Formation sur mesure en cybersécurité
La plupart des formations à la sensibilisation à la sécurité sont vite oubliées car elles sont génériques : des diapositives toutes faites sur le hameçonnage qui pourraient s’appliquer à n’importe quelle entreprise, présentées par une personne qui n’a jamais vu votre environnement et qui ne sera plus là lorsque viendra le moment de la vérité. Je conçois les formations différemment : en m’appuyant sur vos risques réels, sur les incidents concrets que vous avez pu rencontrer, le cas échéant, et sur les décisions concrètes que vos collaborateurs doivent prendre correctement, et non pas sur une simple case à cocher pour satisfaire aux exigences de conformité.
Que signifie réellement le terme « sur mesure » ?
Cela signifie que j’observe qui se trouve dans la salle avant de décider quoi enseigner. Les ingénieurs ont besoin d’un contenu différent de celui destiné au personnel financier chargé d’approuver les virements bancaires, qui a lui-même besoin d’un contenu différent de celui destiné aux dirigeants personnellement ciblés par le spear phishing et l’usurpation d’identité par e-mail professionnel. Cela implique d’utiliser des exemples concrets adaptés à votre secteur d’activité, plutôt que des exemples génériques de hameçonnage du type « un prince vous envoie un e-mail », que tout le monde a déjà vus des centaines de fois. Et cela signifie lier la formation à ce qui s’est réellement produit ou à ce qui est susceptible de se produire concrètement au sein de votre organisation, afin que les participants repartent en comprenant pourquoi cela les concerne spécifiquement, et non pas simplement parce qu’ils sont tenus d’assister à cette formation.
Comment j’élabore une session
Je commence par cerner votre profil de risque réel et, le cas échéant, ce qui a déjà mal tourné — un incident de hameçonnage passé, une tentative d’ingénierie sociale, une alerte concernant une demande de paiement frauduleuse. À partir de là, j’élabore un contenu articulé autour de scénarios réalistes auxquels votre équipe serait réellement confrontée : à quoi ressemble un e-mail de hameçonnage convaincant ciblant votre secteur d’activité, comment se présente un appel sous faux prétexte adressé à votre service d’assistance, comment se déroule une usurpation d’identité par e-mail professionnel contre des entreprises qui traitent les paiements de la même manière que vous. Je préfère faire vivre aux participants un scénario dont ils devront trouver la solution par eux-mêmes plutôt que de leur faire un cours magistral d’une heure.
Pour les équipes ayant des responsabilités techniques spécifiques — développeurs, personnel informatique, intervenants en réponse aux incidents —, j’approfondis les compétences dont elles ont réellement besoin : les pratiques de codage sécurisé adaptées à ce qu’elles développent, ou comment reconnaître et signaler un véritable incident au lieu de le passer sous silence. Cette approche peut prendre la forme d’une session ponctuelle ou d’un programme continu, en fonction des besoins de votre équipe et de la rapidité avec laquelle votre profil de risque évolue.
À qui s'adresse ce document ?
Les organisations dont la dernière formation consistait en un module en ligne générique dont personne ne se souvient, les entreprises qui ont connu un véritable incident et souhaitent que leur prochaine formation aborde réellement ce sujet, ainsi que les équipes qui ont besoin d’une formation adaptée à leur rôle plutôt que d’un contenu standardisé.
Dites-moi qui a besoin d’une formation et ce qui vous préoccupe, et élaborons ensemble une solution qui porte réellement ses fruits.