Sensibiliser ses salariés à la cybersécurité : un plan simple d'une heure par trimestre

Un faux RIB, un lien piégé, un mot de passe saisi sur une fausse page : les attaques les plus fréquentes contre les petites entreprises passent par une personne de bonne foi. Voici un plan sur un an, à raison d'une heure par trimestre, avec pour chaque séance un thème, un support et un exercice, puis les règles pour signaler sans crainte, encadrer les faux hameçonnages et mesurer les progrès.

01Pourquoi le facteur humain compte

« Les erreurs humaines et les attaques par ingénierie sociale sont à l'origine d'un nombre important d'incidents de sécurité », constate la CNIL (fiche « Impliquer et former les utilisateurs », mars 2024). L'ingénierie sociale, c'est manipuler quelqu'un pour qu'il clique, donne un code ou paie.

En 2025, les trois premiers motifs d'assistance des entreprises et associations chez Cybermalveillance.gouv.fr étaient le piratage de compte (21 %), « conséquence des violations de données et des campagnes d'hameçonnage réussies », l'hameçonnage (16 %) et la fraude au virement (13,5 %) (bilan publié le 6 mai 2026).

Parmi les TPE/PME victimes d'un incident en un an, 43 % citent l'hameçonnage. Pourtant, 4 entreprises sur 10 n'ont eu aucune sensibilisation en 12 mois, et 59 % de celles qui ne se disent pas préparées à une attaque invoquent le manque de temps (baromètre 2025, sondage OpinionWay pour Cybermalveillance.gouv.fr, 588 entreprises de moins de 250 salariés).

02Le plan sur un an

Chaque séance suit le même déroulé : 10 minutes sur les signalements du trimestre, 20 minutes sur le thème, 20 minutes d'exercice, 10 minutes de questions.

L'exercice du premier trimestre fait passer les participants de l'autre côté : en rédigeant eux-mêmes un e-mail piégé, ils comprennent mieux les techniques de manipulation. Au troisième, invitez en priorité ceux qui saisissent ou valident les paiements : le guide de Cybermalveillance.gouv.fr et Bpifrance pour les dirigeants (2021) leur réserve une sensibilisation spécifique. Entre deux séances, la CNIL conseille des rappels « en fonction de l'actualité de l'organisme », comme une tentative d'hameçonnage récente.

03Les ressources officielles en libre accès

• Le kit de sensibilisation de Cybermalveillance.gouv.fr (mis à jour le 2 juin 2026) : neuf thèmes, des mots de passe aux rançongiciels, en fiches, mémos, affiche, bande dessinée, vidéos et quiz. Sous licence ouverte Etalab 2.0, il peut être adapté à vos couleurs, en citant la source.
• La MalletteCyber Pro, lancée le 25 juin 2026 pour les TPE-PME : livret pédagogique, affiche, jeu de cartes et infographie, gratuits et sous licence ouverte. Ses ateliers durent de 15 minutes à 1 heure, selon sa présentation.
• La fiche « Cyberattaque : consignes pour les collaborateurs » : cinq consignes d'urgence, à afficher près de chaque poste.
• Le Cybermois, chaque année en octobre : le mois européen de la sensibilisation à la cybersécurité, piloté en France par Cybermalveillance.gouv.fr. Son kit 2026 propose affiches, vidéos et un « Cyberoscope » de conseils mois par mois : de quoi nourrir vos rappels.

Bon à savoir

La plateforme du MOOC SecNumacadémie de l'ANSSI est « actuellement fermée » pour refonte. Sa page d'accueil, consultée le 30 octobre 2026, annonce une nouvelle version « courant 2026 ». Vérifiez sa réouverture avant de l'inscrire à votre plan.

