Sensibilisation de votre équipe

Module 9: Règles et organisation · Temps de lecture : 9 minutes

Objectif pédagogique : après cette leçon, vous saurez organiser la sensibilisation dans une petite équipe : consignes, signalement sans faute, exercices et répétition.
Notions clés : sensibilisation, comportement, culture du signalement, exercice de phishing (avec autorisation et sans sanction), nouveau collaborateur, rappel court

Savoir n'est pas la même chose que faire

Presque tout le monde sait qu'il ne faut pas cliquer sur des liens suspects. Pourtant, cela arrive tous les jours, même chez des personnes qui le savent pertinemment. Ce n'est pas une question de bêtise. C'est parce qu'un e-mail de phishing (leçon 1.2 et module 3) exploite précisément notre façon de travailler : la pression, la précipitation, l'envie d'aider un client ou un collègue. Un vendredi après midi à cinq heures moins le quart, au milieu de trente autres e-mails, une « facture impayée » a l'air tout à fait normale.

La sensibilisation ne porte donc pas uniquement sur les connaissances, mais sur le comportement : que font réellement les personnes, même fatiguées ou pressées ? L'objectif n'est pas que chacun devienne un expert. L'objectif est d'ancrer quelques réflexes simples :

1. S'arrêter face à un message qui demande quelque chose : de l'argent, un mot de passe, un clic, l'ouverture d'une pièce jointe, une installation.
2. Vérifier par un autre canal : se connecter soi-même plutôt que suivre le lien, rappeler sur un numéro connu.
3. Signaler dès que quelque chose cloche, même si vous avez déjà cliqué.

Ce troisième réflexe est le plus important, et il dépend entièrement de la manière dont votre équipe gère ce genre de situation.

Signaler sans faute

Imaginez deux entreprises. Dans la première, un collaborateur qui a cliqué sur un lien de phishing reçoit une réaction furieuse du dirigeant : « Comment avez vous pu être aussi stupide ? » Dans la seconde, le dirigeant répond : « C'est bien de me le dire tout de suite, on va pouvoir changer votre mot de passe immédiatement. »

Que se passe-t-il la prochaine fois que quelqu'un clique ? Dans la première entreprise, il se tait et espère que tout se passera bien. Dans la seconde, il le signale dans les cinq minutes.

Cette différence est considérable. En cas de prise de contrôle de compte ou de début de ransomware (leçon 1.3 et 3.5), chaque heure compte. Un signalement dans les cinq minutes permet de changer le mot de passe avant que l'attaquant ne se soit connecté, de révoquer les sessions, de déconnecter un ordinateur du réseau avant que quoi que ce soit ne soit chiffré. Un signalement trois semaines plus tard, ou jamais, signifie que l'attaquant a eu tout le temps nécessaire.

Une bonne culture du signalement présente quelques caractéristiques :

• Un point de contact clair. Chacun sait à qui s'adresser : un nom et un numéro de téléphone, ainsi qu'un remplaçant en cas d'absence. Cela figure également sur la fiche d'incident (leçon 8.1).
• Remercier, ne pas sanctionner. Toute personne qui signale un problème, même sa propre erreur, reçoit un remerciement. Dites le à voix haute devant l'équipe : « Sanne a signalé ce matin une fausse facture, ce qui nous a permis d'avertir les autres. »
• Le doute est permis. « Je ne sais pas si c'est authentique » est un bon signalement. Mieux vaut faire vérifier dix fois un e-mail légitime que de laisser passer une seule fois un faux.
• L'exemple de la direction. Si le dirigeant lui même signale qu'il a failli se faire piéger, cela facilite les choses pour tout le monde.

Sanctionner produit l'effet inverse. Non pas parce que les erreurs ne sont pas graves, mais parce que les sanctions ne réduisent pas le nombre d'erreurs, seulement le nombre de signalements.

Des consignes qui facilitent le bon comportement

Les personnes suivent plus facilement une règle claire et simple. Veillez à ce que le comportement sûr soit aussi le comportement le plus facile. Voici quelques consignes adaptées à presque toutes les petites entreprises :

Rédigez les consignes sur une seule page. Pas vingt pages de politique que personne ne lit, mais une petite liste qui peut être affichée près de la machine à café.

S'exercer

Une consigne que vous ne pratiquez jamais finit par s'oublier. Il existe plusieurs façons de s'exercer, du plus léger au plus poussé.

Examiner des exemples ensemble. Consacrez cinq minutes lors de votre réunion d'équipe à un véritable e-mail suspect reçu par quelqu'un (sans données personnelles). Qu'est ce qui a permis de le repérer ? Quel était le vrai domaine du lien ? Cela ne coûte rien et fonctionne étonnamment bien, car cela porte sur de vrais messages reçus dans votre propre messagerie.

Un exercice de simulation (tabletop). Vous discutez ensemble d'un scénario : « C'est lundi matin et plus personne ne peut accéder au lecteur réseau. Un message de demande de rançon s'affiche sur chaque ordinateur. Que faisons nous ? » Vous parcourez la fiche d'incident et identifiez les points qui coincent (leçon 8.1). Une heure, une fois par an.

