Prestation
Sensibilisation de vos équipes au phishing
Aucune protection technique n’empêche un salarié de répondre à un message venu d’un domaine qui ressemble au vôtre. La prestation consiste en une campagne de simulation mesurée, puis une session courte et sans jargon : les trois vérifications à faire avant de valider un virement ou de saisir un mot de passe. Le but est la vigilance, pas la culpabilisation.
Durée · Trois à quatre semaines, dont une heure et demie pour vos équipes
Pour qui
- Une équipe qui manipule des virements, des factures fournisseurs ou des coordonnées bancaires : comptabilité, direction, assistanat.
- Une entreprise qui a déjà mis l’authentification de son domaine en place et veut couvrir ce que la technique laisse passer : les domaines sosies et le nom affiché trompeur.
- Une structure dont l’assureur ou le donneur d’ordre demande une preuve de sensibilisation.
Pas pour qui
- Une organisation qui cherche une plateforme de e-learning avec des modules trimestriels et un tableau de bord. Ce n’est pas ce format.
- Une direction qui veut identifier « ceux qui ont cliqué » pour en tirer des conséquences individuelles. Les résultats sont agrégés, et cette condition n’est pas négociable.
Le format
- 01
Le cadrage
Une demi-heure avec la direction pour convenir du périmètre, des scénarios plausibles pour votre métier, et de la règle du jeu : ce qui sera mesuré, ce qui sera communiqué, et ce qui ne le sera pas.
- 02
La campagne de simulation
Deux à quatre messages, échelonnés, écrits pour votre contexte plutôt que tirés d’un catalogue. Un faux changement de RIB d’un fournisseur que vous avez réellement, une demande urgente qui reprend le nom d’un dirigeant, une notification d’un outil que vous utilisez vraiment.
- 03
La session
Quarante-cinq minutes, sans jargon, en présentiel ou à distance. On y montre les messages de la campagne, ce qui trahissait chacun d’eux, et les trois vérifications qui les auraient tous arrêtés.
- 04
Le compte rendu
Des chiffres agrégés pour la direction, jamais nominatifs, et une règle écrite de validation des changements de coordonnées bancaires, prête à être adoptée.
Les trois vérifications
C’est le cœur de la session, et le seul contenu que les gens retiennent six mois plus tard. Elles tiennent sur un post-it.
- L’adresse, pas le nom. Le nom affiché est du texte libre : il peut dire n’importe quoi, y compris votre propre adresse. Ce qui compte est ce qui se trouve après le
@, lu caractère par caractère. - Un changement de RIB se confirme au téléphone. Sur le numéro que vous avez déjà en fiche, jamais sur celui du message. Deux minutes, et cela arrête la quasi-totalité des cas.
- L’urgence et la confidentialité sont un signal. Un message qui demande de faire vite et de n’en parler à personne demande exactement ce qui empêcherait de le vérifier.
Ce que la campagne ne fait pas
- Aucun résultat nominatif n’est communiqué à la direction. Les chiffres sont agrégés, et c’est une condition de la mission, pas une option.
- Aucun scénario ne joue sur une prime, un licenciement, un décès ou la santé. Ces ressorts fonctionnent et ils abîment la confiance : le taux de clic gagné ne vaut pas ce qu’il coûte.
- Aucune donnée saisie par un salarié dans un formulaire piégé n’est conservée. Le fait qu’il y ait eu saisie est enregistré, pas ce qui a été tapé.
- Personne n’est nommé pendant la session. Les exemples montrés sont les messages, pas les réactions.
Ce qui vous est remis
- 01Une campagne de deux à quatre scénarios, écrits pour votre contexte.
- 02Une session de quarante-cinq minutes, en présentiel ou à distance.
- 03Un compte rendu agrégé pour la direction, sans aucun nom.
- 04Une règle écrite de validation des changements de coordonnées bancaires, prête à adopter.
- 05Un aide-mémoire d’une page pour les postes exposés.
TarifsLes tarifs dépendent du nombre de personnes et du nombre de sites. Ils se discutent au téléphone, en quelques minutes.
Questions fréquentes
Le travail, expliqué en entier et gratuitement
Quinze minutes au téléphone suffisent à savoir si votre domaine est exposé, et l’appel ne vous engage à rien.