Pratiques exemplaires

Partager

C’est article est-il utile?

Dernière mise à jour :

Guide des pratiques exemplaires : intégrer KnowBe4 à son organisation

Conseil : Joignez-vous à la communauté KnowBe4! Entrez en relation, partagez vos connaissances et échangez de nouvelles idées avec d’autres administrateurs, administratrices, partenaires et membres du personnel. Pour plus d’informations, consultez notre Guide sur la communauté KnowBe4.

Nos clients nous demandent souvent quelle est la meilleure manière d’intégrer KnowBe4 aux pratiques générales de sécurité de leur organisation. Bien qu’il n’existe aucun plan de défense à toute épreuve en matière de cybersécurité qui puisse s’appliquer à tous les secteurs ou organisations, les programmes présentés ci-dessous à titre de modèles constituent un point de départ pour vous aider à gérer le problème du piratage psychologique auquel fait face votre organisation.

Alternativement ou en combinaison avec ce guide, nous vous suggérons d’utiliser notre produit Automated Security Awareness Program (ASAP) (Programme de sensibilisation à la sécurité). Cette fonction intégrée à la console vous fournira un plan de sécurité détaillé sur mesure, comprenant des instructions par étapes pour la mise en place d’un solide pare-feu humain.

Notre produit n’est pas destiné à remplacer les filtres antipourriels, les pare-feu, ni les antivirus. Il est conçu pour servir de complément à d’autres produits, comme partie intégrante d’une stratégie de défense approfondie. Nous vous proposons une plateforme facile à utiliser qui vous aidera à gérer les problèmes qui se présentent lorsque des attaques parviennent à franchir ces autres mécanismes de défense. Vos employés sont votre dernière ligne de défense. Les services de KnowBe4 vous aideront à préparer vos utilisateurs à mieux défendre votre organisation contre les cyberattaques.

Première étape : Lisez l’article ci-dessous pour savoir ce qu’il faut faire avant de vous mettre à l’hameçonnage.

Pour commencer avec la console KnowBe4

Cet article présente les étapes d’importation des utilisateurs, d’inscription sur liste blanche de nos serveurs de messagerie et de personnalisation de votre console, entre autres.

Deuxième étape : Choisissez un programme pour l’intégration de KnowBe4 : sensibilisation élevée, moyenne ou faible

Nous vous suggérons les trois programmes suivants : sensibilisation élevée, moyenne ou faible. Ces programmes sont basés sur le niveau de maturité que vous souhaitez atteindre avec votre programme de sensibilisation à la sécurité. Pour de meilleurs résultats, nous vous recommandons le programme de sensibilisation élevée. Cependant, vous êtes la personne la mieux placée pour décider de la manière dont votre organisation devrait mettre en place nos services.

Peu importe le programme que vous choisissez, le principe de base de tous nos programmes de la nouvelle formation sur la sensibilisation à la sécurité repose sur un processus en trois étapes. Le processus est le suivant :

  1. Mener un test d’hameçonnage initial, pour déterminer le pourcentage de Phish-prone de votre organisation.
  2. Évaluer les connaissances actuelles de vos utilisateurs en matière de sensibilisation à la sécurité. Assigner ensuite des formations sur la sensibilisation à la sécurité à tous les utilisateurs pour améliorer leurs connaissances.
  3. Mener des campagnes d’hameçonnage en continu. Ces campagnes permettent à vos utilisateurs de mettre en pratique les connaissances acquises au cours de leur formation sur la sensibilisation à la sécurité.

Cliquez sur les liens ci-dessous pour accéder à chaque programme :

 

Sensibilisation élevée

Ce programme rappellera constamment à vos utilisateurs de garder à l’esprit la notion de sécurité. Nous recommandons expressément ce programme pour les organisations à risque élevé, ou pour toute organisation qui traite des informations sensibles.

Cliquez sur chaque étape pour en connaître les détails.

Mobiliser vos parties prenantes

Pour garantir que votre organisation tire le meilleur parti possible d’un programme, il est essentiel d’obtenir l’adhésion des parties prenantes. Consultez l’article ci-dessous pour voir un exemple de courriel à modifier, que vous pourriez envoyer aux parties prenantes de votre organisation.

Comment puis-je mobiliser les parties prenantes dans mon plan de formation sur la sensibilisation à la sécurité?

Retour aux Détails du programme de sensibilisation élevée

Réaliser un test de référence à l’aveugle

Avant de commencer à former vos utilisateurs à l’aide de nos modules de formation sur la sensibilisation à la sécurité, nous vous recommandons vivement de mener un test d’hameçonnage de référence à l’aveugle auprès de tous vos utilisateurs.

Assurez-vous de suivre les instructions fournies dans l’article ci-dessous pour savoir comment doit être mis en place le test.

Mobiliser les parties prenantes dans mon Plan de formation sur la sensibilisation à la sécurité

Guide des pratiques exemplaires : configurer un test de référence

Il faudra également réfléchir au type de page de destination que vous souhaitez utiliser dans votre test de référence à l’aveugle. L’utilisation de pages de destination permet d’influencer la réaction de vos utilisateurs à un test d’hameçonnage. Cliquez sur le lien ci-dessous pour en apprendre davantage au sujet de différents types de pages de destination et comment vos utilisateurs y réagiront.

Communication sur les tests de référence pour votre équipe des TI ou votre centre d’assistance

Retour aux Détails du programme de sensibilisation élevée

Pour éviter la surcharge du service d’assistance, hameçonnez d’abord votre équipe des TI

Une autre option que vous pouvez envisager est d’envoyer deux tests d’hameçonnage de base : l’un à votre service des TI/d’assistance d’abord, puis un autre au reste de vos employés. Ainsi, lorsque le reste de vos employés commencera à signaler les courriels suspects, les employés du service d’assistance seront au courant de la situation, mais ils auront également eu l’occasion de participer à l’évaluation de base. En outre, c’est un excellent moyen de s’assurer que vous avez bien inscrit nos serveurs de messagerie sur une liste blanche et que votre test de base atteindra la boîte de réception de tout le monde.

