Faire des collaborateurs des capteurs, pas des coupables.
Risque à ne pas faire
Compromission initiale par hameçonnage, faute de collaborateurs formés à le reconnaître.
Fraude au président et au virement, exploitant l’absence de réflexe de vérification.
Aucune mesure de l’exposition réelle au risque humain, donc aucune amélioration pilotée.
Signalements internes inexistants : les tentatives ne remontent jamais à la sécurité.
Pourquoi ce domaine compte
L’humain est visé en premier parce que c’est le chemin le plus court. Former, puis mesurer par des campagnes simulées, change la nature du maillon : un collaborateur qui signale un courriel douteux devient un capteur, et il alerte souvent plus vite que la passerelle. À une condition qui ne se négocie pas : annoncer la démarche, ne jamais publier de résultat nominatif, traiter la campagne comme un exercice et non comme un piège. Une simulation qui humilie ses participants fabrique du silence — exactement ce qu’on cherchait à éviter.