Évaluation de référence de la sensibilisation à la sécurité : évaluez la situation de votre organisation

Une évaluation de référence du niveau de sensibilisation à la sécurité permet de déterminer comment vos collaborateurs gèrent actuellement les tentatives d'hameçonnage et autres menaces numériques, avant même le début de toute formation. Concrètement, elle combine une simulation d'hameçonnage inopinée et un bref test de connaissances. Le résultat obtenu constitue votre point de départ : l'ensemble des chiffres auxquels seront comparées toutes les évaluations ultérieures.

Si vous passez cette étape préliminaire, vous mettez en place un programme de sensibilisation à la sécurité en vous fiant uniquement à votre intuition. Vous pouvez certes dispenser une formation, mais vous ne pourrez pas démontrer les changements qu’elle entraîne. Dans cet article, nous vous expliquons en quoi consiste une évaluation de référence, quels sont les chiffres à prendre en compte et comment la mener à bien en cinq étapes.

Qu'est-ce qu'une évaluation de référence en matière de sensibilisation à la sécurité ?

Une évaluation initiale consiste à mesurer, pour la première fois de manière structurée, le niveau réel de sensibilisation de votre organisation en matière de sécurité. Elle permet de répondre à deux questions : que savent les employés des menaces numériques, et comment réagissent-ils concrètement lorsqu’une telle menace atterrit dans leur boîte de réception ? On évalue séparément les connaissances et les comportements, car les deux coïncident rarement. En effet, de nombreuses personnes, bien qu’elles soient parfaitement capables de décrire le hameçonnage, cliquent tout de même sur un faux e-mail particulièrement convaincant.

Une mesure de référence complète comporte donc deux ou trois éléments :

• Une simulation d'hameçonnage. Un faux e-mail d'hameçonnage réaliste mais inoffensif qui permet d'évaluer les comportements réels : qui clique, qui saisit ses identifiants et qui signale le message.
• Une évaluation des connaissances. Un petit questionnaire portant sur des thèmes tels que le phishing, les mots de passe et le télétravail en toute sécurité, qui permet d'identifier les lacunes en la matière.
• Facultatif : une brève enquête sur la culture d'entreprise. Les collaborateurs osent-ils signaler une erreur, et considèrent-ils la sécurité comme faisant partie intégrante de leur travail ? Leur attitude permet d'anticiper l'évolution future des chiffres.

Pourquoi commencer par une mesure de référence ?

La raison principale est simple : sans référence, il est impossible de démontrer les progrès réalisés. « La sensibilisation s'est améliorée » est une opinion. « Le taux de clics est passé de un sur quatre à un sur vingt » est un résultat. Cette différence a son importance lorsque vous sollicitez un budget auprès de la direction, et elle compte également pour les auditeurs.

• Cela permet de rendre visible l'effet de la formation. Chaque mesure de suivi est comparée à la valeur de référence, ce qui vous permet de constater si le comportement a réellement changé, au lieu de simplement le supposer.
• Cela fournit des preuves de conformité. Des référentiels tels que la directive NIS 2 et la norme ISO 27001 exigent des organisations qu’elles forment leurs collaborateurs et qu’elles démontrent l’efficacité de ces formations. L’établissement d’un niveau de référence suivi de réévaluations périodiques constitue précisément cette preuve.
• Cela permet de cibler les actions à mener. Les résultats par service et par thème vous indiquent qui a besoin de quoi, afin que les efforts de formation soient orientés là où ils sont les plus efficaces.
• Cela crée un sentiment d'urgence. On a tendance à ne pas prêter attention aux statistiques générales ; ce n'est pas le cas des chiffres provenant de votre propre organisation. Selon le rapport « Data Breach Investigations Report » de Verizon, le facteur humain joue un rôle dans environ six violations de données sur dix. Une mesure de référence permet de comprendre ce que cela signifie concrètement pour votre organisation.

Que mesurez-vous ? Les quatre chiffres qui comptent

Une bonne mesure de référence permet d'obtenir un petit ensemble de chiffres que vous pouvez suivre au fil du temps. Quatre indicateurs suffisent largement :

• Taux de clics. Pourcentage de destinataires qui cliquent sur le lien figurant dans l'e-mail de hameçonnage simulé. C'est le chiffre le plus souvent cité, mais ce n'est pas le plus important.
• Taux de saisie des données. Pourcentage des utilisateurs qui vont jusqu’à saisir leurs identifiants sur la fausse page de connexion. C’est là que le véritable préjudice se produirait.
• Taux de signalement. Pourcentage des personnes qui signalent un e-mail suspect. L'indicateur le plus sous-estimé de tous : un seul collaborateur vigilant qui signale rapidement un message suspect protège tous ses collègues ayant reçu ce même message.
• Score de connaissances. Le score moyen obtenu à l'évaluation des connaissances, idéalement ventilé par thème, afin que vous puissiez déterminer si les lacunes concernent le hameçonnage, les mots de passe ou un tout autre domaine.

Effectuez les mesures au niveau du groupe : par équipe, service ou site. L'objectif d'une mesure de référence est d'améliorer l'organisation, et non de mettre en avant des individus. Ce choix vous permet également de rester en toute sérénité dans le respect de la législation sur la protection de la vie privée.