Retour aux Détails du programme de sensibilisation élevée

Communiquer avec vos employés

Après la réalisation du test de référence, les employés ayant reçu le courriel d’hameçonnage simulé pourraient être désorientés. Les personnes ayant cliqué sur le lien d’hameçonnage pourraient se demander quelles en seront les conséquences. Nous vous recommandons de communiquer avec votre personnel dès la fin de votre campagne de test d’hameçonnage de référence, afin de l’informer qu’un test a été mené et de lui en expliquer les raisons.

Vous pourriez également profiter de cette opportunité pour souligner l’importance de la formation sur la sensibilisation à la sécurité. Informer vos utilisateurs des menaces qui pèsent sur l’organisation et sur eux-mêmes peut augmenter leur taux de participation lorsqu’ils seront inscrits à la formation. Nous vous proposons un modèle à utiliser à cet effet, auquel vous pourrez accéder en cliquant sur le lien ci-dessous.

Modèle pour le suivi de votre test d’hameçonnage de référence

Retour aux Détails du programme de sensibilisation élevée

Évaluer le niveau de sensibilisation à la sécurité de vos utilisateurs

Avant d’inscrire vos utilisateurs à la formation sur la sensibilisation à la sécurité, il est important d’évaluer leur niveau actuel de sensibilisation à la sécurité, pour voir comment il évolue dans le temps. Assignez l’Évaluation des compétences en matière de sensibilisation à la sécurité (SAPA) à vos utilisateurs pour tester leurs connaissances dans sept domaines de connaissance. Nous vous recommandons d’assigner la SAPA après votre premier test d’hameçonnage, mais avant de commencer votre première campagne de formation. Continuez à assigner annuellement la SAPA à vos utilisateurs, afin de mesurer l’évolution de vos forces et faiblesses.

Utilisez les liens ci-dessous pour en apprendre davantage au sujet de l’ajout d’évaluations et sur l’Évaluation des compétences en matière de sensibilisation à la sécurité (SAPA).

Guide des évaluations organisationnelles

Présentation de l’évaluation des compétences en matière de sensibilisation à la sécurité (SAPA)

Retour aux Détails du programme de sensibilisation élevée

Inscrire les employés à une formation sur la sensibilisation à la sécurité

Après avoir réalisé un test de référence, vous devriez préparer une formation sur la sensibilisation à la sécurité pour tous vos utilisateurs. Préalablement, vous devrez configurer votre Expérience de l’apprenant et décider si vous souhaitez utiliser la ludification dans votre programme de formation.

Nous vous recommandons vivement d’inscrire tous vos employés à la formation de KnowBe4 sur la sensibilisation à la sécurité, d’une durée de 45 minutes, ou à une formation similaire complète dans le cadre de votre première campagne d’hameçonnage. Vous pouvez également ajouter des politiques aux campagnes de formation et exiger de vos utilisateurs qu’ils acceptent ou prennent connaissance de ces politiques. Pour en savoir plus : Créer et gérer des politiques

Pour aider les utilisateurs à commencer leur formation, nous vous conseillons de leur envoyer un lien vers l’une de nos vidéos de mise en route. Chaque vidéo contient des instructions uniques en fonction de vos paramètres de connexion et explique comment utiliser l’Expérience de l’apprenant. Utilisez les liens ci-dessous pour trouver la vidéo qui convient le mieux à votre organisation.

Pour des recommandations sur la manière de configurer votre première campagne de formation sur la sensibilisation à la sécurité, consultez le lien ci-dessous.

Guide des pratiques exemplaires : créer votre première campagne de formation

Retour aux Détails du programme de sensibilisation élevée

Installer le Phish Alert Button

Le Phish Alert Button (bouton d’alerte hameçonnage) ou PAB est un outil gratuit dont vous devriez encourager l’utilisation pour favoriser l’interaction de vos utilisateurs avec leur formation sur la sécurité. Le PAB est un module complémentaire pour votre client de messagerie (Consultez notre matrice de compatibilité du PAB ici) qui permet à vos utilisateurs de signaler un courriel d’hameçonnage présumé. Le message signalé peut être un test d’hameçonnage simulé de KnowBe4 ou une véritable cyberattaque.

Pour en savoir plus au sujet du PAB et de la manière d’informer vos utilisateurs à son sujet après son installation, cliquez sur le lien ci-dessous.

Pratiques exemplaires : mise en œuvre du Phish Alert Button (PAB)

Retour aux Détails du programme de sensibilisation élevée

Définir votre culture de sécurité

Afin de garantir la meilleure efficacité possible de votre formation sur la sensibilisation à la sécurité, il est important d’établir une forte culture de sécurité. La culture de sécurité désigne les idées, les coutumes et les comportements sociaux qui ont un impact sur la sécurité de votre organisation. Le Sondage sur la culture de sécurité décompose la culture de sécurité de votre organisation en sept dimensions distinctes. Utilisez ce sondage pour savoir quelles dimensions doivent être renforcées et pour observer l’évolution de votre culture de sécurité dans le temps. Effectuez ce sondage auprès de vos utilisateurs une fois par année, pour voir comment évolue votre score de culture de sécurité.

Utilisez les liens ci-dessous pour en apprendre davantage sur l’ajout d’évaluations et sur le sondage sur la culture de sécurité (SCS).

Guide des évaluations organisationnelles

Présentation du sondage sur la culture de sécurité (SCS)

Retour aux Détails du programme de sensibilisation élevée

Améliorer votre plan de gestion de réponse aux incidents liés aux courriels

Si vous décidez d’utiliser le PAB, ou si vous demandez à vos utilisateurs de transférer par un autre moyen les courriels suspects ou potentiellement malveillants à une adresse courriel désignée ou à un service spécifique de votre organisation, vous aurez besoin d’un outil permettant de gérer ces courriels transférés, de les analyser efficacement et d’y réagir. La plateforme PhishER peut être utilisée à cet effet.

