Campagnes d’hameçonnage et sensibilisation
Évaluer les réactions face aux messages frauduleux et en tirer des actions utiles.
Une prestation adaptée à votre infrastructure
Une campagne d’hameçonnage associe un scénario convenu, un périmètre de destinataires et une restitution orientée amélioration. Elle complète les évaluations techniques du système d’information en examinant la détection et le signalement d’un message suspect. L’objectif et les conditions de mesure sont partagés avec les responsables de l’organisation.
Scénarios et périmètre
Choisir un contexte cohérent avec les usages et les populations concernées. Définir les destinataires, la période et les limites de la campagne.
Coordination interne
Organiser les rôles, les contacts et les modalités d’intervention avec les responsables habilités. Préparer le traitement des alertes ou signalements.
Mesure des réactions
Définir les indicateurs avant le lancement : livraison, interactions et signalements selon le dispositif. Limiter les données collectées au besoin convenu.
Sensibilisation et progrès
Restituer les enseignements et les mesures possibles : explication des signaux d’alerte, procédure de signalement et besoins de formation.
Comment se déroule la mission ?
Préparer la campagne
Valider les scénarios, les destinataires, les objectifs et les données de mesure. Convenir des conditions de lancement et d’arrêt.
Conduire l’exercice
Déployer la campagne selon les modalités autorisées. Suivre son déroulement et échanger avec les contacts désignés.
Expliquer les résultats
Présenter les tendances et les limites des mesures. Transformer les enseignements en actions et, si utile, en exercice de suivi.
Ce que vous obtenez
- Scénarios et périmètre de campagne validés.
- Synthèse des indicateurs retenus et de leurs limites.
- Recommandations de sensibilisation et de signalement.
Vos questions sur cette prestation
La campagne remplace-t-elle une formation ?
Non. Elle observe des réactions dans un contexte donné. Une restitution pédagogique et des actions de formation peuvent compléter l’exercice.
Faut-il collecter des mots de passe réels ?
Non. Le dispositif peut mesurer les interactions sans collecter les mots de passe des utilisateurs. Les données nécessaires sont définies et limitées au cadrage.
Comment interpréter les résultats ?
Les indicateurs dépendent du scénario, de la population et du contexte. Ils servent à orienter les actions et ne résument pas, à eux seuls, la maturité de l’organisation.
Les cadres de conformité à examiner
NIS 2 concerne les organisations entrant dans son champ, tandis qu’ISO/IEC 27001 structure un système de management. Ces cadres peuvent également couvrir les activités OT ou Web de l’organisation ; ils ne sont pas réservés à l’informatique bureautique.
Directive NIS 2
Organisations concernées : relier gouvernance, gestion des risques et mesures de sécurité. Le RéCyF fournit des repères de préparation.
Comprendre ce cadreISO/IEC 27001
Management de la sécurité de l’information : structurer le périmètre du SMSI, les risques, les responsabilités et les preuves de suivi.
Comprendre ce cadreLes autres prestations IT
Parlons de votre périmètre
Définissons les systèmes concernés, les objectifs et les conditions de la mission.
Parler de votre périmètre