Le phishing reste la première porte d'entrée des attaques contre les PME. Notre programme combine campagnes de phishing simulé, mesure objective des taux de clic et de signalement, et formation ciblée de vos équipes — pour transformer votre maillon le plus exposé en première ligne de défense.
La sensibilisation réduit le risque humain ; la détection technique prend le relais quand un clic passe. Découvrez notre SOC managé pour PME et ETI, complément naturel d'un programme de sensibilisation.
Ce que comprend le programme
Le phishing figure parmi les failles les plus exploitées dans les PME françaises — le détail dans notre article les 10 vulnérabilités critiques des PME, et sur les campagnes dopées à l'IA générative, lire comment l'IA transforme les menaces.
Des envois réalistes, adaptés à votre contexte métier — fausses factures, faux partages de documents, fausse direction — pour mesurer ce qui se passerait réellement le jour où le message est hostile. Taux de clic, taux de saisie d'identifiants et taux de signalement sont mesurés campagne après campagne.
Les résultats des simulations pilotent le contenu : ateliers courts en petits groupes, priorité aux équipes les plus exposées (comptabilité, achats, direction), rappels ciblés pour les profils récurrents — sans jamais nommer personne publiquement.
Un scénario typique raconté en atelier : un vendredi à 17 h, un message de « direction » demande un virement urgent. Qui reçoit, qui hésite, qui clique, qui prévient ? Les équipes retiennent les histoires, pas les listes de consignes — c'est ce qui change durablement les réflexes.
Déroulé du programme
La sensibilisation ne fonctionne pas en session unique : c'est un entraînement. Les durées sont indicatives et confirmées au cadrage.
semaines 1 à 2
Définition des scénarios et des règles du jeu avec la direction et, le cas échéant, les représentants du personnel. Première campagne simulée pour établir votre taux de clic de départ, sans que les équipes soient prévenues.
mois 1 à 6
Ateliers ciblés à partir des résultats, campagnes simulées mensuelles ou trimestrielles avec des scénarios renouvelés, mise en place d'une procédure de signalement simple que les équipes adoptent réellement.
en continu
Comparaison des taux campagne après campagne, synthèse direction et ajustement du dispositif : l'objectif est une baisse mesurable du taux de clic et une hausse du taux de signalement, pas une case cochée.
Outils publics gratuits
Cybermalveillance.gouv.fr met gratuitement à disposition SensCyber, une e-sensibilisation en trois modules (Comprendre, Agir, Transmettre) avec attestation de suivi, et la MalletteCyber Pro, un kit d'ateliers prêt à l'emploi relayé par France Num. Ce sont de bonnes bases pour poser le vocabulaire et les premiers réflexes, et nous les recommandons.
Ces ressources ne disent pas, en revanche, ce que font vos équipes face à un message piégé dans leur propre boîte mail. Quand la direction a besoin d'un taux de clic et d'un taux de signalement suivis dans le temps, nos campagnes simulées et nos ateliers ciblés prennent le relais. Pour situer la sensibilisation dans un plan d'ensemble, voir cybersécurité PME : par où commencer.
Budget
Le budget est défini après échange sur vos objectifs, vos équipes et le périmètre de formation.
Financement
Une prise en charge est soumise à votre éligibilité et à l’acceptation du dossier par votre OPCO ; elle n’est pas automatique.
Questions fréquentes
C'est un entraînement continu qui apprend aux collaborateurs à reconnaître et à signaler les attaques qui les visent : phishing, fausse direction, faux support, mots de passe réutilisés. Elle se mesure par des campagnes simulées et des taux de clic et de signalement. Le kit de sensibilisation de Cybermalveillance.gouv.fr pose les bonnes pratiques ; un programme ciblé les adapte à vos équipes.
Pour démarrer, oui. SensCyber, l'e-sensibilisation gratuite de Cybermalveillance.gouv.fr, forme en trois modules avec attestation ; la MalletteCyber Pro, relayée par France Num, fournit des supports d'atelier prêts à l'emploi. Ni l'un ni l'autre ne mesure le comportement de vos équipes face à un message piégé : pour suivre taux de clic et de signalement, ajoutez des campagnes simulées et des ateliers ciblés.
Le scénario, les pièges et la mécanique sont identiques ; seules les conséquences changent. Le lien mène à une page pédagogique, aucun identifiant saisi n'est conservé et les résultats sont remontés de façon anonymisée. C'est précisément ce réalisme qui rend la mesure utile.
Le budget dépend de vos équipes, des objectifs et du périmètre retenu. Un échange permet de cadrer votre besoin et de préparer une proposition adaptée.
La direction et les instances représentatives sont informées en amont, conformément aux règles applicables en matière de contrôle des salariés. Les collaborateurs connaissent l'existence du programme, mais pas les dates des envois : c'est ce qui préserve la valeur de la mesure.
Jamais de sanction ni d'affichage : c'est le meilleur moyen de tuer les signalements. Les profils récurrents reçoivent une formation individuelle bienveillante et des rappels ciblés. Les résultats remontés à la direction restent agrégés et anonymisés.
Non, et c'est une erreur de le croire. Elle réduit fortement le risque mais doit s'accompagner de filtres anti-hameçonnage, d'un MFA généralisé et d'une capacité de détection — c'est le rôle d'un SOC managé. Le facteur humain est une ligne de défense, pas la seule.
Les premières évolutions du taux de clic et du taux de signalement s'observent en général après deux à trois campagnes, soit trois à six mois. L'ancrage durable des réflexes demande un programme continu, renouvelé d'année en année.
Exemples de méthode
Ces scénarios fictifs illustrent des besoins possibles et des objectifs de travail. Ils ne décrivent pas des missions réalisées ni des résultats obtenus chez des clients.
Scénario fictif · Cadre commercial
PME avec peu de ressources internes qui doit arbitrer entre audit ponctuel, accompagnement RSSI et besoin de détection.
Objectif : Comparer les options d’accompagnement selon la maturité, les contraintes et les preuves attendues.
Scénario fictif · Financement
Diagnostic financé obtenu, mais besoin d’aller au-delà du livrable initial pour organiser l’exécution et le suivi.
Objectif : Définir une feuille de route avec des responsables, des échéances et un suivi des corrections.
Consultez les informations relatives à Qualiopi sur notre page qualifications et reconnaissances.
Décrivez vos équipes et vos attentes pour préparer un échange adapté à votre contexte.
Capacités d'intervention
La crédibilité ne vient pas d'un organigramme fictif. Elle vient de capacités utiles, de modes de restitution sérieux et d'une lecture cohérente des arbitrages à rendre.
Gouvernance, SOC, cloud et IAM: les sujets qui structurent vraiment une trajectoire cyber serieuse pour une PME ou une ETI.
Évaluations de posture, revues techniques, tests d'intrusion, audit cloud, IAM et restitutions exploitables.
Détection continue, supervision utile, durcissement cloud, investigation et amélioration de la posture opérationnelle.
Pilotage, arbitrage, feuille de route, comités, exigences clients et trajectoires réglementaires.
Réduction du risque humain par la sensibilisation, les campagnes de phishing simulé et la culture sécurité.
