Chantier
Mise à niveau
Avec la double authentification, un mot de passe volé ne suffit plus à entrer.
- Double authentification
- Gestionnaire de mots de passe
- Ménage dans les comptes
Sécuriser · chantier 04
Sensibilisation des équipes à la cybersécurité, en Savoie
43 % des attaques subies par les TPE et PME passent par l’hameçonnage. Aucun outil ne remplace une équipe qui sait reconnaître un faux message et qui ose le signaler.
Le contenu
Six sujets, tirés de ce qui arrive vraiment
Pas de théorie, pas de vocabulaire d’expert. On part de messages réels, on les décortique ensemble, et chacun repart avec deux ou trois réflexes qu’il retiendra.
-
Reconnaître un faux message
Sur des exemples réels, y compris des imitations de vos propres fournisseurs. On regarde ce qui trahit un faux, et surtout ce qui ne le trahit pas : les plus dangereux sont parfaitement écrits.
-
Le faux ordre de virement
Le scénario qui coûte le plus cher aux PME : un fournisseur qui annonce un changement de RIB, un dirigeant en déplacement qui demande un virement urgent. On voit comment vérifier, et à qui ça n’arrive jamais.
-
Les mots de passe, pour de bon
Pourquoi le vôtre circule déjà probablement, pourquoi le changer tous les trois mois ne sert à rien, et comment un gestionnaire règle le problème en dix minutes.
-
Le télétravail et le matériel personnel
Wi-Fi d’hôtel, téléphone personnel qui relève les mails de l’entreprise, ordinateur familial. Ce qui pose vraiment problème, et ce qui n’en pose pas.
-
Les usages de l’IA
Ce qui se passe quand un salarié colle un devis, un contrat ou un fichier clients dans un assistant en ligne avec son compte personnel. Et ce qu’il peut faire à la place.
-
Que faire dans la première heure
Qui prévenir, ce qu’il ne faut surtout pas faire, et pourquoi signaler une erreur vaut mieux que la cacher. C’est la partie qui change le plus les choses.
Ce qui protège une entreprise, ce n’est pas d’avoir zéro clic. C’est d’avoir quelqu’un qui ose dire qu’il vient d’en faire un.
Le format
Deux heures, chez vous, avec vos vrais messages
Un atelier, pas un cours. Les participants parlent, montrent leurs propres messages douteux, et repartent avec une fiche d’une page.
-
La préparation
À distance
Nous récupérons quelques messages douteux réellement reçus par vos équipes, et nous regardons publiquement ce qu’un attaquant peut apprendre de votre entreprise en dix minutes.
-
L’atelier
2 heures
En une seule fois, dans vos locaux, avec toute l’équipe. Cas réels, échanges, questions. Aucun support projeté de quarante diapositives.
-
La fiche réflexe
Remise le jour même
Une page affichable près des postes : les cinq signaux d’alerte, la marche à suivre en cas de doute, et le numéro à appeler.
-
L’exercice, en option
Quelques semaines après
Une campagne d’hameçonnage simulée, annoncée à la direction seule. Les résultats sont donnés de façon collective et anonyme : le but est de mesurer, pas de désigner quelqu’un.
Le format
Deux heures, chez vous, avec vos vrais messages
Pas de salle louée, pas de support de quarante diapositives. On s’assoit autour d’une table avec l’équipe, on ouvre les messages douteux que vous avez réellement reçus, et on les décortique ensemble.
Les participants parlent, montrent ce qui les a fait douter, racontent la fois où ils ont failli. C’est cette conversation-là qui change les réflexes, pas la liste de règles.
- Toute l’équipe en une seule fois
- Cas réels, y compris des imitations de vos fournisseurs
- Une fiche d’une page remise le jour même
Notre règle
On ne fait honte à personne
Un exercice d’hameçonnage dont les résultats nominatifs circulent produit exactement l’inverse de ce qu’on cherche : les gens ne signalent plus rien, par peur d’avoir l’air bête.
Or ce qui protège une entreprise, ce n’est pas d’avoir zéro clic, c’est d’avoir quelqu’un qui dit « je crois que je viens de faire une bêtise » dans les cinq minutes. Cinq minutes, c’est réparable. Trois jours, non.
Nos résultats sont donc toujours collectifs et anonymes, et l’atelier insiste autant sur la façon de signaler que sur la façon de reconnaître.
- Résultats collectifs et anonymes
- Cas réels plutôt qu’exemples génériques
- Deux heures, pas une journée
- Une fiche d’une page, affichable
- Aucun jargon non expliqué
Vos questions
Ce qu’on nous demande sur l’atelier
Est-ce que les résultats sont nominatifs ?
Jamais. Un exercice dont les résultats circulent avec des noms produit exactement l’inverse de ce qu’on cherche : les gens cessent de signaler, par peur d’avoir l’air bête. Nos restitutions sont collectives et anonymes, sans exception.
Mon équipe n’est pas du tout à l’aise avec l’informatique.
C’est le cas de la plupart des équipes que nous rencontrons, et ça ne pose aucun problème : l’atelier ne demande aucune connaissance préalable. Les personnes les moins à l’aise sont souvent celles qui posent les meilleures questions.
Il faut le refaire tous les ans ?
Un rappel annuel est utile, surtout quand l’équipe change. Mais l’essentiel se joue à la première fois, et l’exercice d’hameçonnage quelques semaines après suffit souvent à ancrer les réflexes.
Les chantiers voisins
Ce qui rattrape les erreurs
Une équipe formée fait beaucoup moins d’erreurs. Ces trois chantiers font en sorte qu’une erreur reste sans conséquence.
Chantier
Site et messagerie
Les réglages du domaine bloquent une partie des faux messages avant même qu’ils arrivent.
- SPF, DKIM et DMARC
- Règles de redirection
- Surveillance du domaine
Chantier
Sauvegarde et continuité
Si malgré tout ça passe, c’est la sauvegarde testée qui décide de la suite.
- Test réel de restauration
- Copie hors de portée
- Fiche réflexe
À lire aussi
Pour aller plus loin
Bonnes pratiques
La double authentification, le geste qui coûte zéro euro
Elle est gratuite sur presque tous les services, elle bloque la majorité des intrusions, et seules 26 % des TPE et PME l’ont activée. Voilà comment s’y prendre sans braquer l’équipe.
LirePrévenir, sécuriser, continuer
Le meilleur endroit par où commencer
Peu technique, peu cher, et c’est souvent l’atelier qui déclenche la suite : les questions posées ce jour-là révèlent la moitié des problèmes.
Sans engagement · Savoie et Haute-Savoie