Grâce à l’utilisation de PhishER pour le contrôle de la sécurité par la détection, votre organisation peut identifier des menaces potentielles et renforcer ses mesures de sécurité et ses plans de défense complets. PhishER peut être utilisé facilement avec le PAB pour gérer les courriels d’hameçonnage signalés, ou être utilisé directement avec les courriels transférés dans la boîte de réception PhishER. Pour obtenir plus d’informations sur PhishER, assurez-vous de consulter notre Manuel du produit de PhishER.

Retour aux Détails du programme de sensibilisation élevée

Créer vos groupes de cliqueurs

Cliquez sur Utilisateurs, puis sur l’onglet Groupes, et vous verrez une option vous permettant de créer un nouveau groupe. À cet endroit, vous pourrez créer un groupe pour vos utilisateurs sensibles à l’hameçonnage appelés « cliqueurs ». Vous pourrez utiliser ce groupe dans de futures campagnes de formation et pour configurer des formations de rattrapage automatisées pour les personnes qui continuent à échouer à vos tests d’hameçonnage. Les clients des abonnements Platine et Diamant peuvent également créer un groupe intelligent qui regroupera automatiquement tous les utilisateurs qui échouent aux tests d’hameçonnage.

Retour aux Détails du programme de sensibilisation élevée

Continuer à hameçonner tous vos utilisateurs 

Test d’hameçonnage bimensuel

Dans le cadre du programme de sensibilisation élevée, nous vous conseillons de tester l’ensemble de vos utilisateurs deux fois par mois. Des tests d’hameçonnage réguliers permettront à vos employés de mettre en pratique les compétences acquises au cours de leur formation sur la sensibilisation à la sécurité.

Les paramètres recommandés sont décrits ci-dessous. Ils vous aideront à maximiser la variété de courriels d’hameçonnage utilisés et à les répartir dans le temps. Cette méthode tout à fait aléatoire évite que les employés se préviennent les uns les autres de la tenue d’un test d’hameçonnage.

  • Fréquence : bimensuelle.
  • Envoi : envoyez les courriels sur une période d’au moins trois jours ouvrables.
    • De cette manière, les utilisateurs ne recevront pas les courriels en même temps et ne pourront pas prévenir les autres de la tenue d’un test d’hameçonnage.
  • Suivre l’activité : suivez les échecs aux tests d’hameçonnage pendant au moins trois jours.
  • Suivi des réponses : nous vous recommandons d’activer ce paramètre. Pour obtenir plus d’informations à propos de la réponse à l’hameçonnage, consultez notre Manuel de produit de la réponse-à-l’hameçonnage.
  • Catégories : choisissez plusieurs catégories de modèles et choisissez « Complètement aléatoire » dans le menu déroulant des modèles afin d’obtenir aléatoirement un modèle pour chaque utilisateur.
    • Excluez les langues qui ne sont pas pertinentes et les catégories Avis et conseils de sécurité et Escroquerie de la semaine.
  • Niveau de difficulté : facultatif
    • Si vous le souhaitez, vous pouvez choisir de limiter la difficulté des modèles sélectionnés à un nombre spécifique d’étoiles, entre une et cinq.
  • Domaine de lien d’hameçonnage : laissez la valeur aléatoire
  • Page de destination : facultatif
    • Choisissez une page de destination en particulier que vous souhaitez utiliser pour tous vos modèles d’hameçonnage, ou laissez la valeur par défaut.
  • Ajouter des cliqueurs : vous pouvez sélectionner ici vos groupes de cliqueurs. Si vous utilisez un Groupe intelligent pour la formation de rattrapage automatisée, vous pouvez laisser cette valeur vide.
    • Chaque fois qu’une personne échoue à un test d’hameçonnage, elle est ajoutée automatiquement au groupe sélectionné.
  • Sélectionnez l’option « Envoyer un rapport par courriel aux administrateurs de compte… » si vous souhaitez recevoir une notification lorsque le test d’hameçonnage bimensuel est terminé.

Retour aux Détails du programme de sensibilisation élevée

Test supplémentaire mensuel facultatif utilisant un modèle ciblé ou concernant des événements actuels

Nous ajoutons parfois de nouveaux modèles que vous pourriez vouloir tester immédiatement sur tous vos utilisateurs, ou vous avez peut-être imaginé un ingénieux concept de test d’hameçonnage auquel même ceux qui cliquent rarement se feront prendre. Vous pouvez configurer un test ponctuel supplémentaire par mois pour que vos tests d’hameçonnage restent uniques et pertinents.

Dans le cadre du programme de sensibilisation élevée, vous souhaiterez certainement cibler vos employés avec des modèles spécifiques à l’organisation ou au secteur, qui les mettront réellement au défi et les tiendront en haleine.

Il est préférable de décocher la case « Répartir l’envoi des courriels sur la durée de la campagne » lorsque vous n’utilisez qu’un seul modèle, afin que vos utilisateurs reçoivent simultanément le courriel d’hameçonnage simulé. Cela réduira le temps dont disposeront les utilisateurs pour s’avertir les uns les autres de la tenue d’un test d’hameçonnage.

Retour aux Détails du programme de sensibilisation élevée

Test d’hameçonnage mensuel facultatif pour les cliqueurs

Vos utilisateurs sensibles à l’hameçonnage ont peut-être davantage besoin d’être testés pour apprendre à mieux se défendre contre les attaques par piratage psychologique. Vous pouvez configurer des campagnes d’hameçonnage en continu visant uniquement votre groupe de cliqueurs. Nous vous recommandons de les configurer comme vos campagnes d’hameçonnage bimensuelles complètement aléatoires, en utilisant de nombreuses catégories de modèles et en répartissant les courriels sur la durée de la campagne. Vous pouvez également profiter de l’occasion pour utiliser nos modèles de la catégorie Hameçonnages signalés cette semaine, si vous ne l’avez pas déjà fait.

