Comment mener un appel d’offres de sensibilisation à la cybersécurité sans perdre 6 mois

Vous connaissez ce sentiment, lorsque vous prenez un raccourci pour éviter les embouteillages, que vous passez 10 minutes sur des routes secondaires, pour vous retrouver quand même juste derrière le bus que vous vouliez éviter ? Tout ça pour rien.

C’est à peu près ainsi que se déroulent de nombreux appels d’offres de sensibilisation à la cybersécurité. Six mois de travail, une nouvelle plateforme, et 18 mois plus tard, la direction vous demande ce qui a changé. Les taux de clic et de signalement sont à peu près au même niveau qu’après les premiers progrès observés. Cette situation s’explique souvent par le fait que le processus prend le dessus. Le changement d’outil devient l’objectif, et en cours de route, les équipes perdent de vue le problème qu’elles tentaient de résoudre (à supposer qu’il ait été clair dès le départ).

Je dirige les équipes avant-vente et appels d’offres de SoSafe, donc je vois beaucoup de ces évaluations du point de vue du fournisseur. Voici ce que je ferais différemment si j’étais à votre place.

Éléments à définir avant de contacter les fournisseurs

Pour être tout à fait franc, je pense que nous recherchons tous la même chose : protéger l’entreprise, ne pas payer trop cher, réduire la charge de travail des administrateurs et obtenir un outil que le personnel utilisera et appréciera réellement.

Pour y parvenir, il ne faut pas commencer par une check-list de fonctionnalités, mais prendre le problème à l’envers et partir de la réalité du terrain au quotidien.

Quel est le public cible et quels sont les changements nécessaires ?

Un ouvrier d’usine n’aborde pas la formation et le travail de la même manière qu’un employé de bureau, et le problème peut se présenter de façon totalement différente d’une équipe à l’autre. L’équipe financière peut être confrontée à de fausses demandes de fournisseurs, tandis que les développeurs peuvent intégrer du code dans des outils d’IA non approuvés.

Quelles sont vos zones d’ombre actuelles ?

Supposons que vous connaissiez vos taux de clic, mais que vous ignoriez quelle équipe signale les e-mails suspects plus souvent que les autres. Cette lacune ne doit pas persister lors du passage au nouvel outil.

Quelles sont les limites de l’outil actuel ?

Si on doit constamment contourner une limite, c’est généralement parce qu’il manque une fonctionnalité.

Quelles sont les attentes de la direction et des auditeurs ?

La direction peut avoir certaines attentes, alors qu’un auditeur ou un régulateur peut rechercher quelque chose de totalement différent.

Quelle est la répartition des rôles ?

Quelles tâches la plateforme peut-elle automatiser pour vous ? Sur quels points votre équipe doit-elle encore intervenir ? Et quelles responsabilités vous incomberont dans tous les cas ?

Et si le maintien de la solution actuelle était le meilleur choix ?

N’écartez pas d’emblée votre fournisseur actuel. Soumettez ce fournisseur aux mêmes vérifications que les autres, car vous disposez peut-être déjà des éléments nécessaires sans les utiliser. Dans le cas contraire, vous saurez exactement pourquoi vous en changez.

Évaluation pertinente, critères pertinents

Je comprends très bien pourquoi les appels d’offres se transforment en feuilles de calcul remplies de fonctionnalités. Ces tableaux sont faciles à évaluer pour le service des achats et faciles à remplir pour les fournisseurs. Cependant, une fois que la feuille de calcul dicte la démarche, il est tentant de se focaliser sur le fournisseur qui propose le plus d’options, et d’oublier quel outil résout véritablement le problème initial.

Si l’objectif est d’aider les équipes à mieux gérer les menaces réelles, une accumulation de fonctionnalités ne garantit pas automatiquement ce résultat. Prenons l’exemple des bibliothèques de contenus : des milliers de modules génériques, c’est impressionnant, mais il est plus judicieux de vérifier quelles sont les langues disponibles, si le contenu est pertinent pour l’utilisateur, et si la formation est attrayante.

La même logique s’applique aux indicateurs. Vous pouvez multiplier les tableaux de bord, mais s’ils ne vous indiquent pas si les équipes prennent des décisions plus sûres, ni où votre entreprise est encore exposée, leur utilité reste limitée.

Par ailleurs, ne considérez pas les exigences de l’appel d’offres comme des acquis incontestables. Si un critère n’est présent que parce qu’il figurait dans le précédent appel d’offres ou parce qu’il provient d’un modèle de fournisseur, interrogez-vous sur sa finalité avant de l’évaluer.

Enfin, si un élément n’a qu’un impact marginal, ne lui accordez pas le même poids qu’à un critère dont dépend l’ensemble du programme.

