Vos équipes peuvent devenir votre première défense. Sensibilisation cybersécurité en entreprise.
La plupart des attaques réussies commencent par un geste ordinaire : un clic, un mot de passe, un fichier collé dans ChatGPT. La technologie ne rattrape pas un mauvais réflexe ; la sensibilisation cybersécurité, si. Sessions courtes sur vos cas réels, mesurées avant et après, avec la pédagogie d'INCOD, l'école cofondée à Mulhouse.
Le phishing vise une personne précise : celle qui valide les virements
L'email du « fournisseur » qui change de RIB, le faux Microsoft qui demande une reconnexion, le président en déplacement qui exige un virement urgent : le phishing cible la personne qui reçoit les factures fournisseurs ou valide les paiements, et il est devenu bon. Les attaques qui réussissent aujourd'hui ne forcent aucune porte : elles se font ouvrir. Le coût d'un clic dépasse l'incident technique : un virement parti, une messagerie qui spamme vos clients, une direction qui passe deux semaines à gérer la crise au lieu du carnet de commandes. La défense qui tient dans le temps est collective : reconnaître, vérifier, signaler sans peur d'être jugé. Une attaque commence par un clic ; une défense commence par un réflexe, et un réflexe se travaille.
Le nouveau risque que personne ne forme : le Shadow AI
Une grande partie des salariés utilisent déjà l'IA au travail, le plus souvent sans validation, sans cadre, sans savoir ce que deviennent les données. Un fichier clients collé dans ChatGPT gratuit, c'est une fuite de données que votre firewall ne verra jamais. Le sujet dépasse le seul ChatGPT : traducteurs en ligne, transcripteurs de réunion, générateurs de présentations. Chaque outil gratuit pose la même question : où partent les données ? L'interdiction seule produit du contournement. La réponse qui tient se compose de trois pièces livrées ensemble : une charte d'usage de l'IA claire (ce que vous pouvez faire, avec quels outils, avec quelles données), des équipes formées aux bons réflexes, et des outils IA installés par le pôle IA de Mulhouse qui offrent une alternative sûre, par exemple un chatbot interne cadré qui répond depuis vos documents sans rien faire sortir. L'équipe est assise des deux côtés de la table : elle opère son propre SaaS IA et elle enseigne, Gérald et Anthony donnant cours à INCOD, l'école qu'ils ont cofondée à Mulhouse.
La sensibilisation cybersécurité en entreprise qui marche en PME
- Sessions courtes sur vos cas réels : vos emails, vos outils, vos pièges, plutôt que des slides génériques
- Durée annoncée et tenue : d'1 h 30 à une demi-journée selon le format
- Exercices pratiques : reconnaître un phishing, gérer ses mots de passe, activer la double authentification
- Module Shadow AI : ce que vous pouvez confier à une IA, ce que vous ne collez jamais, et pourquoi
- Charte d'usage IA et numérique expliquée avant d'être signée, dans cet ordre
- Piqûres de rappel trimestrielles : la vigilance s'érode, elle s'entretient
- Attestation de sensibilisation, utile devant votre assureur ou votre donneur d'ordres, et cohérente avec l'obligation de formation des dirigeants que prévoit NIS2
- Format bilingue français-allemand possible, utile à 25 minutes de Bâle, comme pour les clients de l'industrie du Haut-Rhin
Concrètement, chez vous, ça se déroule ainsi : un échange de cadrage de trente minutes avec la direction, la simulation de départ, puis les sessions par groupes de taille raisonnable, dans vos locaux à Mulhouse et en Sud Alsace, ou à distance. Le petit groupe fonctionne parce que chacun y pose les questions qu'il n'oserait pas poser en grand amphithéâtre. Les horaires s'adaptent aux réalités de production : sessions décalées possibles pour les équipes en poste. La charte d'usage se finalise avec vous et décrit vos outils réels. Vous repartez avec les supports, la charte finalisée et le contact direct du formateur.
