Sensibilisation à la sécurité
La plupart des incidents passent par un humain. Nous mettons en place une sensibilisation concrète, adaptée à vos métiers, pour réduire le risque sans transformer chaque employé en expert.
Ce qu’on voit trop souvent
Une capsule e-learning une fois par an ne convainc ni l’auditeur ni vos employés. La clause 7.3 demande que les gens concernés comprennent leur rôle, pas qu’ils aient cliqué « suivant ».
- une formation générique, sans lien avec vos politiques ni vos incidents
- aucune preuve d’assiduité, ou des preuves que personne ne retrouve
- les nouveaux arrivants attendent des mois avant d’être briefés
- la direction n’a jamais reçu de message différent de celui des employés
- confusion entre sensibilisation, compétence technique et campagne marketing interne
De quoi s’agit-il
La sensibilisation, c’est faire savoir à chacun ce qu’on attend de lui : mot de passe, incident, classification, fournisseurs, télétravail. Ce n’est pas former tout le monde à devenir analyste.
Nous construisons un programme court, répété, avec des preuves (présence, accusé, quiz simple) et un onboarding. Le contenu s’aligne sur vos politiques réelles, pas sur un catalogue d’horreurs.
Où ça se situe dans ISO 27001
Le module couvre la clause 7.3 (sensibilisation) et s’appuie sur les compétences de la clause 7.2 sans les remplacer. Les politiques doivent exister, même imparfaites.
Ce que comprend ce module
- Ciblage par rôles (tous, TI, direction, développeurs)
- Messages liés à vos incidents et à vos politiques
- Preuves de participation
- Rappels périodiques et mesure simple d’efficacité
Comment on travaille
Publics et messages
Direction, employés, pigistes, TI. Le même PowerPoint pour tout le monde est le signe qu’on n’a pas ciblé.
Contenu calé sur vos règles
On part de vos politiques et de vos vrais incidents (même mineurs). Pas d’épouvante hors sujet.
Canaux et rythme
Onboarding, rappel annuel, micro-messages. Un rythme que vous tiendrez, pas une usine à contenu.
Preuves
Qui a suivi, quand, quoi. Un registre simple. Sans preuve, la sensibilisation n’existe pas en audit.
Ce que vous recevez
- Plan annuel de sensibilisation
- Supports adaptés à 2 ou 3 audiences
- Registre de participation
- Quiz ou exercice court avec résultats agrégés
Pour qui
Organisations qui ont besoin de preuves de formation pour l’audit, pas seulement d’une vidéo générique une fois par an.
Pour qui ce n’est pas
Ce module n’est pas une formation d’auditeur interne, ni un programme de phishing 52 semaines par an (sauf si vous le demandez à part). Il n’écrit pas les politiques.
Durée type
2 à 4 semaines pour le cadre, puis un rythme annuel.
Ce que vous devez fournir
Vous fournissez la liste des personnes concernées (y compris pigistes), les politiques actuelles, et un canal interne (courriel, réunion, LMS).
Limites de ce module
Ce module forme les comportements. Il ne remplace pas les politiques, ni un pentest social à grande échelle.
Questions fréquentes
- Une formation e-learning du marché suffit-elle ?
- Comme complément, parfois. L’audit veut aussi le lien avec vos règles, vos incidents et une preuve de participation.
- Faut-il former les pigistes ?
- Oui, s’ils accèdent à vos informations. Le plan le prévoit, avec un format plus court si besoin.
- Comment mesurer l’efficacité ?
- Taux de participation, résultats de quiz, et éventuellement un exercice de hameçonnage limité, sans humilier les équipes.
- Peut-on acheter seulement ce module ?
- Oui. Chaque module se vend séparément. Vous n’êtes pas obligé de prendre le programme complet. Le prédiagnostic reste le point d’entrée le plus efficace si vous ne savez pas encore par où commencer.
- Faut-il commencer par le prédiagnostic ?
- Non, ce n’est pas obligatoire. Le prédiagnostic accélère le cadrage si vous n’avez pas encore de photo d’ensemble. Si vous savez déjà ce qui manque, on peut démarrer ce module directement.