Phishing et spear-phishing
Emails trompeurs conçus pour voler des identifiants, déclencher des paiements ou installer des logiciels malveillants — de plus en plus personnalisés grâce à l'IA pour imiter de vrais collègues, clients ou fournisseurs.
Formation et sensibilisation
Formation cybersécurité pour employés — de votre maillon faible à votre première ligne de défense.
Formation pratique, simulations de phishing réalistes et scénarios par rôle. Construits autour des menaces qui ciblent réellement votre équipe — pas des modules de conformité génériques.
La surface de menace
Les menaces auxquelles votre équipe fait face chaque jour.
Ingénierie sociale
Manipulation par téléphone, email ou en personne — usurpation du support IT, des fournisseurs ou de la direction pour soutirer une information ou déclencher une action.
Compromission de messagerie professionnelle
Instructions de paiement frauduleuses envoyées depuis des comptes dirigeants usurpés ou compromis — perte financière directe, souvent à six chiffres, souvent irrécupérable.
Diffusion de rançongiciel
La majorité des rançongiciels entrent par une pièce jointe de phishing ou un lien malveillant cliqué par un collaborateur — pas par une exploitation technique.
Vol d'identifiants
La réutilisation de mots de passe, les identifiants faibles et les fausses pages de connexion permettent aux attaquants d'entrer dans les systèmes sans la moindre prouesse technique — ils entrent par la porte.
Risque interne
Exposition involontaire de données par mauvaise manipulation, paramètres de partage mal configurés ou utilisation d'appareils personnels pour des données professionnelles.
Six programmes complémentaires
Chaque programme conçu autour de votre équipe.
Socle — sensibilisation essentielle
Le programme de base pour tous les collaborateurs : reconnaissance du phishing, hygiène des mots de passe, manipulation sécurisée des données, signalement des incidents, règles d'utilisation acceptable. Modules courts, langage clair. Satisfait aux obligations de sensibilisation du RGPD et d'ISO 27001.
Simulation — campagnes de phishing
Attaques de phishing simulées réalistes mesurant les taux de clics, la saisie d'identifiants et le comportement de signalement — suivies automatiquement de micro-formations ciblées dès qu'un collaborateur clique.
Par rôle — formation des fonctions à haut risque
Équipes financières, dirigeants, RH, IT. Chaque rôle fait face à des schémas d'attaque différents — fraude au président pour la finance, deepfake pour les dirigeants, abus de privilèges pour les administrateurs IT. Formation ciblée pour chacun.
Réglementaire — formations cartographiées à la conformité
Les formations imposées par NIS2, DORA, RGPD, ISO 27001 et PCI DSS — couvrant les obligations de protection des données, la notification des incidents, l'utilisation acceptable et les exigences sectorielles. Attestations de complétion documentées.
Direction — briefings dirigeants et conseil
Sessions sur mesure pour la direction et le conseil : responsabilités de gouvernance, responsabilité personnelle sous NIS2, risque cyber comme risque métier. Langage clair, pas de théâtre sécurité.
Incident — exercices de simulation
Ateliers basés sur des scénarios d'attaque réelle où votre direction s'entraîne à répondre à une cyberattaque en cours — détection, confinement, communication, notification réglementaire, reprise.
Comment fonctionne la simulation de phishing
Conséquences réelles, environnement sûr.
- i.
Évaluation initiale
Une campagne sans avertissement préalable établit votre taux de clic actuel et votre comportement de signalement — le point de départ honnête contre lequel tout le reste se mesure.
- ii.
Micro-formation ciblée
Les collaborateurs qui cliquent reçoivent une explication courte et précise de ce qu'ils ont raté et pourquoi — délivrée au moment où la leçon est la plus fraîche.
- iii.
Campagnes progressives
Les simulations augmentent en sophistication au fil du temps, testant votre équipe contre des scénarios de plus en plus convaincants tirés du savoir-faire actuel des attaquants.
- iv.
Reporting et benchmarking
Rapports détaillés montrant taux de clics, taux de signalement et tendances par département au fil des campagnes — trimestre après trimestre.
- v.
Preuves d'audit
Toutes les données de campagne sont exportables comme documentation pour les audits NIS2, RGPD, ISO 27001, DORA et PCI DSS.
Obligations réglementaires de formation
La formation est désormais une exigence, pas une bonne pratique.
RegulationTraining requirementStatus
NIS2Sensibilisation cybersécurité pour tous. Formation gouvernance dédiée pour la direction. Enregistrements documentés requis.Obligatoire · UE
DORASensibilisation à la sécurité TIC pour le personnel des fonctions TIC ; formation à la résilience opérationnelle pour les fonctions de gestion des risques tiers.Obligatoire · Finance
RGPDSensibilisation à la protection des données pour tout collaborateur traitant des données personnelles — droits des personnes, notification des violations, traitement licite.Obligatoire · UE
ISO 27001Les clauses 7.2 et 7.3 exigent des programmes de compétence documentés et une formation de sensibilisation pour toute personne travaillant sous le contrôle de votre organisation.Certification
PCI DSSL'exigence 12.6 impose un programme de sensibilisation formel : formation annuelle plus prise de connaissance signée de la politique de sécurité.Obligatoire · Paiements
Résultats
Résultats mesurables — pas de simples certificats de complétion.
01.
