ce que ça implique. Le sujet se traite dans la même session, ou seul si c'est votre seule préoccupation.
-
Ce qui sort vraiment de l'entreprise
Un texte collé dans un outil grand public est transmis à un prestataire extérieur. Selon l'offre utilisée, le contenu peut servir à améliorer le service. Pour un notaire, un avocat, un médecin ou un expert-comptable, ce n'est pas une question de confort : c'est une communication à un tiers, face à une obligation de secret professionnel. S'il y a des données personnelles, c'est aussi un transfert sans base légale ni information des personnes concernées.
-
L'IA clandestine, celle qu'on ne voit pas
Quand une entreprise n'a rien dit, les salariés ne s'arrêtent pas : ils utilisent ce qu'ils trouvent, depuis un compte personnel, sans aucune trace côté entreprise. C'est pour ça qu'interdire purement et simplement est la pire des réponses. On gagne beaucoup plus à dire ce qui est permis, avec quel outil, que l'usage ait lieu au grand jour.
-
L'hameçonnage a changé de visage
La faute d'orthographe et la tournure bancale étaient le premier signal d'alarme, et on apprenait aux équipes à les repérer. Ce repère n'existe plus : un message frauduleux peut aujourd'hui être rédigé dans un français parfait, dans le ton de l'entreprise, en reprenant le vocabulaire du métier. Un appel peut imiter une voix connue. La consigne « méfiez-vous des fautes » est périmée, et il faut la remplacer par une règle qui tient toujours : vérifier sur un autre canal, avec un numéro déjà connu.
-
L'outil répond toujours, même quand il se trompe
Un assistant ne dit jamais qu'il ne sait pas : il produit une réponse plausible. Une clause, un calcul ou un chiffre recopié sans vérification engage l'entreprise, pas l'outil. On voit comment distinguer ce qu'on peut déléguer de ce qui doit être relu.
-
Une charte d'une page, pas un règlement
Vous repartez avec un document court et lisible : ce qui est autorisé, avec quel outil, ce qui ne sort jamais de l'entreprise, et qui demander en cas de doute. Plus les réglages concrets à faire dans les outils que vous utilisez déjà, dont la désactivation de l'entraînement sur vos contenus quand l'offre le permet. Un texte d'une page que tout le monde lit vaut mieux qu'un règlement de trente que personne n'ouvre.
La campagne d'hameçonnage mesurée
En complément, et seulement si vous le décidez, je mène une vraie campagne de faux hameçonnage avant la session. Pas un message isolé : une campagne d'une semaine, silencieuse, avec des messages réalistes adaptés à votre activité, envoyés depuis un outil spécialisé (GoPhish) sur une infrastructure dédiée. Personne n'est prévenu de la date, c'est ce qui rend la mesure honnête.
Trois choses sont mesurées : combien de messages ont été ouverts et cliqués, combien ont conduit à une saisie d'identifiants sur la fausse page, et combien ont été signalés. Le signalement est la mesure la plus importante : une équipe qui signale vite est une équipe protégée, même quand quelqu'un a cliqué.
-
Une semaine de campagne silencieuse
Les messages partent à des moments différents, vers les adresses convenues avec vous. Aucune donnée saisie sur la fausse page n'est conservée : l'outil enregistre qu'une saisie a eu lieu, jamais son contenu.
-
Restitution anonymisée
Vous recevez les résultats de façon globale, jamais nominative. Si votre effectif le permet sans identifier personne, la restitution peut distinguer les services (accueil, comptabilité, direction), sinon elle reste globale. Vous saurez combien ont cliqué, jamais qui.
-
La session, appuyée sur vos résultats réels
La formation d'une heure à une heure trente s'ouvre sur les chiffres de votre propre campagne. Une équipe qui découvre que le message piégé est passé chez elle retient infiniment mieux qu'une équipe à qui on l'a raconté.
-
En option : une seconde campagne à deux ou trois mois
Même exercice, autre scénario. C'est la seule façon de savoir si la sensibilisation a réellement changé les réflexes, chiffres à l'appui : moins de clics, plus de signalements, et plus vite.
Le cadre n'est pas négociable. La campagne est formalisée par une lettre d'autorisation signée de la direction avec une clause dédiée à la simulation, le CSE est informé s'il existe, et l'anonymisation est stricte, conformément aux recommandations de la CNIL. Une simulation utilisée pour surveiller ou sanctionner détruit la confiance, et une équipe qui n'a plus confiance ne signale plus rien : c'est le contraire du résultat recherché.