Ce que la démo ne vous montrera pas

La démo ne vous donnera pas la charge de travail que l’outil imposera aux administrateurs, contrairement à quelques semaines d’utilisation réelle. Une preuve de valeur dans votre propre environnement permet de vous faire une idée plus tôt, en s’appuyant sur vos annuaires, groupes d’utilisateurs et flux de travail existants.

Testez délibérément les tâches les plus rébarbatives. Comment sont gérés les arrivées et les départs de personnel ? À quelle vitesse est-il possible de modifier une campagne ? Si une fonctionnalité est qualifiée d’« automatisée », ne vous arrêtez pas à cette affirmation. Testez-la concrètement pour déterminer ce qu’il reste à faire pour votre équipe, car 10 minutes par-ci et 20 minutes par-là s’accumulent plus vite qu’il n’y paraît. Ce temps de gestion fait également partie du coût de l’outil, qu’il figure ou non sur la facture.

Examinez également tout ce qui gravite autour de la plateforme : les paramètres SSO, l’accès aux API, le nettoyage de l’annuaire, les contrôles de confidentialité, les analyses du comité d’entreprise, l’analyse du contenu, la communication interne et la conduite du changement. Certaines options que vous pensiez standard peuvent nécessiter un pack supérieur, ou finir par vous coûter plus cher en temps que l’économie réalisée sur la licence.

Une démo peut faire paraître simples des tâches très manuelles, notamment les imports réguliers de fichiers CSV. Cette opération semble basique jusqu’à ce que des membres du personnel arrivent, changent d’équipe ou partent, ce qui nécessite des mises à jour constante par un membre de votre équipe. Il en va de même pour la génération de rapports de conformité : si une intervention manuelle reste nécessaire pour exporter les données et reconstituer le rapport ailleurs, le processus n’a rien d’automatique. Par ailleurs, ne laissez pas la localisation des données, les sous-traitants ou les certifications de sécurité à la charge du service juridique plus tard dans le processus.

Il est préférable de connaître les engagements pris avant de signer, et non à mi-chemin de l’implémentation.

L’expérience du côté des utilisateurs

Mettez-vous un instant à la place des utilisateurs finaux. Vous cliquez sur une simulation. Est-ce que vous apprenez quelque chose d’utile, ou est-ce que vous avez simplement l’impression d’avoir été piégé(e) ? Vous faites un rapport ou signalez un e-mail suspect. Est-ce que vous recevez un retour, ou est-ce que votre signalement finit simplement dans une file d’attente ? Si, à chaque interaction avec votre service, les équipes reçoivent un énième test, rappel ou module obligatoire, elles finiront tôt ou tard par décrocher mentalement. Essayez d’intégrer cette réflexion dans votre appel d’offres. Cet aspect est plus difficile à quantifier, mais c’est bien ce que le personnel vivra au quotidien, n’est-ce pas ?

Renseignez-vous. Les équipes utiliseront peut-être cet outil pendant des années, il est donc important de savoir comment se passe son adoption à long terme. Échangez avec des clients qui utilisent la solution depuis environ 18 mois et demandez-leur si les équipes trouvent toujours la formation attrayante, si l’assistance reste réactive et ce qu’ils auraient aimé savoir plus tôt.

Définition des critères de réussite avant la signature

Tant que vous avez encore l’attention du fournisseur, convenez des critères de réussite. Qu’est-ce que vous mesurez, quels sont les aspects à améliorer, et à quelle fréquence effectuez-vous des contrôles ? Au bout d’un an ou deux, ces éléments vous permettront de savoir si l’outil remplit toujours son rôle.

Si, au bout de 6 mois de travail sur un appel d’offres, tout ce que vous savez c’est quel fournisseur a obtenu la meilleure note, alors vous avez manqué la moitié des enseignements possibles. Dans l’idéal, ce processus d’évaluation devrait également vous permettre de mieux connaître votre propre programme. Gardez cela à l’esprit tout au long de la démarche, et la plateforme aura de bien meilleures chances de remplir la mission pour laquelle vous l’avez choisie.

À propos de l’auteur

Harry Jeyarajah
Responsable de l’ingénierie solution

Harry Jeyarajah dirige l’équipe d’ingénierie solution chez SoSafe, où il aide les responsables de la sécurité à étayer leurs investissements en sensibilisation par des arguments solides, allant de la réduction des risques au changement de comportement. Il possède 10 ans d’expérience dans le paysage numérique de la région DACH, couvrant les tests A/B, l’infrastructure informatique web et applicative, la gestion du contenu et la gestion du risque humain.

En savoir plus