Formation de sensibilisation et simulations d’hameçonnage

Ce que comprend le programme

Notre programme de formation hameçonnage compte trois volets : une simulation d’hameçonnage qui mesure le point de départ du bureau, de courts ateliers fondés sur ce que ce premier test a révélé, puis de nouvelles simulations au rythme que fixe la direction. Chaque ronde se termine par un rapport qui montre l’évolution du bureau dans son ensemble.

Le but est une habitude plus qu’une note. Une personne qui s’arrête devant une demande inhabituelle et clique sur le bouton de signalement donne au bureau une alerte précoce que les filtres ratent. Le Centre canadien pour la cybersécurité souligne d’ailleurs qu’un personnel informé se fait moins prendre.¹ Son Carrefour de l’apprentissage propose aussi des cours en ligne gratuits aux organisations enregistrées au Canada;² nos ateliers s’ajoutent à ces cours, avec les résultats et les exemples de votre propre bureau.

• Faux courriels de test rédigés pour votre bureau, envoyés seulement aux personnes et aux dates prévues dans la lettre d’approbation.
• Formation cybersécurité en entreprise sous forme d’ateliers courts, en personne dans la région d’Ottawa-Gatineau sur entente ou en ligne, en français ou en anglais.
• Le réflexe de signaler : une façon simple de signaler un message douteux et une personne désignée qui le reçoit.
• Un rapport de ronde pour la direction après chaque simulation, avec des résultats regroupés par équipe et aucun nom dans ce qui est diffusé.

La sensibilisation du personnel, un contrôle de base au Canada

La formation du personnel fait partie des treize contrôles de cybersécurité de base que le Centre canadien pour la cybersécurité propose aux petites et moyennes organisations, et la détection des courriels et des liens malveillants y figure en toutes lettres.³ Dans son avis sur l’hameçonnage, le Centre va plus loin : les organisations devraient mener des simulations d’hameçonnage internes pour que le personnel s’exerce dans un cadre sécuritaire.¹

Les lois sur la protection des renseignements personnels vont dans le même sens. La LPRPDE oblige les organisations à sensibiliser leur personnel à l’importance de protéger le caractère confidentiel des renseignements personnels, et la loi québécoise sur le secteur privé, modifiée par la Loi 25, exige des mesures de sécurité raisonnables selon les renseignements détenus.⁴⁵ Un personnel formé et un registre de formation daté aident à démontrer que ces mesures existent.

Le déroulement d’une simulation d’hameçonnage

Une simulation d’hameçonnage se déroule en cinq étapes : approbation écrite, test de référence, atelier court, nouvelles simulations et rapport à la direction, puis la ronde suivante recommence. Le premier faux courriel part seulement après la signature de la lettre d’approbation, et les personnes qui doivent être au courant, comme le service informatique et la personne qui reçoit les signalements, sont prévenues.

Le rythme vous appartient. Certains bureaux veulent un test par mois pendant la première saison, puis moins souvent; d’autres préfèrent une ronde par trimestre, liée aux réunions d’équipe. Nous proposons un rythme dans la lettre de mandat et l’ajustons avec vous après le premier rapport.

Ce qu’apprend la formation de sensibilisation à la cybersécurité

Les ateliers apprennent au personnel à reconnaître les messages qui atteignent vraiment les petits bureaux canadiens et à les signaler en un geste. Le Centre canadien pour la cybersécurité décrit un hameçonnage qui arrive par courriel, texto, appel, médias sociaux et code QR : la formation couvre tous ces canaux, avec des exemples proches de votre quotidien.¹

Chaque atelier est assez court pour se glisser entre deux rendez-vous et s’explique sans jargon. Le personnel repart en sachant quoi faire, à qui le dire, et que ralentir un paiement pour le vérifier ne lui attirera jamais d’ennuis.

• Fausses factures et changements de coordonnées bancaires, avec la règle de confirmer par téléphone, à un numéro déjà au dossier.
• Demandes urgentes qui semblent venir du propriétaire, d’un associé ou de la direction (hameçonnage ciblé, fraude du président).
• Fausses pages de connexion Microsoft 365, Google ou bancaires, et demandes d’approbation de connexion inattendues sur le téléphone.
• Textos (smishing), appels (vishing) et codes QR (quishing) qui mènent aux mêmes pièges.¹
• Comment signaler un message douteux au bureau, et où vont les vrais incidents : la fraude au Centre antifraude du Canada et à la police locale, les cyberincidents au Centre canadien pour la cybersécurité.⁶⁷

Le respect du personnel : le traitement des résultats

Un test d’hameçonnage fonctionne quand le personnel lui fait confiance : les résultats sont donc protégés par une entente de confidentialité et transmis à la direction par équipe, sous forme de tendances et de thèmes. Les résultats individuels vont seulement à la personne nommée dans la lettre d’approbation, et uniquement pour prévoir un soutien ciblé.

Le personnel est informé au départ que le bureau fait des simulations, sans en connaître les dates. Une personne qui clique reçoit une courte explication sur-le-champ; aucun nom n’apparaît dans les réunions, les courriels ou les listes. Dans un milieu syndiqué, la convention collective est vérifiée avant la première ronde et le plan s’y adapte.

Ce que vous avez en main

Après chaque ronde, vous avez un rapport que la direction lit en dix minutes et un registre de formation à montrer à un assureur, à un vérificateur ou à un client qui demande comment votre personnel est préparé.

• Rapport de campagne : part des messages ouverts, des liens cliqués, des mots de passe saisis et des messages signalés, par ronde et par équipe.
• Le matériel de chaque atelier, en français ou en anglais, qui reste à votre bureau.
• Les présences et les dates de chaque atelier, pour vos dossiers.
• Un plan pour les rondes suivantes : thèmes, rythme et destinataire des signalements.
• Des recommandations hors formation lorsque les résultats l’indiquent, comme l’authentification multifacteur ou la sécurité du courriel de votre domaine.