Fellowmind x SoSafe : quand des principes humains se transforment en changements réels et mesurables

Fondée en 2019 aux Pays-Bas, Fellowmind s’est rapidement imposée comme un leader de la transformation numérique et un partenaire Microsoft offrant une gamme complète de services et travaillant avec plus de 2 000 professionnels dans cinq pays d’Europe. La société accompagne les entreprises des secteurs de la manufacture, de l’énergie et de la vente au détail qui souhaitent optimiser leurs processus, améliorer leur expérience client et étudier la viabilité à venir de leur structure à l’aide de Microsoft Dynamics 365, du cloud et des solutions de données.

Fellowmind met l’accent sur l’humain. Son principe est aussi simple que profond : encourager chaque personne à exploiter son potentiel, pour en faire profiter l’entreprise et la société dans son ensemble.

Roald Roos, RSSI chez Fellowmind, dirige le service de sécurité de l’information. Il gère l’organisation, orchestre les mesures prises au niveau régional et s’efforce d’intégrer une culture de la vigilance dans ce groupe en pleine expansion.

C’est parce qu’il devenait trop compliqué de gérer la cybersécurité avec des outils isolés que Fellowmind s’est tournée vers SoSafe, un partenaire qui partage ses valeurs profondément humaines. L’objectif était de développer la résilience de l’entreprise : par plus d’engagement, plus de précision dans les mesures de sécurité et l’instauration d’une culture de la sécurité viable pour l’avenir.

Dépasser l’utilisation d’outils cloisonnés pour développer de bons réflexes de sécurité

À mesure que Fellowmind s’implantait dans différentes régions d’Europe, Roald Roos s’est rapidement trouvé confronté à un véritable casse-tête : chaque site avait sa propre conception de la cybersécurité. En Scandinavie, les employés adoptaient les outils informatiques avec un esprit curieux. En Pologne, la curiosité était beaucoup moins au rendez-vous et les contrôles plus stricts. Le défi ? Construire une seule et même culture de la sécurité, parfaitement cohérente, en partant de situations initiales aussi divergentes.

D’autant que le paysage des menaces ne cesse d’évoluer. Alors que les cyberattaques présentaient autrefois des signes faciles à repérer : erreurs de traduction, formules maladroites, etc., elles ont pris une forme plus sophistiquée et sont devenues presque indétectables.

« Autrefois, il était facile de repérer les campagnes de phishing : fautes d’orthographe ou de grammaire, maladresses de traduction… Aujourd’hui, ce n’est plus le cas. Les attaques sont plus sophistiquées et beaucoup plus difficiles à détecter, explique le RSSI. La question n’est plus de savoir si vous allez être ciblé par un e-mail de phishing, mais quand. C’est la raison pour laquelle il est si important de sensibiliser. L’IA peut être un outil puissant entre les mains des attaquants… Ou devenir un atout pour nous, qui sommes du bon côté de la Force, en nous aidant à mettre en place des formations et des stratégies plus intelligentes et mieux adaptées aux comportements humains. »

Preuve de l’urgence dans laquelle elle était d’homogénéiser les mesures de sécurité, l’équipe de Roald luttait également pour obtenir la certification ISO. La gestion des simulations de phishing et de la formation en ligne par deux entités distinctes freinait les efforts déployés par l’entreprise.

« Comme nous avions deux solutions distinctes, nous avions du mal à mener nos campagnes efficacement. Il nous fallait un système unifié pour fluidifier les procédures, garantir la conformité aux normes en vigueur et stimuler l’engagement des utilisateurs », se souvient Roald Roos.

Après avoir constaté les micmacs provoqués par l’utilisation d’outils cloisonnés, il lui a semblé évident qu’il fallait opter pour une plateforme centralisée. « Le seul fait d’avoir une seule et même solution pour tout nous a fait gagner au moins 30 % d’efficacité et a beaucoup simplifié la mise en place technique », précise Roald Roos.

Dans l’entourage de l’entreprise, les clients de l’entreprise se faisaient également plus insistants : ils cherchaient à savoir précisément dans quelle mesure Fellowmind était conforme à la directive SRI2 (NIS2).

Pour obtenir des changements réels et durables, l’entreprise ne pouvait pas se contenter d’une formation purement informative. Il fallait trouver une solution interactive, facile à gérer et qui fonctionne dans tous les pays.