Vous mesurez la progression, avant et après
Comment savoir si une sensibilisation a servi ? Elle se mesure, et c'est un engagement de méthode plutôt qu'une promesse de chiffre. Avant la session : une simulation de phishing sur vos équipes, avec votre accord. Le taux de clic constaté devient votre point de départ. Quelques semaines après : une seconde simulation, même principe, et la restitution des deux mesures en comité de direction. Le cadre social est écrit avant la première campagne : vos salariés sont informés en amont qu'une campagne aura lieu, sans la date ; votre CSE est informé s'il existe ; les résultats sont agrégés uniquement, jamais nominatifs, sans fichage des « mauvais élèves ». L'engagement porte sur le mécanisme qui rend la progression visible ; le pourcentage, lui, dépend de vos équipes et de vos pièges, et se constate. Cette pédagogie est celle qui tourne chaque semaine à INCOD, jusque dans la gamification pédagogique.
Et quand un salarié clique (parce que ça arrivera), la règle est écrite d'avance : zéro blâme, signalement valorisé. Un clic signalé en cinq minutes se traite : déconnexion du poste, mot de passe changé, vérification de ce qui a pu fuiter. Un clic caché trois jours devient un incident. La culture punitive supprime les signalements bien avant de supprimer les clics. Si le clic a déjà des conséquences visibles (redirections, avertissement Google), le réflexe est sur la page site piraté : que faire.
La pédagogie s'exerce
chaque semaine à INCOD.
Sensibilisation cybersécurité :
vos questions concrètes.
Avec des sessions courtes bâties sur vos cas réels plutôt que des e-learnings génériques que personne ne finit : vos emails types, vos outils, vos pièges probables. La pédagogie vient d'INCOD, l'école cofondée par les fondateurs de l'agence à Mulhouse. Une session d'équipe se chiffre en centaines d'euros ; si vous voulez d'abord un état des lieux de votre présence en ligne, la page cybersécurité web décrit ce qu'il couvre.
Une fuite de données invisible : un fichier clients ou un contrat collé dans un outil IA grand public sort de votre contrôle, avec des enjeux RGPD concrets. La réponse se compose de trois pièces : charte d'usage, formation, outils cadrés ; l'interdiction seule produit du contournement. C'est ce qui est mis en place chez vous, par une équipe qui opère elle-même un SaaS IA et connaît les deux côtés ; le cadrage d'ensemble relève du conseil en IA.
Les outils autorisés et interdits, les catégories de données que vous ne confiez jamais à une IA, les règles de vérification des contenus générés, et les contacts en cas de doute, le tout en langage clair. La charte est livrée avec le paramétrage des outils et la session de formation qui la fait vivre : une charte signée mais non comprise ne protège personne. Quand un outil interne remplace les outils gratuits, un chatbot IA d'entreprise nourri de vos documents en est souvent la première brique.
Une session fondatrice, puis des rappels trimestriels courts : la vigilance s'érode en quelques mois, et les techniques d'attaque évoluent plus vite que ça. Vos nouveaux arrivants sont formés dès leur première semaine, le moment où les réflexes s'installent le mieux. Pour vos équipes de Mulhouse et du Sud Alsace, les rappels se font dans vos locaux : voir cybersécurité à Mulhouse.
Par une simulation de phishing avant la première session, puis une seconde quelques semaines après, avec restitution des deux mesures. Vos salariés sont informés en amont qu'une campagne aura lieu, sans la date ; votre CSE est informé s'il existe ; les résultats sont agrégés uniquement, jamais nominatifs. L'engagement porte sur ce mécanisme de mesure plutôt que sur un pourcentage promis d'avance. Une session dure d'1 h 30 à une demi-journée selon le format, et le premier geste mesuré après la session est souvent l'activation de la double authentification.
D'abord, aucun blâme : la culture punitive supprime les signalements avant les clics. Le protocole tient en quatre gestes : déconnecter le poste du réseau, changer le mot de passe concerné depuis un autre appareil, prévenir le référent désigné, vérifier ce qui a pu fuiter. Un clic signalé en cinq minutes est un non-événement ; un clic caché trois jours est un incident. C'est le premier réflexe installé en session, et si le site est déjà touché, la page site piraté : que faire prend le relais.
Vos équipes seront testées un jour.
Autant que ce soit par nous.
Premier échange gratuit : vous décrivez vos usages réels (y compris le Shadow AI, sans blâme) et vous recevez un format adapté à vos équipes, simulation de départ comprise. Sessions sur site en Alsace, à distance partout.
hello@s-media.fr · Mulhouse, 68100 · Premier échange 30 min, gratuit, sans engagement