Comment réaliser une mesure de référence en cinq étapes

1. Définissez le périmètre et mettez en place les bases. Déterminez qui y participera, de préférence toutes les personnes disposant d'une boîte mail, y compris la direction. Assurez-vous que votre politique de sécurité mentionne de manière générale que les simulations de hameçonnage en font partie, et impliquez le comité d'entreprise. Annoncez la politique, jamais le moment précis de sa mise en œuvre.
2. Organisez une simulation de hameçonnage à l'improviste. Utilisez un prétexte réaliste et d'actualité, et étalez l'envoi sur plusieurs jours afin que les collègues ne puissent pas s'avertir mutuellement et que l'effet de surprise soit préservé. Un bon outil de simulation de hameçonnage se charge de randomiser ces éléments pour vous et assure automatiquement le suivi des clics, des saisies de données et génère des rapports.
3. Ajoutez un petit test de connaissances. Dix à quinze questions portant sur les thèmes principaux suffisent. Privilégiez la concision : l'objectif est d'obtenir un taux de réponse élevé, pas d'organiser un examen. Vous vous demandez quels outils permettent de réaliser cela ? Nous en avons comparé neuf dans notre tour d'horizon des évaluations de sensibilisation à la sécurité.
4. Effectuez une analyse par service et par thème. Associez le comportement (la simulation) aux connaissances (l'évaluation). Un service qui obtient de bons résultats en matière de connaissances mais qui continue à cliquer nécessite un suivi différent de celui d'un service qui n'a tout simplement jamais entendu parler du « quishing ».
5. Fixez des objectifs et planifiez une nouvelle évaluation. Par exemple : augmentation du taux de déclaration, baisse du taux de saisie des données. Prévoyez une nouvelle évaluation chaque trimestre, avec les mêmes indicateurs et un niveau de difficulté comparable, afin de pouvoir comparer ce qui est comparable.

De l'état initial au programme : faire évoluer les chiffres

Une mesure de référence sans suivi n'est qu'un instantané coûteux. C'est lorsque cette mesure s'inscrit dans un programme qu'elle prend tout son sens. La formule qui fonctionne est à l'opposé de la session annuelle de sensibilisation : des moments de formation courts et récurrents qui maintiennent le sujet d'actualité semaine après semaine. C'est exactement ainsi que sont conçues les formations modernes de sensibilisation à la sécurité: des défis de quelques minutes, une gamification pour maintenir la participation et des scénarios actualisés qui suivent l'évolution réelle des menaces.

Effectuez ensuite une nouvelle mesure à un rythme régulier. Attendez-vous à ce que le taux de clics et le taux de saisie des données diminuent et, ce qui est tout aussi important, à ce que le taux de signalement augmente. Partagez les résultats du groupe avec l'ensemble de l'équipe et félicitez les personnes qui ont signalé des incidents : une hausse du taux de signalement est le signe le plus évident que la prise de conscience se traduit par un changement de comportement.

Erreurs courantes liées à la mesure de référence

• En annonçant la date exacte. On évalue ainsi le niveau de vigilance des gens pendant une semaine de test annoncée, et non leur comportement lors d'un mardi ordinaire.
• Dénonciation publique. La publication des résultats par individu va à l'encontre de la culture de signalement que vous essayez de mettre en place et soulève en outre des problèmes liés à la vie privée.
• Se concentrer uniquement sur le taux de clics. Le taux de signalement en dit plus long sur votre résilience que le taux de clics. Une organisation où personne ne signale d'incidents est fragile, quel que soit le niveau du taux de clics.
• Considérer cela comme un cas isolé. Une mesure de référence ne mérite ce nom que si elle est suivie d'une deuxième mesure. Les chiffres perdent rapidement de leur pertinence.
• Ne pas exagérer la première simulation. Un e-mail de spear phishing impossible à croire ou manifestement faux ne fournira que des résultats inutiles. Optez pour un niveau de difficulté intermédiaire, proche de ce que votre entreprise reçoit réellement.

Foire aux questions sur l'évaluation de référence de la sensibilisation à la sécurité

À quelle fréquence faut-il répéter la mesure ?

Une fois par trimestre, c'est un rythme courant et réaliste. Répétez les mêmes mesures avec un niveau de difficulté comparable, sinon la tendance n'aura aucune signification. Au bout d'un an, vous disposerez de cinq points de données : la valeur de référence plus quatre nouvelles mesures, ainsi qu'un bilan que vous pourrez présenter à la direction et aux auditeurs.

Les simulations de hameçonnage à l'improviste sont-elles autorisées ?

Oui, à condition de les gérer avec prudence. Veillez à ce que les salariés sachent, dans les grandes lignes, que les simulations font partie de la politique de sécurité, communiquez les résultats au niveau du groupe et n’associez jamais de sanctions à un clic erroné. Impliquez le comité d’entreprise avant de commencer. Gérée de cette manière, une simulation constitue un outil de formation et s’inscrit dans le cadre du RGPD.

Quel est un bon taux de clics pour une première mesure ?

Il n'existe pas de référence universelle : le résultat dépend fortement de la complexité de la simulation et du secteur concerné. Il n'est pas rare d'obtenir un score à deux chiffres lors d'une première mesure ; ne soyez donc pas surpris par ce chiffre. Ce résultat de référence n'est pas une note, mais un point de départ. Ce qui compte, c'est la tendance qui se dégagera des mesures suivantes.

Combien de temps dure une mesure de référence ?

Prévoyez au total entre deux et quatre semaines : une simulation s'étalant sur plusieurs jours, une semaine pour l'évaluation des connaissances et un peu de temps pour l'analyse. La mise en place proprement dite est rapide grâce aux outils modernes ; la durée prévue sert principalement à garantir que l'évaluation reste inopinée et représentative.

L'évaluation initiale est la partie la moins spectaculaire d'un programme de sensibilisation à la sécurité, mais c'est en réalité la plus importante. Elle remplace les hypothèses par des chiffres et transforme la formation, qui n'est plus une simple formalité, en un outil que l'on peut réellement piloter. Évaluez d'abord, puis formez : tout ce que vous ferez par la suite sera d'autant plus efficace.