Simulation et formation au hameçonnage
Le hameçonnage reste le moyen le plus simple de s’introduire dans la plupart des organisations, ce qui explique précisément pourquoi les formations génériques du type « cliquez ici si cela vous semble suspect » n’ont que peu d’impact. Les collaborateurs doivent s’entraîner à repérer des leurres qui ressemblent réellement à ce qu’ils reçoivent dans leur boîte de réception — non pas une notification de gain manifestement fausse, mais quelque chose qui ressemble à une facture d’un fournisseur, à une invitation de calendrier ou à un message du service informatique.
Je conçois des simulations en m’appuyant sur votre environnement réel : les outils que vous utilisez, les fournisseurs avec lesquels vous travaillez, la manière dont vos e-mails internes sont réellement rédigés. C’est ce qui fait qu’une simulation est utile, et non une simple mise en scène. Une campagne trop facile à repérer n’apprend rien ; celle qui repose sur une véritable reconnaissance enseigne aux participants ce à quoi ils doivent réellement prêter attention.
Ce que je mesure, et pourquoi
Le taux de clics à lui seul est un indicateur peu fiable : il vous indique qui a cliqué, mais pas ce qui s’est passé ensuite. Je m’intéresse au taux de signalement (quelqu’un l’a-t-il signalé au service de sécurité ?), au délai de signalement, et au fait de savoir si des identifiants ou une charge utile ont effectivement été transmis. Ces chiffres révèlent une réalité bien différente de celle d’un simple pourcentage de clics, et ce sont eux qui vous indiquent réellement si votre programme fonctionne.
Une formation axée sur la pratique, et non sur des cours magistraux
Le moment qui suit immédiatement le clic d’un participant sur un lien d’hameçonnage simulé est le meilleur moment pédagogique dont vous disposerez : un retour d’information bref, précis et non punitif, directement lié à ce qu’il vient de vivre. Je préfère intégrer cela au programme plutôt que de diffuser une vidéo de conformité une fois par an, dont personne ne se souvient plus dès le mois de février.
Si votre dernier test de hameçonnage a été réalisé à l’aide d’un outil standardisé avec un modèle générique, il vaut la peine d’en mener un autre, correctement ciblé et réaliste, afin de déterminer à quoi vous avez réellement affaire. Mettons-en un en place.