Après avoir défini clairement ses objectifs, opté pour un nouveau système et mesuré l’urgence de la situation, Fellowmind était prête à passer au niveau supérieur en matière de sensibilisation à la cybersécurité : abandonner les actions sporadiques pour investir dans une culture enracinée dans l’entreprise et qui se renforce au fil du temps.

Première étape : conformité ; objectif : être prêt

Roald a déployé SoSafe dans tous les pays où Fellowmind est présent. Il a joué un rôle actif dans l’implémentation, prenant en charge toutes les étapes sur sept sites, en un seul et même environnement, pour simplifier la surveillance. Afin de booster l’engagement du personnel, il a prévu d’ajouter une touche de gamification en organisant un match amical entre les différentes régions.

Grâce à SoSafe, Fellowmind a structuré les efforts de sensibilisation à la cybersécurité sur tous ses sites d’activité

Fellowmind a déployé les solutions de formation en ligne et de simulations de phishing de SoSafe pour assurer une sensibilisation efficace à la cybersécurité et répondre aux exigences de conformité de plusieurs normes. Leur approche se concentrait sur les points suivants :

• Simulations de phishing pour aider les employés à acquérir de meilleurs réflexes en détectant les menaces suffisamment à l’avance.
• Modules de formation en ligne pour sensibiliser en continu le personnel aux menaces réelles, sur un mode ludique. Pour sensibiliser progressivement à la cybersécurité, Fellowmind lance un module de formation par mois. Roald a remarqué que, par rapport à la solution précédente, SoSafe avait fait gagner près de 30 % en efficacité à son équipe.
• Gamification pour booster l’engagement par des quiz, des défis et des matchs amicaux.

Intégrer les exigences de conformité dans le flux de travail quotidien

Les cadres juridiques comme la norme ISO 27001 posent certes, des bases importantes pour la sécurité, mais Fellowmind a décidé de voir plus loin que les simples conclusions d’audit. Ses efforts de mises en conformité avaient, pour véritable ambition, de protéger les données des clients et de réduire les risques.

Fellowmind a donc fait appel à SoSafe pour soutenir sa stratégie dans trois domaines clés :

• La certification ISO 27001 : grâce à la plateforme en ligne de SoSafe, Fellowmind remplit les obligations de formation continue à la cybersécurité prévues par la norme. L’équipe de Roald a également utilisé l’outil de rapport ISO pour suivre la participation et attester de la conformité de la procédure lors des audits.
• La conformité à la directive SRI2 (NIS2) : Fellowmind a anticipé l’entrée en vigueur de la nouvelle directive avec l’aide des modules Cybersécurité pour les cadres de SoSafe. Cette formation adaptée sur mesure aux fonctions des directeurs exécutifs et des cadres supérieurs souligne leurs responsabilités en matière de gestion du risque, d’intervention en cas d’incident et de responsabilisation directe.
• La conformité au RGPD : avec les cours sur la Confidentialité des données de SoSafe, Fellowmind sensibilise son personnel à la protection des données personnelles, consolidant ainsi sa position en matière de conformité tout en conservant la confiance de ses clients.

La conformité est un point essentiel, mais nous ne voulons pas simplement nous contenter de cocher des cases. SoSafe et son outil de rapports ISO nous permettent de répondre aux exigences en matière de conformité tout en gérant les véritables menaces, en protégeant les données de nos clients et en favorisant une culture de la sécurité qui réduit le risque humain. Nous ne voulons pas simplement réussir nos audits, nous cherchons l’efficacité.

Plus que les plateformes et les formations, ce qui fait le succès de la stratégie mise en place par Fellowmind, c’est un partenariat solide. Roald a, en effet, détaillé toute l’aide fournie, à chaque étape, par l’équipe Succès clients de SoSafe, les « consultants » comme il les appelle.

« SoSafe nous a beaucoup aidés lors de l’implémentation : que ce soit pour la gestion des utilisateurs, la création de la liste blanche, l’élaboration des modèles ou pour nous donner régulièrement des conseils sur la façon d’organiser nos campagnes, » a-t-il souligné.

Bien qu’il ait étudié les offres d’autres prestataires, Roald a été convaincu par l’approche inspirée des sciences comportementales et le contenu gamifié de SoSafe. C’était, selon lui, exactement ce qu’il fallait pour garantir que la nouvelle solution soit adoptée dans tous les services.