Taux de clics en baisse
Diminution mesurable des taux de clic au phishing — suivie dans le temps, communicable aux auditeurs, comparable entre départements.
02.
Signalement en hausse
Plus de collaborateurs signalent les activités suspectes — la première et la plus critique étape pour la détection précoce des vraies attaques.
03.
Preuves d'audit
Attestations de complétion, scores et résultats de simulation documentés, prêts pour les audits NIS2, RGPD, ISO 27001 et DORA.
04.
Culture renforcée
Des collaborateurs qui comprennent pourquoi la sécurité compte — pas juste les règles — adoptent des comportements sécurisés par défaut.
05.
Réponse aux incidents plus rapide
Les équipes qui se sont entraînées via des exercices de simulation contiennent les vrais incidents plus vite, avec un impact significativement plus faible.
06.
Risque assurance plus faible
Les programmes actifs documentés sont de plus en plus pris en compte dans la souscription d'assurance cyber — influençant primes et conditions de couverture.
FAQ
Questions fréquentes.
À quelle fréquence dispenser la formation ?
La formation annuelle est le minimum réglementaire — et rarement suffisante en soi. La sensibilisation s'érode rapidement sans renforcement. Nous recommandons un rythme continu : un module fondamental annuel, des simulations de phishing mensuelles et des communications trimestrielles sur les menaces actuelles. Cette cadence maintient la sécurité au premier plan sans créer de fatigue de formation.
Combien de temps prennent les sessions ? Est-ce que cela perturbe les opérations ?
Conçus pour des équipes PME aux ressources limitées. Les modules fondamentaux durent 10 à 15 minutes, à compléter au rythme de chacun. Les simulations de phishing tournent en arrière-plan sans perturbation. Les ateliers par rôle durent typiquement 60 à 90 minutes ; les briefings dirigeants et exercices de simulation 2 à 3 heures. Tout est à distance, à la demande, planifié autour de vos pics opérationnels.
Quelles preuves recevons-nous pour les audits et les autorités de contrôle ?
Une chaîne de preuves complète : attestations de complétion individuelles horodatées, scores d'évaluation, résultats de simulation phishing par collaborateur et par département, feuilles de présence aux ateliers et rapports de synthèse de programme. Formats compatibles avec les exigences documentaires ISO 27001 ; produits sur demande pour les audits NIS2, RGPD, DORA et PCI DSS. Plus une attestation signée de réalisation de programme pour votre dossier de conformité.
La simulation de phishing est-elle éthique ? Les collaborateurs vont-ils se sentir piégés ?
La simulation de phishing est une pratique courante utilisée par la grande majorité des organisations dotées de programmes sécurité matures. Nous recommandons d'informer votre équipe à l'avance que des simulations seront menées dans l'année, sans révéler les dates précises — c'est transparent, cela réduit le ressentiment, et cela produit de meilleurs résultats car les gens restent vigilants plutôt que pris au dépourvu. La réponse à un clic est toujours pédagogique, jamais punitive.
La formation peut-elle être adaptée à notre secteur ?
Oui — et c'est l'un des facteurs les plus importants pour que la formation fonctionne réellement. Un contenu générique sur des menaces abstraites produit peu de changement de comportement. Nous adaptons scénarios, exemples et simulations à votre secteur — un cabinet de services financiers fait face à des attaques différentes d'un industriel ou d'un acteur de santé. Nous utilisons les renseignements menaces actuels pour que votre équipe s'entraîne contre les attaques qui ciblent réellement des organisations comme la vôtre.
La formation peut-elle être dispensée en français ?
Oui. Nous dispensons nativement en français et en anglais, pour que la langue ne soit jamais un obstacle. Pour les équipes multilingues, nous recommandons que chaque collaborateur reçoive la formation dans sa langue de travail principale — pour l'efficacité comme pour satisfaire aux exigences de compréhension du RGPD et de NIS2. Couverture sur la France métropolitaine et les DROM — Guadeloupe, Martinique, Guyane, La Réunion, Mayotte — ainsi que la Belgique, le Luxembourg et la Suisse.
Couvrez-vous la maîtrise de l'IA au titre de l'Article 4 du Règlement européen sur l'IA ?
Oui — l'Article 4 du Règlement européen sur l'IA exige désormais des déployeurs et des fournisseurs de systèmes d'IA qu'ils assurent à leur personnel un niveau suffisant de maîtrise de l'IA, proportionné au risque et au contexte d'usage. Nous livrons les programmes de maîtrise de l'IA Art. 4 dans le cadre de notre service Gouvernance & Sécurité de l'IA, via la même filière Formation & Sensibilisation. Les modules couvrent les bases du Règlement IA, votre charte d'usage de l'IA, les risques OWASP LLM Top 10 en contexte métier, et la politique IA de votre organisation. La complétion est tracée comme preuve d'audit — de la même manière que les preuves ISO 27001 et NIS2.
Comment la mission est-elle facturée ?
Un forfait annuel couvrant le déploiement de la formation socle, douze mois de simulations de phishing, les communications trimestrielles de sensibilisation et le reporting complet de preuves d'audit. Dimensionné selon la taille de votre équipe et votre modèle de menace sectoriel. Les options — briefings dirigeants, exercices de simulation, ateliers par rôle — sont facturées séparément et peuvent être groupées. Tous les montants sont fixés et communiqués dans la proposition après l'échange. Pas de mauvaise surprise, pas de facturation horaire.