Un salarié reçoit une demande urgente de changement de coordonnées bancaires. Un prestataire doit intervenir sur le serveur. Une personne perd son téléphone professionnel. Ces situations demandent une procédure courte, un contact joignable et des outils adaptés. La sensibilisation devient utile lorsqu’elle prépare précisément ces moments.
Quand commencer ? Dès l’arrivée d’une personne ou d’un fournisseur
Prévoyez un accueil sécurité, puis des rappels liés aux usages réels. La CNIL recommande d’adapter les campagnes aux fonctions et de former également les intervenants techniques 1. Une équipe comptable et des techniciens itinérants n’ont pas besoin du même exemple pour comprendre les risques.
Comment construire un premier atelier ?
Prenez trois scénarios de l’entreprise : message douteux, demande de virement inhabituelle et perte d’équipement. Pour chacun, montrez où vérifier l’information et qui contacter. L’hameçonnage utilise notamment l’usurpation d’un interlocuteur de confiance pour obtenir des informations sensibles 3.
Notre proposition : une procédure de rappel via un numéro déjà connu pour valider un changement bancaire, un canal simple pour signaler un message et une fiche accessible pour la perte de matériel. La direction doit elle-même suivre les règles ; une urgence hiérarchique ne devrait pas les rendre inapplicables.
Encourager le signalement
Une personne qui signale rapidement une erreur vous aide à limiter les conséquences. Organisez un accueil sans humiliation et faites traiter les alertes. Mesurez surtout si le bon interlocuteur est trouvé et si la réponse arrive. Les résultats d’une simulation d’hameçonnage ne doivent pas devenir un classement public des personnes.
Si vous organisez des exercices, définissez leur cadre, leur finalité et le traitement des données avec les interlocuteurs compétents. Privilégiez l’apprentissage et le retour d’expérience.
Les fournisseurs font partie du dispositif
Listez les prestataires qui possèdent des accès ou traitent des données. Demandez les personnes autorisées, les méthodes d’authentification, les modalités d’intervention et de notification des incidents. Pour les sous-traitants traitant des données personnelles, la CNIL détaille des garanties à prévoir, notamment dans les contrats 2.
Faites aussi préciser la restitution des données et des accès à la fin de la prestation. Le dirigeant doit savoir comment changer de fournisseur sans perdre la maîtrise du système. Ce point se prépare pendant une relation normale, lorsque la documentation est disponible.
Qui organise, et combien prévoir ?
La direction porte le message, les responsables métier adaptent les cas et un intervenant formé anime si nécessaire. L’informatique traite les signalements et les accès fournisseurs. Simulation : une journée de préparation et une d’ateliers à 900 € HT donnent 1 800 € HT. Il faut ajouter le temps de participation et, selon le besoin, les outils ou la revue contractuelle. Le montant ne constitue pas une moyenne du marché.
Votre prochaine action
Testez votre procédure d’alerte avec une personne volontaire et un scénario annoncé. Faites ensuite vérifier un accès prestataire arrivé à échéance. Vous saurez si vos règles sont comprises, applicables et suivies, au-delà de la présence d’une charte signée.