Retour aux Détails du programme de sensibilisation élevée

Envoyer les Avis et conseils de sécurité et l’Escroquerie de la semaine

En plus des modèles d’hameçonnage, nous offrons également une catégorie intégrée incluant les Avis et conseils de sécurité et l’Escroquerie de la semaine. Les Avis et conseils de sécurité rappellent aux utilisateurs les différentes méthodes qui leur permettent de se protéger en ligne et au travail. L’Escroquerie de la semaine, quant à elle, prépare vos utilisateurs à se défendre face aux escroqueries de cybersécurité et de piratage psychologique qui sont d’actualité.

Aperçu du bulletin d’information Avis et conseils de sécurité

Aperçu du bulletin d’information Escroquerie de la semaine

Retour aux Détails du programme de sensibilisation élevée

Commencer une campagne de formation de rattrapage pour les cliqueurs

Pour encourager vos utilisateurs les plus sensibles à l’hameçonnage à examiner avec plus d’attention les courriels qu’ils reçoivent, vous pouvez planifier une campagne de formation de rattrapage pour votre groupe de cliqueurs.

Pour ce faire, assurez-vous d’utiliser l’option « Ajouter des cliqueurs à » pour ajouter votre groupe de cliqueurs à votre campagne d’hameçonnage bimensuelle récurrente, lors de sa configuration.

Après avoir configuré votre campagne d’hameçonnage, configurez votre formation de sécurité de rattrapage pour les cliqueurs.

Les clients des abonnements Platine ou Diamant ont également la possibilité de configurer une formation de rattrapage automatisée à l’aide des groupes intelligents.

Créer une campagne de formation de rattrapage

Retour aux Détails du programme de sensibilisation élevée

Planifier une formation supplémentaire de sécurité tous les trimestres

En plus de la formation sur la sensibilisation à la sécurité KnowBe4, KnowBe4 propose une variété de modules de formation permettant de répondre aux besoins de votre organisation en matière de formation de sécurité. Pour consulter une liste et la description de l’ensemble de notre contenu de formation et visualiser des aperçus, parcourez notre ModStore à partir de votre compte KnowBe4.

Pour maintenir l’attention de vos utilisateurs sur la sécurité, nous vous recommandons d’assigner des formations trimestrielles. L’assignation trimestrielle d’un nouveau cours maintiendra l’intérêt de vos utilisateurs pour leur formation sur la sensibilisation à la sécurité et permettra d’actualiser le contenu.

Si cela convient à votre organisation, vous pouvez aussi cibler certains services avec du contenu spécifique qui leur correspond. Par exemple, vous pourriez assigner notre cours Basics of Credit Card Security (Fondements de la sécurité des cartes de crédit) à tous les employés qui ont à traiter les données sensibles des cartes de crédit. Vous pouvez filtrer le contenu de notre ModStore pour trouver des sujets spécifiques sur lesquels vous souhaitez mettre l’accent, ou utiliser notre filtre pour trouver une formation ciblée.

Nous recommandons un abonnement Platine pour garantir l’accès au contenu le plus récent et le plus pertinent en tout temps. Si vous souhaitez mettre à niveau votre abonnement, communiquez avec votre responsable de la réussite client ou avec votre gestionnaire de compte. Ils sont là pour vous aider dans toutes vos démarches.

Retour aux Détails du programme de sensibilisation élevée

Réaliser un test de vulnérabilité supplémentaire tous les trimestres (abonnement Platine ou Diamant uniquement)

En plus de surveiller la tendance de vos utilisateurs à cliquer sur des liens d’hameçonnage, nous vous recommandons d’effectuer des tests de vulnérabilité supplémentaire à différents moments de l’année. Voici ci-dessous les fonctionnalités de l’abonnement Platine que vous pouvez aisément configurer et gérer dans votre console.

  • Tests de clé USB : Pour savoir si vos utilisateurs sont susceptibles de récupérer des clés USB inconnues et de les connecter à leur ordinateur, notre plateforme vous permet d’effectuer un test de clé USB. Pour ce test, nous vous fournirons des fichiers spécialement conçus à cet effet que vous chargerez sur des clés USB. Vous laisserez ces clés dans des emplacements fréquentés par vos employés et situés autour de votre bureau. Nous pourrons ensuite suivre les données des utilisateurs qui connecteront les clés USB et qui tenteront d’ouvrir les fichiers. Voir : Présentation du test de clé USB

Retour aux Détails du programme de sensibilisation élevée

Vérifier les progrès accomplis

Vous pourrez vous référer aux différentes options des rapports dans votre console, pour connaître l’évolution de votre organisation au fil du temps. L’analyse des différents rapports disponibles révélera les « maillons faibles » de l’organisation et vous indiquera où mettre davantage l’accent sur la formation de sécurité au sein de votre organisation. Ces informations vous aideront à élaborer vos futurs tests d’hameçonnage et à planifier vos campagnes de formation de sécurité.

Votre tableau de bord donne un aperçu de la note de risque de l’organisation, du pourcentage de Phish-prone et d’autres informations qui vous aideront à évaluer d’un coup d’œil les impacts de votre programme de sensibilisation à la sécurité. Mais vous souhaiterez certainement approfondir votre analyse pour identifier des tendances, connaître les utilisateurs qui n’ont pas encore suivi leur formation, identifier les groupes, les emplacements ou les services qui sont les plus susceptibles de cliquer sur des liens d’hameçonnage, ou même savoir sur quel modèle de courriel les utilisateurs ont le plus cliqué.

Voici quelques ressources à votre disposition concernant les rapports :

Retour aux Détails du programme de sensibilisation élevée

Sensibilisation moyenne

Cliquez sur chaque étape pour en connaître les détails.

Mobiliser vos parties prenantes

Pour garantir que votre organisation tire le meilleur parti possible d’un programme, il est essentiel d’obtenir l’adhésion des parties prenantes. Consultez l’article ci-dessous pour voir un exemple de courriel à modifier, que vous pourriez envoyer aux parties prenantes de votre organisation.

