Rendre le mois de la sensibilisation à la cybersécurité pertinent pour l’ensemble du personnel

Tous les ans en octobre, le mois de la sensibilisation à la cybersécurité offre aux entreprises une excellente occasion de fédérer leurs équipes autour de la sécurité. Des campagnes sont lancées, des affiches font leur apparition, et les équipes déploient des efforts considérables pour impliquer les collaborateurs. Cependant, pour moi, la question la plus intéressante reste de savoir ce qui se passe ensuite, lorsque chacun reprend ses habitudes et doit prendre des décisions sans avoir un rappel sous les yeux.

En tant que Responsable Relations Clients Senior chez SoSafe, je constate à quel point il peut être difficile de rendre la sensibilisation pertinente pour l’ensemble du personnel. Les entreprises souhaitent toucher tout le monde, souvent avec un temps de préparation limité, mais leurs collaborateurs ont des quotidiens professionnels très différents. Et la compréhension de ces différences peut révéler des opportunités qu’une campagne planifiée au niveau central risquerait de manquer.

Un message commun doit pouvoir s’adapter à différentes réalités

Prenons l’exemple d’une personne qui travaille au service financier, d’un technicien de production et d’un collaborateur qui se déplace sur les sites des clients. Tous trois peuvent être confrontés à l’ingénierie sociale, mais les situations qu’ils rencontrent et la façon dont ils accèdent aux informations peuvent être très différentes.

Un bon point de départ consiste à trouver le juste équilibre entre cohérence centrale, pertinence locale et participation active.

Un référentiel central permet d’éviter les messages décousus et d’avoir partout les mêmes attentes en matière de sécurité. Les équipes locales peuvent ensuite adapter cette expérience à leur environnement de travail. Une discussion sur le phishing peut s’intégrer naturellement dans une réunion de bureau, tandis qu’un court exercice visuel lors d’une transmission entre équipes sera plus facile à mettre en place ailleurs.

Une norme de sécurité commune ne signifie pas que tout le monde doit suivre la même formation pour l’assimiler. Parfois, la contribution la plus utile d’une équipe locale consiste à expliquer à quel moment les collaborateurs sont susceptibles de rencontrer un risque, et ce qui pourrait les empêcher d’y réagir de manière adéquate.

Ces détails nous aident à concevoir une sensibilisation adaptée à la réalité du terrain.

Nous avons exploré une autre approche dans la campagne ECSM 2026 de SoSafe, qui comprenait de courts épisodes de podcast en allemand et en anglais. Ces épisodes ont été bien accueillis par les collaborateurs, qui y ont vu une autre façon d’explorer les sujets de la campagne dans la langue de leur choix.

Recours à des situations déjà connues

Les meilleures occasions de parler de cybersécurité naissent parfois d’expériences banales. La plupart d’entre nous scannent des QR codes sans grande hésitation, que ce soit pour payer un stationnement ou consulter le menu d’un restaurant. Évoquer cette situation constitue une manière étonnamment désarmante de lancer une discussion sur la confiance, car tout le monde peut s’y identifier.

J’apprécie particulièrement les exemples qui encouragent chacun à s’interroger sur ses propres réactions. Serions-nous capables de reconnaître une demande douteuse ? Qu’est-ce qui nous inciterait à nous interrompre pour vérifier ? Et nous sentirions-nous à l’aise pour demander conseil à quelqu’un ?

Cette dernière question mérite réflexion. On sait que l’ingénierie sociale peut exploiter le comportement humain normal, en prenant souvent les personnes au dépourvu lorsqu’elles sont occupées ou qu’elles essaient d’être utiles. Pourtant, il est tout à fait compréhensible que ces mêmes personnes se sentent gênées d’admettre avoir cliqué sur un lien trompeur ou partagé des informations.

L’hésitation à signaler une erreur peut devenir un problème plus grave que l’erreur initiale elle-même. Selon comment les collaborateurs sont traités lorsqu’ils font part de leurs préoccupations, ils seront plus ou moins à l’aise pour s’exprimer à nouveau. Même un rapide accusé de réception peut faire la différence en confirmant que leur signalement est utile.

Contribution des collaborateurs à la discussion

S’il y a bien une chose précieuse dans le travail au contact des clients, c’est que les interlocuteurs partagent souvent des informations que l’on n’aurait pas pensé à demander. Les programmes de sensibilisation peuvent bénéficier de cette même ouverture.

Les collaborateurs peuvent suggérer des situations plausibles pour des simulations de phishing ou partager des histoires anonymisées sur des escroqueries qu’ils ont rencontrées. Leurs observations peuvent révéler les points sur lesquels les consignes existantes semblent floues et les situations où des solutions de contournement ont été développées simplement pour faciliter le quotidien.