04Une procédure de signalement simple, sans reproche

Le guide d'hygiène informatique de l'ANSSI demande un référent sécurité « connu de tous les utilisateurs », soutenu par la direction, qui centralise les incidents (mesure 39) : le dirigeant, un salarié volontaire ou votre prestataire. Affichez la règle :

1. Quoi : un message douteux, un clic regretté, un mot de passe saisi par erreur, une demande de virement inhabituelle, un poste au comportement anormal.
2. À qui : le référent, dont le nom et le numéro sont affichés, ou le support informatique en cas d'attaque visible.
3. Comment : tout de suite, de vive voix ou par téléphone.
4. Ensuite : le référent remercie, applique les réflexes « si un salarié a cliqué » de notre article sur l'hameçonnage et prévient les collègues concernés.

À retenir

Plus l'alerte est rapide, plus les dégâts sont limités. Or un salarié qui craint d'être sanctionné hésite à signaler son erreur. Remerciez chaque alerte, même fausse.

05Les exercices de faux hameçonnage : utiles, s'ils sont encadrés

Le principe : envoyer un faux message piégé, inoffensif, pour voir qui clique et qui signale. L'ANSSI conseille de « tester le comportement des utilisateurs par des campagnes internes d'hameçonnage » (Les Essentiels « Défense en profondeur », juillet 2026), et la CNIL des simulations d'incidents de sécurité « avec l'organisation préalable et l'encadrement nécessaires à tout exercice de sécurité ». Quatre précautions :

1. Prévenez l'équipe qu'un programme d'exercices existe, sans en donner les dates. Le Code du travail interdit de collecter une information personnelle sur un salarié par un dispositif « qui n'a pas été porté préalablement à sa connaissance » (article L1222-4).
2. Ne sanctionnez pas. L'exercice sert à apprendre : punir quelqu'un pour un e-mail qu'on lui a soi-même envoyé ressemble à un piège et dissuade de signaler. Associez les ressources humaines avant de vous lancer.
3. Expliquez aussitôt : un clic mène à une page qui montre les signes à repérer.
4. Comptez les signalements autant que les clics, et ne présentez que des résultats d'équipe, jamais de classement nominatif.

06Les nouveaux arrivants

Pour l'ANSSI, chaque utilisateur doit être informé des règles « dès son arrivée » (mesure 2 du guide d'hygiène). La CNIL recommande même une session obligatoire sur la protection des données pour tout nouvel arrivant quand l'activité principale en traite. Prévoyez un quart d'heure le premier jour : les règles et la charte détaillées dans notre checklist d'arrivée et de départ, le nom du référent, la fiche de consignes et la date de la prochaine séance.

07L'implication de la direction

La culture de la cybersécurité doit être « incarnée par le dirigeant et son comité de direction », écrivent Cybermalveillance.gouv.fr et Bpifrance, qui conseillent aussi de désigner un salarié « ambassadeur des bonnes pratiques ». Concrètement, le dirigeant :

• bloque les quatre dates dès janvier et ouvre chaque séance ;
• applique les mêmes règles : contre-appel avant un virement, double authentification, exercices ;
• raconte les tentatives reçues et ses propres erreurs, ce qui autorise les autres à en parler.

08Mesurer les progrès avec trois indicateurs

1. La participation : la part de l'équipe présente à chaque séance, direction comprise.
2. Les signalements : le nombre de messages suspects signalés par trimestre. Une hausse est une bonne nouvelle.
3. Les exercices : la part de l'équipe qui a signalé le faux message, comparée à celle qui a cliqué.

En résumé

• Les trois premières menaces visant les entreprises en 2025 reposent souvent sur une personne trompée.
• Une heure par trimestre : un thème, un support gratuit, un exercice.
• Un référent connu de tous, et un merci pour chaque signalement.
• Des faux hameçonnages annoncés, sans sanction, mesurés en signalements autant qu'en clics.
• La direction participe et applique les mêmes règles.

Pour animer ces séances ou organiser des campagnes d'hameçonnage simulées, découvrez nos solutions de cybersécurité, qui comprennent la formation et la sensibilisation des utilisateurs. Vous pouvez aussi nous contacter du lundi au vendredi, de 9 h à 18 h.