Mobiliser les parties prenantes dans mon plan de formation sur la sensibilisation à la sécurité

Retour aux Détails du programme de sensibilisation moyenne

Réaliser un test de référence à l’aveugle

Avant de commencer à former vos utilisateurs à l’aide de nos modules de formation sur la sensibilisation à la sécurité, nous vous recommandons vivement de mener un test d’hameçonnage de référence à l’aveugle auprès de tous vos utilisateurs.

Assurez-vous de suivre les instructions fournies dans l’article ci-dessous pour savoir comment doit être mis en place le test.

Guide des pratiques exemplaires : configurer un test de référence

Communication sur les tests de référence pour votre équipe des TI ou votre centre d’assistance

Il faudra également réfléchir au type de page de destination que vous souhaitez utiliser dans votre test de référence à l’aveugle. L’utilisation de pages de destination permet d’influencer la réaction de vos utilisateurs à un test d’hameçonnage. Cliquez sur le lien ci-dessous pour en apprendre davantage au sujet de différents types de pages de destination et comment vos utilisateurs y réagiront.

Pratiques exemplaires : choisir une page de destination

Retour aux Détails du programme de sensibilisation moyenne

Pour éviter la surcharge du service d’assistance, hameçonnez d’abord votre équipe des TI

Une autre option que vous pouvez envisager est d’envoyer deux tests d’hameçonnage de base : l’un à votre service des TI/d’assistance d’abord, puis un autre au reste de vos employés. Ainsi, lorsque le reste de vos employés commencera à signaler les courriels suspects, les employés du service d’assistance seront au courant de la situation, mais ils auront également eu l’occasion de participer à l’évaluation de base. En outre, c’est un excellent moyen de s’assurer que vous avez bien inscrit nos serveurs de messagerie sur une liste blanche et que votre test de base atteindra la boîte de réception de tout le monde.

Retour aux Détails du programme de sensibilisation moyenne

Communiquer avec vos employés

Après la réalisation du test de référence, les employés ayant reçu le courriel d’hameçonnage simulé pourraient être désorientés. Les personnes ayant cliqué sur le lien d’hameçonnage pourraient se demander quelles en seront les conséquences. Nous vous recommandons de communiquer avec votre personnel dès la fin de votre campagne de test d’hameçonnage de référence, afin de l’informer qu’un test a été mené et de lui en expliquer les raisons.

Vous pourriez également profiter de cette opportunité pour souligner l’importance de la formation sur la sensibilisation à la sécurité. Informer vos utilisateurs des menaces qui pèsent sur l’organisation et sur eux-mêmes peut augmenter leur taux de participation lorsqu’ils seront inscrits à la formation. Nous vous proposons un modèle à utiliser à cet effet, auquel vous pourrez accéder en cliquant sur le lien ci-dessous.

Modèle pour le suivi de votre test d’hameçonnage de référence

Retour aux Détails du programme de sensibilisation moyenne

Évaluer le niveau de sensibilisation à la sécurité de vos utilisateurs

Avant d’inscrire vos utilisateurs à la formation sur la sensibilisation à la sécurité, il est important d’évaluer leur niveau actuel de sensibilisation à la sécurité, pour voir comment il évolue dans le temps. Assignez l’Évaluation des compétences en matière de sensibilisation à la sécurité (SAPA) à vos utilisateurs pour tester leurs connaissances dans sept domaines de connaissance. Nous vous recommandons d’assigner la SAPA après votre premier test d’hameçonnage, mais avant de commencer votre première campagne de formation. Continuez à assigner annuellement la SAPA à vos utilisateurs, afin de mesurer l’évolution de vos forces et faiblesses.

Utilisez les liens ci-dessous pour en apprendre davantage au sujet de l’ajout d’évaluations et sur l’Évaluation des compétences en matière de sensibilisation à la sécurité (SAPA).

Guide des évaluations organisationnelles

Présentation de l’évaluation des compétences en matière de sensibilisation à la sécurité (SAPA)

Retour aux Détails du programme de sensibilisation moyenne

Inscrire les employés à une formation sur la sensibilisation à la sécurité

Après avoir réalisé un test de référence, vous devriez préparer une formation sur la sensibilisation à la sécurité pour tous vos utilisateurs. Préalablement, vous devrez configurer votre Expérience de l’apprenant et décider si vous souhaitez utiliser la ludification dans votre programme de formation.

Nous vous recommandons vivement d’inscrire tous vos employés à la formation de KnowBe4 sur la sensibilisation à la sécurité, d’une durée de 45 minutes, ou à une formation similaire complète dans le cadre de votre première campagne d’hameçonnage. Vous pouvez également ajouter des politiques aux campagnes de formation et exiger de vos utilisateurs qu’ils acceptent ou prennent connaissance de ces politiques. Pour en savoir plus : Créer et gérer des politiques

Pour aider les utilisateurs à commencer leur formation, nous vous conseillons de leur envoyer un lien vers l’une de nos vidéos de mise en route. Chaque vidéo contient des instructions uniques en fonction de vos paramètres de connexion et explique comment utiliser l’Expérience de l’apprenant. Utilisez les liens ci-dessous pour trouver la vidéo qui convient le mieux à votre organisation.

Pour des recommandations sur la manière de configurer votre première campagne de formation sur la sensibilisation à la sécurité, consultez le lien ci-dessous.

Guide des pratiques exemplaires : créer votre première campagne de formation

Retour aux Détails du programme de sensibilisation moyenne

Installer le Phish Alert Button

Le Phish Alert Button (bouton d’alerte hameçonnage) ou PAB est un outil gratuit dont vous devriez encourager l’utilisation pour favoriser l’interaction de vos utilisateurs avec leur formation sur la sécurité. Le PAB est un module complémentaire pour votre client de messagerie (Consultez notre matrice de compatibilité du PAB ici) qui permet à vos utilisateurs de signaler un courriel d’hameçonnage présumé. Le message signalé peut être un test d’hameçonnage simulé de KnowBe4 ou une véritable cyberattaque.

Pour en savoir plus au sujet du PAB et de la manière d’informer vos utilisateurs à son sujet après son installation, cliquez sur le lien ci-dessous.

