Les attaques par email restent la voie d’entrée principale des pirates informatiques en 2025, selon les tendances observées par les professionnels. Former les équipes sur le phishing et le shadow IT devient une priorité stratégique pour préserver activités et données.
Cet écrit propose des pistes pratiques pour lancer une sensibilisation continue et opérationnelle auprès des collaborateurs. Commencez par saisir les enjeux clefs avant d’établir un plan de formation ciblé.
A retenir :
- Réduction rapide du taux de clics sur emails frauduleux
- Renforcement de la résilience humaine dans les PME et ETI
- Conformité effective face aux obligations RGPD et NIS2
- Préservation des ressources financières et réputationnelles
Former les équipes au phishing et au spear-phishing
Après ces priorités, structurez la formation autour du phishing et du spear-phishing pour maximiser l’effet pédagogique. L’approche doit mêler simulations, e-learnings et retours d’expérience concrets.
Indicateur
Valeur
Source
Portes d’entrée via email
≈ 90 %
ANSSI
Hausse du phishing en 2023
+67 %
ANSSI
PME ciblées par spear-phishing
≈ 43 %
ANSSI
Coût moyen par attaque (France)
≈ 59 000 €
Asterès
Actions pédagogiques ciblées :
- Lancer des campagnes de simulation variées et régulières
- Proposer des modules e-learning courts et certifiants
- Organiser des ateliers pratiques avec cas réels
- Mesurer et communiquer les progrès individuelle et collectifs
Simulations de phishing réalistes
Les simulations traduisent la théorie en réaction mesurable pour chaque collaborateur et service. Selon l’ANSSI, ces exercices révèlent les comportements à risque et orientent les modules correctifs.
« La simulation m’a permis de repérer une faiblesse dans ma vigilance, et j’ai modifié mes habitudes. »
Lucie B.
E-learning et quizzes certifiants
Les modules e-learning permettent d’industrialiser l’acquisition des bonnes pratiques pour tous les profils métiers. L’usage de quizzes courts et d’une remise de certificat favorise l’engagement et la traçabilité.
La formation réduit les erreurs, mais le shadow IT reste un risque distinct parlant pour les équipes opérationnelles. Il faut donc prévoir des mesures techniques et de gouvernance adaptées à la suite.
Gérer le shadow IT et risques liés aux usages hors contrôle
Si la formation réduit les erreurs humaines, le shadow IT exige des mesures techniques et organisationnelles pour limiter l’exposition. Il convient d’identifier les outils non autorisés et d’ajuster les accès en conséquence.
Type d’outil
Risques
Mesures recommandées
Services cloud non-sanctionnés
Fuite de données, contrôle réduit
Inventaire, filtrage, alternatives validées
Applications SaaS ad hoc
Non-conformité RGPD possible
Politiques d’usage et DPO impliqué
Stockage personnel
Perte de traçabilité
Chiffrement et règles de partage
Extensions et plugins
Vulnérabilités et fuite d’API
Bloquer, surveiller, maintenir catalogue
Mesures techniques clés :
- Mettre en place découverte automatique des applications
- Appliquer des règles d’accès basées sur le besoin métier
- Prévoir un registre des outils et des risques associés
- Coupler formation et contrôle technique périodique
Découverte et cartographie des applications
La découverte permet d’identifier outils non autorisés et usages émergents au sein des équipes. Un inventaire régulier rend tangible le périmètre et facilite les actions correctives.
« J’ai découvert des outils non autorisés chez un client, cela a été un choc mais utile pour prioriser. »
Marc L.
Politiques, accès et gouvernance
Les politiques d’usage doivent s’articuler avec des contrôles d’accès et une gouvernance claire afin d’encadrer les dérogations. Selon Asterès, les impacts financiers justifient l’investissement dans ces mesures préventives.
- Définir un référentiel d’applications autorisées par métier
- Mettre en œuvre MFA et segmentation réseau adaptée
- Déployer outils de DLP et supervision centralisée
- Prévoir procédures de validation pour nouveaux outils
Ces mesures techniques renforcent la formation humaine, et préparent le terrain pour une sensibilisation continue et mesurable. Le prochain volet porte sur la gouvernance et la continuité des efforts.
Sensibilisation continue et gouvernance en cybersécurité
Lorsque les actions techniques sont en place, la sensibilisation continue garantit le maintien d’une vigilance élevée au fil du temps. La gouvernance formalise responsabilités, indicateurs et fréquence des campagnes pédagogiques.
Fréquence
Objectif
Mesure d’efficacité
Mensuelle
Renforcement des réflexes
Taux de clics et signalements
Trimestrielle
Évaluation par service
Taux de réussite aux quizzes
Annuel
Audit global et politique
Évolution de la vulnérabilité humaine
À l’embauche
Standardisation des pratiques
Certification de sensibilisation
Pratiques de gouvernance :
- Nommer un pilote de sensibilisation et un comité
- Intégrer indicateurs RH et sécurité pour suivi
- Publier résultats et plans d’amélioration visibles
- Aligner formation avec exigences RGPD et NIS2
Mesurer les progrès et adapter les contenus
La mesure régulière permet d’ajuster les scénarios et les publics ciblés pour plus d’efficacité. Selon le CESIN, le pilotage par indicateurs reste essentiel pour convaincre la direction et sécuriser les budgets.
« Depuis les campagnes, nos signalements d’emails suspects ont augmenté et la direction suit maintenant le tableau de bord. »
Sophie R.
Culture et incitations
Renforcer une culture de sécurité implique récompenses, retours constructifs et communication régulière sur les incidents évités. Le mélange d’apprentissage par l’action et de gamification accroît l’adhésion des collaborateurs.
La sensibilisation n’est pas un coût isolé mais un investissement pour la pérennité des activités, et elle se combine aux solutions techniques comme Proofpoint ou Mailinblack. Intégrer partenaires pertinents comme PhishMe, KnowBe4, Sekoia.io, YesWeHack, Stormshield, Orange Cyberdéfense et ITrust permet d’articuler formation et protection.
« La sensibilisation est un investissement rentable pour toute PME qui veut protéger ses clients et sa réputation. »
Alex P.
Mettre en place ces actions crée une boucle d’amélioration continue où la gouvernance et la formation se renforcent mutuellement. Un effort soutenu permet de transformer la prévention en avantage opérationnel.
Source : ANSSI, « Rapport sur le phishing », ANSSI, 2023 ; Asterès, « Coût des cyberattaques », Asterès, 2024 ; CESIN, « Enquête RSSI », CESIN, 2024.