Un exercice de phishing. Vous envoyez à vos collègues un faux e-mail de phishing pour voir qui clique et qui le signale. Cela peut être instructif, mais seulement si c'est bien fait :

• Avec autorisation et annoncé. Prévenez au préalable que des exercices auront lieu cette année, sans en préciser la date. Personne ne doit se sentir trompé après coup.
• Sans sanction. Celui qui clique reçoit immédiatement une brève explication sur les indices qu'il aurait pu repérer, pas de réprimande ni de liste de noms évoquée en réunion d'équipe.
• Mesurer ce qui compte. Le nombre de signalements est plus important que le nombre de clics. Un exercice où trois personnes cliquent mais où cinq le signalent dans les dix minutes est une réussite.
• Pas de thèmes malveillants. Pas de faux e-mail sur une prime, un licenciement ou la santé d'un collègue. Cela abîme la confiance plus que cela n'apporte.
• Soyez attentif à la vie privée. Ne conservez pas plus longtemps que nécessaire la liste de ceux qui ont cliqué, et ne l'utilisez jamais pour une évaluation.

Pour une équipe de cinq personnes, la première forme suffit souvent déjà. Un exercice de phishing n'a de sens que lorsque les consignes et le point de contact sont en place.

Nouveaux collaborateurs et répétition

Deux moments méritent une attention particulière.

Le premier jour de travail. Un nouveau collaborateur reçoit des comptes, un ordinateur portable et un accès aux systèmes. C'est précisément durant ces premières semaines qu'il ne sait pas encore ce qui est normal, et donc pas non plus ce qui est inhabituel. Un escroc se faisant passer pour « le service informatique » ou « le dirigeant » a alors plus de chances de réussir. Consacrez une demi-heure, dès le début, à la page avec les consignes, au point de contact, au gestionnaire de mots de passe et à l'activation de l'authentification à deux facteurs. Intégrez cela dans la même liste que le reste de l'intégration (leçon 7.1).

Rappel court. La sensibilisation s'estompe avec le temps. Une longue formation par an est moins efficace que cinq minutes chaque mois. Quelques idées pour un rappel court :

• discuter d'un e-mail suspect reçu ce mois ci ;
• mettre en lumière une consigne de la liste et demander si elle fonctionne toujours ;
• évoquer un nouveau type de fraude relayé dans l'actualité (par exemple un nouveau prétexte par SMS ou WhatsApp, leçon 3.4) ;
• poser la question « est ce que quelqu'un a signalé quelque chose ce mois ci ? » et remercier celui qui l'a fait.

En pratique : à quoi cela ressemble

Un exemple, composé à partir de situations fréquentes. Un cabinet d'architectes de neuf personnes disposait d'un document de politique de quatorze pages, signé à l'embauche puis plus jamais consulté. Après une tentative de fraude à la facture qui a presque réussi, l'entreprise a changé trois choses : une page avec six consignes affichée près de l'imprimante, un nom et un numéro de téléphone fixes pour signaler un problème, et cinq minutes consacrées au « courrier suspect » chaque premier lundi du mois en réunion d'équipe. Au cours du premier semestre, davantage de signalements sont arrivés que durant les cinq années précédentes. Deux d'entre eux concernaient de véritables attaques, détectées si tôt que rien ne s'est produit. Le reste était de fausses alertes, qui ont chaque fois simplement été remerciées.

Résumé

• La sensibilisation porte sur le comportement : s'arrêter, vérifier par un autre canal, et signaler.
• Signaler sans faute favorise des signalements rapides ; sanctionner ne fait que réduire les signalements, pas les erreurs.
• Consignez les consignes sur une seule page et faites en sorte que le comportement sûr soit le plus facile à adopter.
• Entraînez vous avec de vrais exemples et un exercice de simulation ; ne faites un exercice de phishing qu'annoncé, sans sanction et en respectant la vie privée.
• Accordez une attention particulière aux nouveaux collaborateurs et répétez les messages brièvement et souvent.

Quiz

Exercice

Exercice D9.2 : Un plan de sensibilisation pour votre équipe. Créez pour votre propre entreprise une page avec huit consignes maximum, désignez un point de contact et un remplaçant, et planifiez pour l'année à venir les moments de rappel court et l'exercice que vous réaliserez. Répondez ensuite aux questions de réflexion.

Pour aller plus loin

Les étapes décrites dans les articles de WebOké s'appliquent à l'environnement de WebOké ; chez d'autres fournisseurs, le principe est comparable.

• Cet e-mail provient-il réellement de WebOké ? Reconnaître le phishing et utiliser le code promotionnel
• Cybermalveillance.gouv.fr, assistance aux victimes et conseils pour les entreprises : https://www.cybermalveillance.gouv.fr/
• ANSSI, ressources sur la cybersécurité : https://cyber.gouv.fr/
• Signal Spam (signaler un e-mail de phishing) : https://www.signal-spam.fr/