Pratiques exemplaires : mise en œuvre du Phish Alert Button (PAB)

Retour aux Détails du programme de sensibilisation moyenne

Améliorer votre plan de gestion de réponse aux incidents liés aux courriels

Si vous décidez d’utiliser le PAB, ou si vous demandez à vos utilisateurs de transférer par un autre moyen les courriels suspects ou potentiellement malveillants à une adresse courriel désignée ou à un service spécifique de votre organisation, vous aurez besoin d’un outil permettant de gérer ces courriels transférés, de les analyser efficacement et d’y réagir. La plateforme PhishER peut être utilisée à cet effet.

Grâce à l’utilisation de PhishER pour le contrôle de la sécurité par la détection, votre organisation peut identifier des menaces potentielles et renforcer ses mesures de sécurité et ses plans de défense complets. PhishER peut être utilisé facilement avec le PAB pour gérer les courriels d’hameçonnage signalés, ou être utilisé directement avec les courriels transférés dans la boîte de réception PhishER. Pour obtenir plus d’informations sur PhishER, assurez-vous de consulter notre Manuel du produit de PhishER.

Retour aux Détails du programme de sensibilisation moyenne

Créer vos groupes de cliqueurs

Cliquez sur Utilisateurs, puis sur l’onglet Groupes, et vous verrez une option permettant de créer un nouveau groupe. À cet endroit, vous pourrez créer un groupe pour vos utilisateurs sensibles à l’hameçonnage appelés « cliqueurs ». Vous pourrez utiliser ce groupe dans de futures campagnes de formation et pour configurer des formations de rattrapage automatisées pour les personnes qui continuent à échouer à vos tests d’hameçonnage. Les clients des abonnements Platine et Diamant peuvent également créer un groupe intelligent qui regroupera automatiquement tous les utilisateurs qui échouent aux tests d’hameçonnage.

Retour aux Détails du programme de sensibilisation moyenne

Continuer à hameçonner tous vos utilisateurs 

Test d’hameçonnage mensuel

Dans le cadre du programme de sensibilisation moyenne, nous vous conseillons de tester l’ensemble de vos utilisateurs une fois par mois. Des tests d’hameçonnage réguliers permettront à vos employés de mettre en pratique les compétences acquises au cours de leur formation sur la sensibilisation à la sécurité.

Les paramètres recommandés sont décrits ci-dessous. Ils vous aideront à maximiser la variété de courriels d’hameçonnage utilisés et à les répartir dans le temps. Cette méthode tout à fait aléatoire évite que les employés se préviennent les uns les autres de la tenue d’un test d’hameçonnage.

  • Fréquence : mensuelle.
    • Envoi : envoyer les courriels sur 5 à 10 jours ouvrables.
    • Ainsi, les utilisateurs ne recevront pas les courriels en même temps et ne pourront pas prévenir les autres de la tenue d’un test d’hameçonnage.
  • Suivre l’activité : suivre les échecs aux tests d’hameçonnage pendant au moins trois jours.
  • Suivi des réponses : nous vous recommandons d’activer ce paramètre. Pour obtenir plus d’informations à propos de la réponse à l’hameçonnage, consultez notre Manuel de produit de la réponse-à-l’hameçonnage.
  • Catégories : Choisissez plusieurs catégories de modèles et choisissez « Complètement aléatoire » dans le menu déroulant des modèles afin d’obtenir aléatoirement un modèle pour chaque utilisateur.
    • Excluez les langues qui ne sont pas pertinentes et les catégories Avis et conseils de sécurité et Escroquerie de la semaine.
  • Niveau de difficulté : facultatif
    • Si vous le souhaitez, vous pouvez choisir de limiter la difficulté des modèles sélectionnés à un nombre spécifique d’étoiles, entre une et cinq.
  • Domaine de lien d’hameçonnage : laissez la valeur aléatoire
  • Page de destination : facultatif
    • Choisissez une page de destination en particulier que vous souhaitez utiliser pour tous vos modèles d’hameçonnage, ou laissez la valeur par défaut.
  • Ajouter des cliqueurs : sélectionnez vos groupes de cliqueurs. Si vous utilisez un Groupe intelligent pour la formation de rattrapage automatisée, vous pouvez laisser cette valeur vide.
    • Chaque fois qu’une personne échoue à un test d’hameçonnage, elle est ajoutée automatiquement au groupe sélectionné.
  • Sélectionnez l’option « Envoyer un rapport par courriel aux administrateurs de compte… » si vous souhaitez recevoir une notification lorsque le test d’hameçonnage bimensuel est terminé.

Retour aux Détails du programme de sensibilisation moyenne

Test supplémentaire mensuel facultatif utilisant un modèle ciblé ou concernant des événements actuels

Nous ajoutons parfois de nouveaux modèles que vous pourriez vouloir tester immédiatement sur tous vos utilisateurs, ou vous avez peut-être imaginé un ingénieux concept de test d’hameçonnage auquel même ceux qui cliquent rarement se feront prendre. Vous pouvez configurer un test ponctuel supplémentaire par mois pour que vos tests d’hameçonnage restent uniques et pertinents.

Pour le programme de sensibilisation moyenne et dans le cadre de ces tests ponctuels, nous vous recommandons de cibler vos employés avec des modèles spécifiques à votre organisation ou à votre secteur.

Il est préférable de cocher la case Envoyer tous les courriels au début de la campagne lorsque vous n’utilisez qu’un seul modèle, afin que vos utilisateurs reçoivent simultanément le courriel d’hameçonnage simulé. Cela réduira le temps dont disposeront les utilisateurs pour s’avertir les uns les autres de la tenue d’un test d’hameçonnage.

