Une communication annuelle, une formation obligatoire et quelques affiches ne suffisent plus à installer des réflexes durables. Face à des menaces évolutives, à la multiplication des usages numériques et à l’essor de l’intelligence artificielle, la sensibilisation cyber en entreprise doit devenir continue, concrète, personnalisée et mesurable.
La cybersécurité ne dépend pas uniquement des pare-feu, des outils de détection ou des politiques de mots de passe. Elle repose également sur la capacité de chacun à reconnaître une situation inhabituelle, à appliquer le bon réflexe et à signaler rapidement un doute.
Cette dimension humaine ne doit pas être présentée comme une faiblesse individuelle. Un collaborateur peut être trompé parce qu’un message est crédible, qu’il arrive au mauvais moment ou qu’un processus interne manque de clarté. L’objectif d’une démarche de sensibilisation n’est donc pas de culpabiliser, mais de créer un environnement dans lequel les bons comportements sont simples, connus et valorisés.
La CNIL rappelle que les erreurs humaines et les attaques par ingénierie sociale sont à l’origine d’un nombre important d’incidents de sécurité. Elle souligne également que les solutions techniques ne suffisent pas à elles seules et recommande des rappels réguliers ainsi que des contenus adaptés aux fonctions des destinataires.
Une formation annuelle peut transmettre des connaissances essentielles, mais elle intervient souvent loin des situations réelles. Entre deux sessions, les outils changent, de nouveaux collaborateurs arrivent et les techniques d’attaque évoluent.
Connaître une règle ne signifie pas toujours savoir l’appliquer sous pression. Lorsqu’un message semble provenir d’un dirigeant, d’un fournisseur ou du support informatique, la personne doit pouvoir ralentir, vérifier la demande et utiliser un canal de signalement clairement identifié.
Ces réflexes ne se construisent pas en une seule session. Ils nécessitent des rappels et des mises en situation suffisamment réguliers pour devenir naturels.
Les risques diffèrent selon les fonctions.
Une équipe comptable peut être confrontée à un changement frauduleux de coordonnées bancaires ou à un faux ordre de virement. Les ressources humaines manipulent des données sensibles et reçoivent de nombreuses pièces jointes. Les équipes commerciales travaillent régulièrement en mobilité, tandis que les administrateurs informatiques disposent d’accès plus étendus.
Un contenu identique pour toute l’entreprise peut rappeler les principes de base, mais il couvre difficilement ces scénarios métiers. La CNIL recommande précisément d’adapter le contenu et le langage des campagnes aux populations ciblées ainsi qu’aux tâches qu’elles réalisent.
Une présentation longue, une vidéo générique ou un quiz final mesurent principalement la mémorisation immédiate. Ces formats évaluent moins bien la capacité à prendre la bonne décision dans une situation concrète.
Les simulations de phishing, les ateliers fondés sur des cas réalistes et les jeux sérieux permettent de transformer une consigne abstraite en réflexe opérationnel.
L’ANSSI propose par exemple CyberEnJeux Pro, un dispositif qui s’appuie sur la création de jeux sérieux pour sensibiliser les salariés aux cyberattaques, aux bonnes pratiques et aux enjeux plus larges de la cybersécurité.
Le taux de complétion d’une formation constitue un premier indicateur, mais il ne suffit pas à mesurer l’efficacité d’un programme.
L’entreprise doit également pouvoir observer :
– la capacité à reconnaître et à signaler un message suspect ;
– les thématiques qui restent mal comprises ;
– les populations ayant besoin d’un accompagnement spécifique ;
– le délai de remontée d’une alerte ;
– l’évolution des comportements dans la durée.
La mesure ne doit pas servir à désigner de « mauvais élèves ». Elle doit aider à ajuster les contenus, les procédures et les outils mis à la disposition des collaborateurs.
Dans son *Panorama de la cybermenace 2025*, l’ANSSI constate que le niveau de menace reste élevé et qu’aucun type d’organisation n’est épargné. L’ENISA observe également la réutilisation de techniques éprouvées, l’apparition de nouveaux modèles d’attaque et une coopération accrue entre certains groupes malveillants.
