L'immense majorité des attaques réussies commencent par une erreur humaine : un clic, un mot de passe, un fichier collé dans ChatGPT. La technologie ne rattrape pas un mauvais réflexe : la sensibilisation cybersécurité, si. Et la pédagogie, chez nous, vient d'une école qu'on a cofondée.
Et il est devenu bon : l'email du « fournisseur » qui change de RIB, le faux Microsoft qui demande une reconnexion, le président en déplacement qui exige un virement urgent. Les attaques qui réussissent aujourd'hui ne forcent aucune porte : elles se font ouvrir. Et le coût d'un clic ne se limite pas à l'incident technique : c'est un virement parti, une messagerie qui spamme vos clients, une direction qui passe deux semaines à gérer la crise au lieu du carnet de commandes. La seule défense qui tienne dans le temps est collective : reconnaître, vérifier, signaler sans peur d'être jugé. Une attaque commence par un clic. Une défense commence par un réflexe. Et un réflexe, ça se travaille.
Une grande partie des salariés utilisent déjà l'IA au travail, le plus souvent sans validation, sans cadre, sans savoir ce que deviennent les données. Un fichier clients collé dans ChatGPT gratuit, c'est une fuite de données que votre firewall ne verra jamais. Et le sujet dépasse le seul ChatGPT : traducteurs en ligne, transcripteurs de réunion, générateurs de présentations. Chaque outil gratuit pose la même question : où partent les données ? Interdire ne marche pas : ça crée du contournement. La bonne réponse tient en trois pièces qu'on livre ensemble : une charte d'usage claire (ce qu'on peut faire, avec quels outils, avec quelles données), des équipes formées aux bons réflexes, et des outils IA cadrés qui offrent une alternative sûre. On est assis des deux côtés de la table : on opère notre propre SaaS IA, et on enseigne : Gérald et Anthony donnent cours à INCOD, l'école qu'ils ont cofondée à Mulhouse.
Concrètement, chez vous, ça se déroule ainsi : un échange de cadrage de trente minutes avec la direction, la simulation de départ, puis les sessions par groupes de taille raisonnable : le petit groupe fonctionne parce qu'on peut y poser les questions qu'on n'ose pas poser en grand amphithéâtre. Les horaires s'adaptent aux réalités de production : sessions décalées possibles pour les équipes en poste. Et la charte d'usage se finalise avec vous : elle doit décrire vos outils réels, pas une entreprise imaginaire. Vous repartez avec les supports, la charte finalisée et le contact direct du formateur, pas une hotline.
Comment savoir si une sensibilisation a servi ? On le mesure : c'est un engagement de méthode, pas une promesse de chiffre. Avant la session : une simulation de phishing sur vos équipes, avec votre accord et sans nommer personne. Le taux de clic constaté devient votre point de départ. Quelques semaines après : une seconde simulation, même principe, et la restitution des deux mesures en comité de direction. La simulation est conçue avec le RGPD en tête : résultats agrégés, jamais nominatifs, pas de fichage des « mauvais élèves ». On s'engage sur le dispositif qui rend la progression visible. Le pourcentage, lui, personne d'honnête ne peut le promettre d'avance.
Et quand un salarié clique (parce que ça arrivera), la règle est écrite d'avance : zéro blâme, signalement valorisé. Un clic signalé en cinq minutes se traite : déconnexion du poste, mot de passe changé, vérification de ce qui a pu fuiter. Un clic caché trois jours devient un incident. La culture punitive est contre-productive pour une raison simple : elle ne supprime pas les clics, elle supprime les signalements. Si le clic a déjà des conséquences visibles (redirections, avertissement Google), le réflexe est sur notre page site piraté : que faire.
Avec des sessions courtes construites sur vos cas réels plutôt que des e-learnings génériques que personne ne finit : vos emails types, vos outils, vos pièges probables. Chez S MEDIA, la pédagogie vient d'INCOD, l'école cofondée par nos fondateurs à Mulhouse. Et une session d'équipe se chiffre en centaines d'euros, pas en dizaines de milliers.
Une fuite de données invisible : un fichier clients ou un contrat collé dans un outil IA grand public sort de votre contrôle, avec des enjeux RGPD réels. La réponse tient en trois pièces : charte d'usage, formation, outils cadrés. L'interdiction seule ne produit que du contournement. C'est exactement ce qu'on met en place, et on opère nous-mêmes un SaaS IA : on connaît les deux côtés.
Les outils autorisés et interdits, les catégories de données qu'on ne confie jamais à une IA, les règles de vérification des contenus générés, et les contacts en cas de doute, le tout en langage clair, pas en jargon juridique. S MEDIA la livre avec le paramétrage des outils et la session de formation qui la fait vivre : une charte signée mais non comprise ne protège personne.
Une session fondatrice, puis des rappels trimestriels courts : la vigilance s'érode en quelques mois, et les techniques d'attaque évoluent plus vite que ça. Les nouveaux arrivants sont formés dès leur première semaine : c'est le moment où les réflexes s'installent le mieux.
Par une simulation de phishing avant la première session (taux de clic constaté, jamais nominatif), puis une seconde quelques semaines après, avec restitution des deux mesures. On s'engage sur le dispositif de mesure, pas sur un pourcentage promis d'avance. Une session dure d'1 h 30 à une demi-journée selon le format.
D'abord, pas de blâme : la culture punitive supprime les signalements, pas les clics. Le protocole tient en quatre gestes : déconnecter le poste du réseau, changer le mot de passe concerné depuis un autre appareil, prévenir le référent désigné, vérifier ce qui a pu fuiter. Un clic signalé en cinq minutes est un non-événement ; un clic caché trois jours est un incident. C'est le premier réflexe qu'on installe en session.
Premier échange gratuit : on cartographie vos usages réels (y compris le Shadow AI, sans blâme) et on vous propose un format adapté à vos équipes, simulation de départ comprise. Sessions sur site en Alsace, à distance partout.
hello@s-media.fr · Mulhouse, 68100 · Premier échange 30 min, gratuit, sans engagement