Cybersécurité : comment sensibiliser ses salariés aux cybermenaces

Antivirus, pare-feu, sauvegardes : les protections techniques sont indispensables, mais elles ne suffisent pas. Les attaquants le savent et ciblent en priorité les personnes, par des techniques d’ingénierie sociale : un faux mail du service informatique, un faux fournisseur qui change de RIB, un appel qui se fait passer pour la direction.

Un salarié bien formé devient au contraire un capteur d’alerte : il repère le message suspect, ne clique pas, et prévient le bon interlocuteur. Dans une TPE ou une PME sans service informatique dédié, c’est souvent la seule barrière réelle entre une tentative d’attaque et un incident grave.

La sensibilisation répond aussi à une exigence de conformité : le RGPD impose aux entreprises de mettre en œuvre des mesures techniques et organisationnelles adaptées pour protéger les données personnelles. La formation du personnel fait partie des mesures organisationnelles attendues. Certains clients, donneurs d’ordre ou assureurs demandent également des preuves de sensibilisation.

Inutile de noyer vos salariés sous le jargon technique. Concentrez-vous sur les menaces qu’ils rencontreront réellement :

Ajoutez les risques liés au télétravail (Wi-Fi public, poste partagé en famille, documents imprimés à domicile) et aux réseaux sociaux, où les attaquants collectent des informations pour rendre leurs messages crédibles.

Une sensibilisation efficace repose sur quelques règles simples, répétées et affichées :

1. Des mots de passe longs et uniques pour chaque service, idéalement gérés par un gestionnaire de mots de passe validé par l’entreprise.
2. La double authentification activée partout où c’est possible (messagerie, outils cloud, accès à distance).
3. Les mises à jour installées sans attendre sur les postes et les téléphones.
4. Le doute systématique face à l’urgence : une demande pressante, inhabituelle ou confidentielle se vérifie par un autre canal.
5. La séparation des usages : pas de logiciel personnel ni de compte privé sur le poste professionnel sans accord.
6. Le verrouillage de la session dès qu’on quitte son poste, y compris quelques minutes.
7. Le signalement immédiat de tout incident, même en cas d’erreur personnelle.

Le point le plus important : un salarié qui a cliqué doit pouvoir le dire tout de suite, sans crainte d’être sanctionné. Plus l’alerte est rapide, plus les dégâts sont limités. Une culture du signalement vaut mieux qu’une culture de la faute.

1. Faire un état des lieux : quels outils utilisent vos équipes, quelles données sensibles manipulent-elles, qui a accès à quoi ? Identifiez les postes les plus exposés : comptabilité, RH, direction, accueil.
2. Mesurer le niveau de départ : un questionnaire court, comme notre test cybersécurité gratuit, permet de repérer les lacunes et de mesurer les progrès ensuite.
3. Former tout le monde, puis adapter par métier : un socle commun pour tous les salariés, complété par des modules ciblés (fraude au virement pour la comptabilité, données personnelles pour les RH).
4. Rédiger une charte simple : une ou deux pages sur les usages autorisés, les règles de mots de passe et la procédure de signalement, annexée au règlement intérieur si besoin.
5. Entretenir dans la durée : rappels réguliers, courtes capsules, exercices de faux hameçonnage réalisés de manière pédagogique et bienveillante, point cybersécurité à l’accueil des nouveaux arrivants.

La sensibilisation n’est pas un événement ponctuel : les techniques des attaquants évoluent, les réflexes s’émoussent. Prévoyez au minimum un rappel annuel et une mise à jour du contenu.

• Une session collective en intra, dans vos locaux ou à distance : c’est le format le plus efficace pour lancer une dynamique. Les exemples sont adaptés à vos outils et les salariés échangent sur leurs propres situations (formation intra).
• Une formation inter-entreprises : utile pour le référent informatique ou le dirigeant d’une petite structure, qui pourra ensuite relayer en interne. Voir notre formation Sensibilisation des collaborateurs aux cybermenaces.
• L’e-learning : pratique pour toucher des équipes dispersées ou en horaires décalés, et pour les rappels réguliers, par exemple avec notre module Cybersécurité - SSI en e-learning, complété par RGPD pour vous.

Le mélange des formats fonctionne bien : une session de lancement en présentiel, puis des modules courts en ligne pour ancrer les réflexes.

Quel que soit le format, privilégiez une approche positive et concrète : des exemples réels de messages piégés, des démonstrations simples, des exercices où chacun doit repérer les indices d’une arnaque. Évitez le discours anxiogène ou trop technique, qui démobilise. L’objectif n’est pas de transformer vos salariés en experts, mais de leur donner des réflexes durables et l’envie de signaler.

Chaque salarié doit savoir quoi faire dans les premières minutes :

• ne pas éteindre le poste mais le déconnecter du réseau (câble et Wi-Fi) en cas de suspicion de rançongiciel ;
• prévenir immédiatement le référent désigné (informatique, prestataire, direction), dont le contact doit être affiché ;
• ne pas payer de rançon et ne pas répondre à l’attaquant ;
• changer les mots de passe concernés depuis un autre appareil sain.

Côté entreprise, le site public cybermalveillance.gouv.fr propose des fiches pratiques et une mise en relation avec des prestataires. En cas de violation de données personnelles, une notification à la CNIL peut être obligatoire selon la situation : renseignez-vous auprès de votre délégué à la protection des données ou directement sur le site de la CNIL. Un dépôt de plainte est également recommandé.

NAPSIA, organisme de formation certifié Qualiopi à Toulouse, accompagne les TPE, PME et grandes entreprises dans la sensibilisation de leurs salariés aux cybermenaces.

• Un positionnement gratuit avec le test cybersécurité pour mesurer le niveau de vos équipes avant et après la formation.
• Des formats adaptés : sessions dans vos locaux partout en France, à Toulouse, en classe virtuelle ou en e-learning.
• Des contenus concrets, construits à partir de vos outils et de vos situations métier.
• Un accompagnement au financement via votre OPCO et votre plan de développement des compétences. Découvrez nos solutions pour les entreprises.