Retour aux Détails du programme de sensibilisation moyenne

Définir votre culture de sécurité

Afin de garantir la meilleure efficacité possible de votre formation sur la sensibilisation à la sécurité, il est important d’établir une forte culture de sécurité. La culture de sécurité désigne les idées, les coutumes et les comportements sociaux qui ont un impact sur la sécurité de votre organisation. Le Sondage sur la culture de sécurité décompose la culture de sécurité de votre organisation en sept dimensions distinctes. Utilisez ce sondage pour savoir quelles dimensions doivent être renforcées et pour observer l’évolution de votre culture de sécurité dans le temps. Effectuez ce sondage auprès de vos utilisateurs une fois par année, pour voir comment évolue votre score de culture de sécurité.

Utilisez les liens ci-dessous pour en apprendre davantage sur l’ajout d’évaluations et sur le sondage sur la culture de sécurité (SCS).

Guide des évaluations organisationnelles

Présentation du sondage sur la culture de sécurité (SCS)

Retour aux Détails du programme de sensibilisation moyenne

Envoyer les Avis et conseils de sécurité et l’Escroquerie de la semaine

En plus des modèles d’hameçonnage, nous offrons également une catégorie intégrée incluant les Avis et conseils de sécurité et l’Escroquerie de la semaine. Les Avis et conseils de sécurité rappellent aux utilisateurs les différentes méthodes qui leur permettent de se protéger en ligne et au travail. L’Escroquerie de la semaine, quant à elle, prépare vos utilisateurs à se défendre face aux escroqueries de cybersécurité et de piratage psychologique qui sont d’actualité.

Aperçu du bulletin d’information Avis et conseils de sécurité

Aperçu du bulletin d’information Escroquerie de la semaine

Retour aux Détails du programme de sensibilisation moyenne

Commencer une campagne de formation de rattrapage pour les cliqueurs

Pour encourager vos utilisateurs les plus sensibles à l’hameçonnage à examiner avec plus d’attention les courriels qu’ils reçoivent, vous pouvez planifier une campagne de formation de rattrapage pour votre groupe de cliqueurs.

Pour ce faire, assurez-vous d’utiliser l’option « Ajouter des cliqueurs à » pour ajouter votre groupe de cliqueurs à votre campagne d’hameçonnage mensuelle récurrente, lors de sa configuration.

Après avoir configuré votre campagne d’hameçonnage, configurez votre formation de sécurité de rattrapage pour les cliqueurs.

Les clients des abonnements Platine ou Diamant ont également la possibilité de configurer une formation de rattrapage automatisée à l’aide des groupes intelligents.

Utiliser des groupes pour la formation de rattrapage

Retour aux Détails du programme de sensibilisation moyenne

Planifier une formation de sécurité supplémentaire tous les six mois

En plus de la formation sur la sensibilisation à la sécurité KnowBe4, KnowBe4 propose une variété de modules de formation permettant de répondre aux besoins de votre organisation en matière de formation de sécurité. Pour consulter une liste et la description de l’ensemble de notre contenu de formation et visualiser des aperçus, parcourez notre ModStore à partir de votre compte KnowBe4.

Pour maintenir l’attention de vos utilisateurs sur la sécurité, nous vous recommandons de créer une nouvelle campagne de formation tous les six mois. L’assignation d’un nouveau cours maintiendra l’intérêt de vos utilisateurs pour leur formation sur la sensibilisation à la sécurité et permettra d’actualiser le contenu.

Si cela convient à votre organisation, vous pouvez aussi cibler certains services avec du contenu spécifique qui leur correspond. Par exemple, vous pourriez assigner notre cours Basics of Credit Card Security (Fondements de la sécurité des cartes de crédit) à tous les employés qui sont amenés à traiter les données sensibles des cartes de crédit. Vous pouvez filtrer le contenu de notre ModStore pour trouver des sujets spécifiques sur lesquels vous souhaitez mettre l’accent, ou utiliser notre filtre pour trouver une formation ciblée.

Nous recommandons un abonnement Platine pour garantir l’accès au contenu le plus récent et le plus pertinent en tout temps. Si vous souhaitez mettre à niveau votre abonnement, communiquez avec votre responsable de la réussite client ou avec votre gestionnaire de compte. Ils sont là pour vous aider dans toutes vos démarches.

Retour aux Détails du programme de sensibilisation moyenne

Réaliser un test de vulnérabilité supplémentaire tous les six mois (abonnement Platine ou Diamant uniquement)

En plus de surveiller la tendance de vos utilisateurs à cliquer sur des liens d’hameçonnage, nous vous recommandons d’effectuer des tests de vulnérabilité supplémentaire à différents moments de l’année. Voici ci-dessous les fonctionnalités de l’abonnement Platine que vous pouvez aisément configurer et gérer dans votre console.

  • Tests de clé USB : Pour savoir si vos utilisateurs sont susceptibles de récupérer des clés USB inconnues et de les connecter à leur ordinateur, notre plateforme vous permet d’effectuer un test de clé USB. Pour ce test, nous vous fournirons des fichiers spécialement conçus à cet effet que vous chargerez sur des clés USB. Vous laisserez ces clés dans des emplacements fréquentés par vos employés et situés autour de votre bureau. Nous pourrons ensuite suivre les données des utilisateurs qui connecteront les clés USB et qui tenteront d’ouvrir les fichiers. Voir : Présentation du test de clé USB

Retour aux Détails du programme de sensibilisation moyenne

Vérifier les progrès accomplis

Vous pourrez vous référer aux différentes options des rapports dans votre console, pour connaître l’évolution de votre organisation au fil du temps. L’analyse des différents rapports disponibles révélera les « maillons faibles » de l’organisation et vous indiquera où mettre davantage l’accent sur la formation de sécurité au sein de votre organisation. Ces informations vous aideront à élaborer vos futurs tests d’hameçonnage et à planifier vos campagnes de formation de sécurité.

Votre tableau de bord donne un aperçu de la note de risque de l’organisation, du pourcentage de Phish-prone et d’autres informations qui vous aideront à évaluer d’un coup d’œil les impacts de votre programme de sensibilisation à la sécurité. Mais vous souhaiterez certainement approfondir votre analyse pour identifier des tendances, connaître les utilisateurs qui n’ont pas encore suivi leur formation, identifier les groupes, les emplacements ou les services qui sont les plus susceptibles de cliquer sur des liens d’hameçonnage, ou même savoir sur quel modèle de courriel les utilisateurs ont le plus cliqué.