Les usages professionnels se sont, en parallèle, diversifiés : travail hybride, services cloud, outils collaboratifs, smartphones, prestataires externes et applications métiers accessibles à distance.
Une demande sensible peut désormais arriver par courriel, messagerie instantanée, téléphone ou visioconférence. La sensibilisation ne peut donc plus se limiter à apprendre à repérer un lien suspect dans un e-mail.
L’intelligence artificielle générative renforce cet enjeu. Europol constate que ces technologies peuvent améliorer l’efficacité des attaques par ingénierie sociale en personnalisant les communications et en automatisant certains processus criminels.
Les messages frauduleux peuvent ainsi être mieux rédigés, plus cohérents et davantage adaptés au métier, au contexte ou au niveau de responsabilité de leur destinataire. Les fautes d’orthographe ou les formulations maladroites ne constituent donc plus des critères suffisants pour détecter une tentative de phishing.
L’IA crée également des risques liés aux usages internes :
– copie de données sensibles dans un outil non autorisé ;
– partage involontaire d’informations confidentielles ;
– utilisation d’un compte personnel à des fins professionnelles ;
– confiance excessive dans un texte ou une analyse générée ;
– difficulté à reconnaître un contenu audio, vidéo ou écrit falsifié.
Une campagne moderne doit ainsi expliquer comment repérer une tentative de fraude, mais aussi comment utiliser les outils d’IA dans un cadre professionnel sécurisé.
La sensibilisation doit s’inscrire dans un calendrier annuel : microcontenus réguliers, rappels liés à l’actualité, intégration au parcours d’arrivée, ateliers périodiques et communications après une tentative détectée.
L’ENISA évalue notamment les démarches de sensibilisation selon leur intensité, leur régularité et leur diversité. Cette approche montre l’intérêt de combiner plusieurs formats plutôt que de concentrer l’ensemble du programme sur une seule formation.
Le programme peut, par exemple, alterner :
– un module court sur le phishing ;
– un exercice pratique quelques semaines plus tard ;
– une communication sur le signalement ;
– un atelier métier ;
– un rappel après une campagne frauduleuse réellement observée.
Le socle commun doit être complété par des parcours ciblés pour les équipes financières, les ressources humaines, la direction, les commerciaux, le support informatique ou les administrateurs.
La personnalisation peut également tenir compte de la mobilité, des accès privilégiés, des données manipulées, des relations avec les fournisseurs ou de l’utilisation d’outils d’intelligence artificielle.
L’objectif n’est pas de multiplier les formations longues, mais de proposer des messages immédiatement utiles. Un collaborateur retiendra plus facilement une consigne lorsqu’elle correspond à une situation qu’il rencontre réellement.
Une simulation de phishing est pertinente lorsqu’elle est proportionnée, expliquée et suivie d’un retour pédagogique.
Elle ne doit pas être conçue pour piéger ou sanctionner les collaborateurs. Elle doit permettre de comprendre les ressorts utilisés par les attaquants : sentiment d’urgence, imitation d’une autorité, demande inhabituelle, curiosité ou crainte d’une conséquence négative.
D’autres formats peuvent compléter ces simulations :
– analyse collective d’un faux message ;
– vérification d’une demande de virement ;
– scénario de perte d’un ordinateur portable ;
– exercice de signalement d’un incident ;
– atelier sur les usages professionnels de l’IA.
Les collaborateurs doivent savoir qui contacter et par quel canal. Un bouton intégré à la messagerie, une adresse dédiée ou un formulaire court peuvent réduire l’hésitation.
Le message managérial doit également être clair : mieux vaut signaler un doute qui se révèle sans danger que garder le silence.
Cette culture du signalement permet aux équipes informatiques ou au SOC d’analyser plus rapidement une situation et, si nécessaire, d’alerter les autres collaborateurs potentiellement ciblés.
