Formation et sensibilisation en sécurité de l'information

Former le personnel est l'une des sept obligations de la Loi 25, et la mesure qui réduit le plus le risque pour le budget engagé. Nos séances durent deux heures, se donnent en ligne pour des groupes d'au plus vingt participants, et se concluent par la remise d'une attestation. Le programme annuel y ajoute des simulations d'hameçonnage et un coaching de la direction.

Voir aussi : la conformité à la Loi 25 · Réserver un diagnostic de 30 minutes

Pourquoi la formation n'est pas optionnelle

La Loi 25 range la sensibilisation du personnel parmi les obligations des organisations, au même titre que la désignation d'un responsable ou la tenue d'un registre des incidents. Elle figure d'ailleurs parmi les premières questions de tout autodiagnostic de conformité.

Au-delà de l'obligation, c'est une question d'efficacité : la majorité des incidents commencent par un geste humain — un lien cliqué, une pièce jointe ouverte, un mot de passe réutilisé. Aucun outil ne compense durablement une équipe non sensibilisée.

Comment se déroulent les séances

• Deux heures par séance, en ligne — aucun déplacement, aucune logistique de salle.
• Des groupes d'au plus vingt participants, pour que les questions puissent réellement se poser.
• Une attestation remise à chaque participant, utile comme preuve de sensibilisation lors d'un audit de conformité.
• En français.

Le format en ligne permet d'étaler les séances par équipe ou par service, sans immobiliser toute l'entreprise le même jour.

Ce que contient le programme annuel

• Des dizaines de modules de formation en ligne, couvrant les gestes du quotidien et les risques propres à chaque rôle.
• Des simulations d'hameçonnage trimestrielles, chacune suivie d'un rapport : des campagnes de courriels factices envoyées à vos équipes, dont les réactions sont mesurées puis débriefées, sans exposer personne.
• Un coaching des équipes de direction, dont l'exposition et les responsabilités diffèrent du reste du personnel.
• Des rapports d'évolution qui montrent la progression dans le temps, plutôt qu'une photo prise un jour donné.

Le programme fonctionne par abonnement mensuel : la sensibilisation est une habitude à entretenir, pas une séance annuelle à cocher.

En bref

Questions fréquentes

La Loi 25 oblige-t-elle à former le personnel ?

Oui. La sensibilisation et la formation des employés à la protection des renseignements personnels font partie des obligations prévues par la loi, et c'est l'un des points vérifiés lors d'un diagnostic de conformité.

Combien de temps dure une séance, et où se donne-t-elle ?

Deux heures, en ligne. Aucun déplacement n'est nécessaire, ce qui permet de former des équipes réparties sur plusieurs sites ou en télétravail.

Combien de personnes peut-on former à la fois ?

Jusqu'à vingt participants par groupe. Au-delà, l'échange devient difficile et la séance perd de son intérêt : mieux vaut alors dédoubler.

Les participants reçoivent-ils une attestation ?

Oui, une attestation est remise à chaque participant. Elle constitue une preuve utile lorsqu'un client, un assureur ou un auditeur vous demande de démontrer que votre personnel a été sensibilisé.

La formation est-elle offerte en anglais ?

Non, elle est donnée en français uniquement.

À quelle fréquence faut-il refaire la formation ?

Le programme est conçu comme un abonnement mensuel plutôt qu'une séance ponctuelle. Une sensibilisation annuelle unique s'oublie en quelques semaines ; c'est la répétition, à petites doses, qui change les réflexes.

Comment se déroule une simulation d'hameçonnage ?

Nous envoyons à vos équipes des courriels factices imitant de vraies tentatives de fraude. Les réactions sont mesurées, puis expliquées lors d'un débriefing. L'objectif n'est jamais de piéger ni de sanctionner quelqu'un, mais de repérer les situations qui trompent encore. Elles ont lieu chaque trimestre et donnent lieu à un rapport.

Qui doit suivre la formation ?

L'ensemble du personnel. La haute direction fait l'objet d'un volet distinct : elle est davantage ciblée par les fraudes et prend des décisions qui engagent l'organisation.