Voici quelques ressources à votre disposition concernant les rapports :

Retour aux Détails du programme de sensibilisation moyenne

Sensibilisation faible

Cliquez sur chaque étape pour en connaître les détails.

Mobiliser vos parties prenantes

Pour garantir que votre organisation tire le meilleur parti possible d’un programme, il est essentiel d’obtenir l’adhésion des parties prenantes. Consultez l’article ci-dessous pour voir un exemple de courriel à modifier, que vous pourriez envoyer aux parties prenantes de votre organisation.

Mobiliser les parties prenantes dans mon plan de formation sur la sensibilisation à la sécurité

Retour aux Détails du programme de sensibilisation faible

Réaliser un test de référence à l’aveugle

Avant de commencer à former vos utilisateurs à l’aide de nos modules de formation sur la sensibilisation à la sécurité, nous vous recommandons vivement de mener un test d’hameçonnage de référence à l’aveugle auprès de tous vos utilisateurs.

Assurez-vous de suivre les instructions fournies dans l’article ci-dessous pour savoir comment doit être mis en place le test.

Guide des pratiques exemplaires : configurer un test de référence

Communication sur les tests de référence pour votre équipe des TI ou votre centre d’assistance

Il faudra également réfléchir au type de page de destination que vous souhaitez utiliser dans votre test de référence à l’aveugle. L’utilisation de pages de destination permet d’influencer la réaction de vos utilisateurs à un test d’hameçonnage. Cliquez sur le lien ci-dessous pour en apprendre davantage au sujet de différents types de pages de destination et comment vos utilisateurs y réagiront.

Pratiques exemplaires : choisir une page de destination

Retour aux Détails du programme de sensibilisation faible

Pour éviter la surcharge du service d’assistance, hameçonnez d’abord votre équipe des TI

Une autre option que vous pouvez envisager est d’envoyer deux tests d’hameçonnage de base : l’un à votre service des TI/d’assistance d’abord, puis un autre au reste de vos employés. Ainsi, lorsque le reste de vos employés commencera à signaler les courriels suspects, les employés du service d’assistance seront au courant de la situation, mais ils auront également eu l’occasion de participer à l’évaluation de base. En outre, c’est un excellent moyen de s’assurer que vous avez bien inscrit nos serveurs de messagerie sur une liste blanche et que votre test de base atteindra la boîte de réception de tout le monde.

Retour aux Détails du programme de sensibilisation faible

Communiquer avec vos employés

Après la réalisation du test de référence, les employés ayant reçu le courriel d’hameçonnage simulé pourraient être désorientés. Les personnes ayant cliqué sur le lien d’hameçonnage pourraient se demander quelles en seront les conséquences. Nous vous recommandons de communiquer avec votre personnel dès la fin de votre campagne de test d’hameçonnage de référence, afin de l’informer qu’un test a été mené et de lui en expliquer les raisons.

Vous pourriez également profiter de cette opportunité pour souligner l’importance de la formation sur la sensibilisation à la sécurité. Informer vos utilisateurs des menaces qui pèsent sur l’organisation et sur eux-mêmes peut augmenter leur taux de participation lorsqu’ils seront inscrits à la formation. Nous vous proposons un modèle à utiliser à cet effet, auquel vous pourrez accéder en cliquant sur le lien ci-dessous.

Modèle pour le suivi de votre test d’hameçonnage de référence

Retour aux Détails du programme de sensibilisation faible

Évaluer le niveau de sensibilisation à la sécurité de vos utilisateurs

Avant d’inscrire vos utilisateurs à la formation sur la sensibilisation à la sécurité, il est important d’évaluer leur niveau actuel de sensibilisation à la sécurité, pour voir comment il évolue dans le temps. Assignez l’Évaluation des compétences en matière de sensibilisation à la sécurité (SAPA) à vos utilisateurs pour tester leurs connaissances dans sept domaines de connaissance. Nous vous recommandons d’assigner la SAPA après votre premier test d’hameçonnage, mais avant de commencer votre première campagne de formation. Continuez à assigner annuellement la SAPA à vos utilisateurs, afin de mesurer l’évolution de vos forces et faiblesses.

Utilisez les liens ci-dessous pour en apprendre davantage au sujet de l’ajout d’évaluations et sur l’Évaluation des compétences en matière de sensibilisation à la sécurité (SAPA).

Guide des évaluations organisationnelles

Présentation de l’évaluation des compétences en matière de sensibilisation à la sécurité (SAPA)

Retour aux Détails du programme de sensibilisation faible

Inscrire les employés à une formation sur la sensibilisation à la sécurité

Après avoir réalisé un test de référence, vous devriez préparer une formation sur la sensibilisation à la sécurité pour tous vos utilisateurs. Préalablement, vous devrez configurer votre Expérience de l’apprenant et décider si vous souhaitez utiliser la ludification dans votre programme de formation.

Nous vous recommandons vivement d’inscrire tous vos employés à la formation de KnowBe4 sur la sensibilisation à la sécurité, d’une durée de 45 minutes, ou à une formation similaire complète dans le cadre de votre première campagne d’hameçonnage. Vous pouvez également ajouter des politiques aux campagnes de formation et exiger de vos utilisateurs qu’ils acceptent ou prennent connaissance de ces politiques. Pour en savoir plus : Créer et gérer des politiques

Pour aider les utilisateurs à commencer leur formation, nous vous conseillons de leur envoyer un lien vers l’une de nos vidéos de mise en route. Chaque vidéo contient des instructions uniques en fonction de vos paramètres de connexion et explique comment utiliser l’Expérience de l’apprenant. Utilisez les liens ci-dessous pour trouver la vidéo qui convient le mieux à votre organisation.

C’est article vous a-t-il été utile?

Utilisateurs qui ont trouvé cela utile : 23 sur 27

Vous ne trouvez pas ce que vous cherchez?

Contacter l’assistance