Un nouvel arrivant non sensibilisé augmente le niveau de risque de l'entreprise. Intégrer la cybersécurité dès l'onboarding est un réflexe simple et...
Les premières semaines d'un nouveau collaborateur déterminent la plupart de ses réflexes de sécurité pour les années qui suivent. Pendant cette période, il découvre les outils, ne connaît pas encore les habitudes de la maison, hésite à poser des questions et cherche à bien faire vite. C'est exactement le profil que visent les attaquants : une demande urgente d'un supposé dirigeant, un lien à cliquer, une facture à régler. Un nouvel arrivant non sensibilisé n'est pas un maillon faible par négligence, il l'est par manque d'information.
Le socle tient en peu de choses, mais il doit être explicite et remis par écrit, pas transmis oralement entre deux portes. Il comprend la règle sur les mots de passe et l'usage du gestionnaire de mots de passe de l'entreprise, l'activation de l'authentification à deux facteurs sur les comptes professionnels, la conduite à tenir devant un e-mail suspect, la règle sur l'usage des appareils personnels, et surtout le nom de la personne à prévenir en cas de doute.
Ce dernier point est le plus important et le plus souvent oublié. Un collaborateur qui a cliqué sur un lien douteux et qui hésite à le dire fait perdre des heures décisives. Une consigne claire — signaler immédiatement, sans crainte de reproche — vaut mieux que trois heures de formation théorique. Le message doit venir de la direction pour être crédible.
Ce socle gagne à être remis sous forme d’une fiche d’une page, signée par le collaborateur, plutôt que noyé dans un règlement intérieur de quarante pages. La signature n’a pas de vertu magique, mais elle oblige à lire, et elle donne une date. Il est utile d’y ajouter deux exemples concrets tirés de l’entreprise : le faux message du dirigeant demandant un virement urgent, et la fausse notification de mot de passe expiré. Ces deux scénarios représentent l’essentiel des tentatives réelles, et les reconnaître une fois suffit souvent à les repérer ensuite.
Le moment de la remise compte autant que le contenu. Transmettre ces consignes le premier jour, au milieu des vingt autres informations à retenir, garantit qu’elles seront oubliées. Les entreprises qui obtiennent des résultats les rappellent une seconde fois à la fin de la première semaine, quand le collaborateur a déjà utilisé ses outils et que les exemples lui parlent.
Les accès : ni trop, ni trop tard
L'onboarding technique mérite autant d'attention que la sensibilisation. Le principe est celui du moindre privilège : le nouvel arrivant reçoit les accès nécessaires à son poste, et rien de plus. Dans les faits, beaucoup d'entreprises dupliquent les droits d'un collègue occupant une fonction voisine, ce qui propage des accès accumulés au fil des années et parfois plus justifiés.
Une fiche d'arrivée listant les comptes à créer, les groupes à rejoindre et le matériel remis évite les oublis, et sert surtout de base à la fiche de départ correspondante. Car le vrai risque se situe à la sortie : un compte resté actif après un départ, une boîte aux lettres accessible, un accès distant jamais révoqué. Chaque arrivée est l'occasion de vérifier que la procédure de départ existe et fonctionne.
L’intégration technique doit aussi couvrir le matériel et la mobilité. Un ordinateur portable non chiffré remis à un nouvel arrivant expose l’entreprise dès le premier déplacement, et un téléphone personnel utilisé pour la messagerie professionnelle pose la question de ce qui se passe au départ. Ces choix se décident à l’arrivée, pas après. La fiche d’arrivée mentionne donc le matériel remis, son numéro de série, le chiffrement activé et les règles d’usage, ce qui rend la restitution beaucoup plus simple le jour venu.
Il est également utile de fixer une date de revue des accès, par exemple trois mois après l’arrivée. Les besoins réels se précisent à l’usage : certains droits accordés par précaution ne servent jamais et peuvent être retirés, d’autres manquent et obligent le salarié à emprunter le compte d’un collègue, ce qui est la pire des situations.
Ancrer les réflexes dans la durée
Une sensibilisation faite une fois à l'embauche s'efface en quelques mois. Ce qui tient dans le temps repose sur trois mécanismes simples. Des rappels courts et réguliers, quelques minutes tous les trimestres, sur un sujet unique et concret. Des simulations d'hameçonnage internes, à condition d'en faire un outil de mesure et non de sanction : le résultat sert à ajuster la formation, pas à désigner des coupables. Et l'exemplarité de l'encadrement, car une règle que la direction contourne ne sera respectée par personne.
La mesure a son importance. Le taux de clic sur les simulations, le délai moyen de signalement d'un message suspect et le nombre de comptes sans double authentification donnent une image objective du niveau réel, bien plus utile qu'un sentiment général. Ces trois indicateurs suffisent à piloter le sujet dans une PME.
Chez TICLIC, nous construisons ces parcours d'intégration avec nos clients : documents d'accueil, fiches d'arrivée et de départ, sensibilisation courte à l'embauche puis rappels trimestriels, et simulations mesurées. Un diagnostic gratuit permet d'évaluer où en est votre organisation et par quoi commencer.
Un dernier levier, peu coûteux, consiste à désigner un référent parmi les salariés plutôt que de tout faire porter par la direction ou le prestataire. Une personne identifiée, formée un peu plus que les autres, à qui l’on peut poser une question sans se sentir ridicule, fait remonter les incidents bien plus tôt. Dans les entreprises où ce rôle existe, le délai moyen entre le clic et le signalement se compte en minutes plutôt qu’en heures, et c’est précisément ce délai qui détermine l’ampleur des dégâts.