« En associant les simulations de phishing, la formation personnalisée et la gamification, nous avons boosté l’engagement de l’équipe et garanti notre conformité aux principaux cadres juridiques, tels que la directive SRI2 (NIS2), le RGPD et la norme ISO, » souligne Roald Roos, RSSI chez Fellowmind.

Instaurer une culture de la sécurité visible, mesurable et fiable

Aujourd’hui, la culture de la sécurité de Fellowmind ne se limite pas aux clauses légales. Elle se traduit par des choix de tous les jours, par de petites habitudes et des moments de fierté où l’on se dit : « Je ne me suis pas fait avoir par cet e-mail de phishing ! »

« Nos taux de clics ont littéralement chuté et nos équipes sont très investies dans la formation. Avec l’aide de SoSafe, nous sommes en train d’instaurer une culture de la sécurité proactive, tout en restant à jour, en termes de conformité, avec les principales réglementations », se réjouit Roald.

En s’appuyant sur les analyses fournies par SoSafe, Fellowmind assure le suivi des résultats, pays par pays, et adapte son approche aux données sur le terrain. Roald Roos constate des progrès à tous les niveaux. D’ailleurs, les résultats parlent d’eux-mêmes :

• Sur certains marchés où l’entreprise est présente, le taux de clics sur les simulations de phishing a baissé jusqu’à atteindre 3,5 %, un chiffre bien en dessous des moyennes du secteur.
• Le score moyen obtenu à la formation prouve l’excellent niveau de sensibilisation du personnel : il est, en effet, de 97 %.
• Les interactions avec les tentatives de phishing ont diminué de 74 %.

Pour Roald, la prochaine étape pourrait être de déployer la formation personnalisée : « Personne n’a envie de revoir le même contenu tous les ans. La formation personnalisée, conçue sur la base des réponses que l’utilisateur donne à quelques questions et en fonction de son rôle dans l’entreprise, favoriserait l’adoption de cet outil », envisage Roald Roos.

Il est clair que le RSSI apprécie ces modules de formation captivants, conçus par des experts : « Je pourrais rester là toute la journée à prêcher en faveur d’une bonne culture de la sécurité, mais le déploiement de cours et de modèles élaborés par des experts est autrement plus efficace. Si nous devions concevoir nous-mêmes ces supports, cela nous prendrait un temps infini et nous serions loin d’atteindre la qualité de ce que propose SoSafe avec ses contenus gamifiés, ses quiz et ses vidéos, » souligne-t-il.

Par-dessus tout, Roald n’oublie pas où se situe la véritable ligne de défense :
« Notre maillon le plus faible se trouve entre l’écran et le clavier : c’est le facteur humain. Presque toutes les cyberattaques peuvent commencer là ou se terminer là. Il faut que les gens sachent comment se comporter en cas d’incident réel. Il est donc essentiel de mettre en place un processus de gestion du risque et de renforcer, de façon générale, la culture de la sécurité. »

« SoSafe a impulsé une évolution durable des comportements en matière de sécurité : en nous aidant à sensibiliser, en adaptant sur mesure la formation du personnel et en nous accompagnant à chaque étape, conclut-il. Nous avons reçu une aide précieuse avec un accompagnement pas à pas tout au long du processus. La formation sur mesure et les analyses de SoSafe ont été des éléments clés pour nous permettre d’enclencher des changements durables. »

La plateforme de sensibilisation comportementale à la cybersécurité de SoSafe comprend des simulations de phishing, une formation en ligne personnalisée, des contenus gamifiés, ainsi que des analyses en temps réel pour aider les entreprises à inculquer de bons réflexes en matière de cybersécurité et à instaurer une culture proactive de la sécurité, tout en répondant aux exigences légales de conformité.

Quand Fellowmind a eu besoin d’homogénéiser son approche au sein des différentes équipes en instaurant une seule et même culture de la sécurité, ils se sont alliés à SoSafe. Pour eux, une véritable cybersécurité ne se limitait pas à des audits réussis : elle devait se traduire par de nouvelles habitudes au quotidien. Leur expérience souligne que le problème n’est pas de savoir ce que sera la prochaine attaque, mais si les gens sont prêts à y faire face.