La campagne se vend seule ou à la suite d'un audit de sécurité : dans ce second cas, les scénarios s'appuient sur ce que l'audit a réellement observé chez vous.
Comment ça se passe
- Durée : une heure, une heure trente avec la simulation et les questions
- Lieu : dans vos locaux, dans la salle où vous vous réunissez d'habitude
- Effectif : de 2 à 10 personnes. Au-delà, je dédouble la session
- Horaire : début de journée, pause déjeuner ou fin d'après-midi, selon votre organisation
- Matériel : rien à prévoir de votre côté
- Après : une fiche récapitulative d'une page, à afficher ou à diffuser en interne
La sensibilisation est indépendante de l'audit : vous pouvez la demander seule. Si vous avez déjà fait réaliser un audit de sécurité, la session s'appuie sur les constats réels de votre rapport plutôt que sur des exemples génériques.
Le tarif est annoncé au moment du cadrage, avant toute intervention. J'interviens en Savoie et en Haute-Savoie, principalement autour d'Aix-les-Bains, Chambéry et Annecy.
Les questions que vous vous posez
Peut-on sensibiliser ses équipes à l'usage de ChatGPT ou Copilot en entreprise ?
Oui, c'est un module à part entière de la session. On regarde ce qui sort réellement de l'entreprise quand on colle un document dans un outil grand public, où se situe la limite du secret professionnel, et quels réglages faire dans les outils déjà utilisés. Vous repartez avec une charte d'une page : ce qui est autorisé, avec quel outil, ce qui ne sort jamais. Pour en parler, appelez Yanis Belbagra, de MONTEK, au 06 17 77 75 63.
Faut-il interdire l'IA à ses salariés ?
Non, et c'est même contre-productif. Quand rien n'est dit ou que tout est interdit, l'usage ne s'arrête pas : il passe sur les comptes personnels, hors de toute visibilité de l'entreprise. Mieux vaut autoriser un outil précis, écrire ce qui ne doit jamais y être collé, et rendre l'usage visible. C'est exactement ce que la session met en place.
Faut-il fermer le cabinet pendant la session ?
Non. La session dure une heure et se cale sur votre organisation, souvent en début de journée, sur la pause déjeuner ou en fin d'après-midi. Elle se tient dans vos locaux, dans la salle où vous vous réunissez d'habitude. Il n'y a pas de matériel à prévoir de votre côté.
Nous ne sommes que trois. Est-ce que ça vaut le coup ?
Oui, et c'est même plus efficace. À trois ou quatre personnes, tout le monde pose ses questions et personne ne se cache au fond de la salle. Les exemples peuvent être pris directement dans vos échanges réels plutôt que dans des cas génériques. À l'inverse, au-delà d'une dizaine de participants, je préfère dédoubler la session.
Mes collaborateurs vont-ils se sentir mis en cause ?
C'est précisément ce que la session évite. Le message n'est pas « faites attention », il est « voici pourquoi ces messages sont crédibles, et voici les deux réflexes qui les arrêtent ». Personne n'est pris en défaut, aucun nom n'est cité, et les résultats de la simulation d'hameçonnage ne vous sont remis que sous forme globale, jamais nominative.
La simulation d'hameçonnage est-elle obligatoire ?
Non, elle est optionnelle et se décide avec vous. Quand elle a lieu, elle est anonyme et sans piège inutile : l'objectif est de montrer qu'un message bien fait passe, pas de désigner qui a cliqué. Beaucoup de dirigeants la demandent après la première session, une fois le sujet dédramatisé.
A-t-on le droit de tester ses propres salariés ?
Oui, à condition de respecter un cadre précis, et je ne travaille pas en dehors. La campagne est autorisée par écrit par la direction, avec une clause dédiée dans la lettre d'autorisation. Si l'entreprise a un CSE, il est informé avant la campagne. Les résultats sont strictement anonymisés et aucune donnée saisie sur la fausse page n'est conservée, conformément aux recommandations de la CNIL.
Peut-on faire la sensibilisation sans passer par l'audit ?
Oui. Les deux prestations sont indépendantes et se vendent séparément. Beaucoup de structures commencent par la sensibilisation, parce qu'elle est courte, peu coûteuse et immédiatement utile, puis envisagent l'audit ensuite. L'inverse fonctionne aussi : dans ce cas, la session s'appuie sur les constats réels de votre rapport.
Une heure maintenant, ou des semaines après l'incident
Dites-moi votre métier et votre effectif. Je vous rappelle pour caler le contenu et la date. Pour joindre MONTEK, appelez Yanis Belbagra au 06 17 77 75 63.