La créativité a également toute sa place dans ce contexte. Un escape game ou un petit défi explorant le point de vue d’un hacker peut favoriser un rapprochement des collaborateurs. Une activité rapide à la cantine ou un prompt visuel saisonnier permet de toucher les personnes qui interagissent rarement avec les e-mails ou les formations en ligne.

Bien entendu, une campagne plus ambitieuse n’est pas toujours réalisable. Une discussion de 5 minutes autour d’une expérience pertinente peut donner à une équipe davantage d’éléments de réflexion qu’une activité complexe.

Lorsque les collaborateurs intègrent leurs propres expériences à la discussion, on découvre souvent des éléments qui ne seraient jamais apparus par le seul biais d’une campagne de sensibilisation planifiée.

Poursuite de la discussion à la maison

Je pense aussi que nous sous-estimons parfois à quel point la cybersécurité peut s’avérer pertinente sur le plan personnel.

Un collaborateur peut reconnaître un message suspect parce qu’il a déjà aidé un parent à faire face à une situation similaire. Un autre collaborateur peut s’inspirer d’un cours suivi au travail pour parler des escroqueries en ligne avec ses enfants. Ces échanges peuvent aider chacun à devenir un référent de confiance en matière de cybersécurité au sein de sa famille et de sa communauté.

Une dimension « famille et amis » incite les collaborateurs à faire un lien entre ce sujet et leurs proches. Cette approche peut également faciliter les discussions sur le lieu de travail. Une personne mal à l’aise à l’idée d’évoquer sa propre expérience sera peut-être tout à fait disposée à partager ce qui est arrivé à un ami.

Cette démarche permet d’ouvrir une discussion franche sur des situations que d’autres ont également pu rencontrer.

Analyse des répercussions après la participation

Les taux d’achèvement sont utiles pour comprendre la portée de la formation. Ils laissent cependant de nombreuses questions pertinentes sans réponse.

Par exemple, les collaborateurs sont-ils désormais plus à l’aise pour signaler une activité suspecte ? Dans quels délais font-ils part de leurs préoccupations ? Que nous apprennent les exemples qu’ils soumettent sur les risques rencontrés ?

Une augmentation des signalements peut parfois indiquer un renforcement de la confiance plutôt qu’une dégradation des réflexes de sécurité. L’analyse de ces tendances parallèlement au feedback des collaborateurs nous aide à comprendre la situation.

Et tout feedback mérite une réponse. Lorsqu’une personne signale un processus confus ou suggère un meilleur exemple, un suivi lui montrera que sa contribution a été entendue. Cette démarche nous permet également d’améliorer ensemble la prochaine activité.

Manque de temps ? 4 décisions pour commencer

Je sais à quelle vitesse un programme de sensibilisation peut devenir difficile à gérer lorsque les équipes tentent de répondre aux besoins de chacun avec des ressources limitées. Quelques décisions ciblées peuvent grandement faciliter la planification :

• Un risque pertinent : choisissez une situation que les collaborateurs sont réellement susceptibles de rencontrer dans leur travail.
• Une histoire concrète : trouvez un exemple qui aide chacun à comprendre pourquoi on peut se laisser piéger.
• Un moyen de participer : créez une opportunité pour des collègues de partager une expérience ou d’explorer un scénario ensemble.
• Un indicateur de suivi : Convenez d’un élément à réévaluer pour déterminer si l’activité a été utile.

Vous disposez ainsi d’un point de départ pratique, qui laisse la possibilité de développer la prochaine activité en fonction des retours obtenus.

Le mois de la sensibilisation à la cybersécurité permet d’attirer l’attention sur un sujet en concurrence avec de nombreuses autres priorités. Ce que j’apprécie le plus, c’est qu’il crée une occasion d’améliorer les échanges entre les équipes de sécurité et les personnes à qui elles prêtent assistance.

Certains de ces échanges mettront en lumière des problèmes. D’autres feront émerger des idées que personne n’avait envisagées. Ces deux résultats sont utiles et nous donnent matière à travailler ensemble bien après le mois d’octobre.

À propos de l’auteur

Barbara Boino Nogueira
Responsable Relations Clients senior

Barbara Boino Nogueira est Responsable Relations Clients senior chez SoSafe, où elle aide les entreprises à renforcer leur culture de la sécurité et à transformer la sensibilisation à la cybersécurité en une évolution durable des comportements. Forte d’une double expérience dans la cybersécurité et le tourisme, elle apporte une perspective pratique et centrée sur l’humain face aux risques numériques actuels.

En savoir plus