Un tableau de bord de sensibilisation peut associer :
– le taux de participation et de complétion ;
– les résultats obtenus par thématique ;
– le taux de signalement des simulations ;
– le délai moyen de remontée d’un message suspect ;
– les erreurs ou incompréhensions récurrentes ;
– la perception des collaborateurs avant et après les actions.
Ces données doivent conduire à des ajustements concrets : renforcer un module, simplifier une procédure, modifier un canal de communication ou cibler un métier particulier.
La CNIL recommande plus largement d’évaluer régulièrement l’efficacité des mesures de sécurité et d’inscrire leur pilotage dans une démarche d’amélioration continue.
La sensibilisation cyber ne doit pas rester un sujet porté uniquement par le RSSI.
La direction fixe le niveau de priorité. Les ressources humaines intègrent les actions aux parcours des collaborateurs. L’IT fournit les procédures et les outils de signalement. Les managers relaient les bonnes pratiques et les équipes métiers contribuent à identifier les scénarios les plus réalistes.
Cette gouvernance partagée transforme progressivement la sécurité informatique en pratique collective et permet d’aligner la sensibilisation avec les risques réels de l’organisation.
Construire un programme durable suppose d’abord de connaître son niveau de maturité, ses populations exposées, ses incidents récurrents et ses priorités métiers.
Tenexa accompagne les organisations dans une démarche globale associant gouvernance et gestion des risques, audits, gestion des vulnérabilités et supervision des événements de sécurité par un SOC. Cette approche permet de relier les actions de sensibilisation aux risques réellement observés, plutôt que de diffuser des contenus déconnectés du terrain.
La démarche peut commencer par une évaluation de maturité, se poursuivre par des campagnes ciblées et des mises en situation, puis être ajustée grâce aux indicateurs et aux enseignements issus des incidents.
Cette ressource présente notamment l’intérêt des tests de phishing, des formations courtes et des canaux de signalement clairement identifiés.
Les campagnes traditionnelles ont permis de poser les premières bases, mais elles ne répondent plus seules à la diversité des usages et à l’évolution des menaces. Une sensibilisation cyber en entreprise efficace doit être continue, concrète, personnalisée et mesurable.
L’objectif n’est pas de transformer chaque collaborateur en expert technique. Il est de lui donner les moyens de reconnaître une situation à risque, de vérifier avant d’agir et de signaler rapidement un doute.
La sensibilisation devient alors une composante durable de la culture cyber. Elle complète les protections techniques, renforce les processus internes et permet à l’ensemble de l’organisation de mieux réagir face aux tentatives d’attaque.
Échangez avec les experts cybersécurité Tenexa pour évaluer votre maturité et définir un plan d’action concret
Sources utilisées
– [ANSSI — Panorama de la cybermenace 2025](https://cyber.gouv.fr/nous-connaitre/publications/panoramas-de-la-cybermenace/panorama-de-la-cybermenace-2025/)
– [ANSSI — CyberEnJeux Pro](https://messervices.cyber.gouv.fr/ressources/cyber-enjeux-pro.html)
– [CNIL — Guide de la sécurité des données personnelles 2024](https://www.cnil.fr/sites/cnil/files/2024-03/cnil_guide_securite_personnelle_2024.pdf)
– [ENISA — Raising Awareness of Cybersecurity](https://www.enisa.europa.eu/publications/raising-awareness-of-cybersecurity)
– [ENISA — Threat Landscape 2025](https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025)
– [Europol — Steal, Deal, Repeat: Cybercriminals Cash in on Your Data](https://www.europol.europa.eu/media-press/newsroom/news/steal-deal-repeat-cybercriminals-cash-in-your-data)
– [Cybermalveillance.gouv.fr — Que faire en cas de phishing ?](https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing)
– [Tenexa — Solutions de cybersécurité pour les entreprises](https://www.tenexa.com/solutions-de-cybersecurite-entreprise/)
– [Tenexa — Sensibilisation cybersécurité des employés](https://www.tenexa.com/sensibilisation-cybersecurite-employes/)