Pourquoi la sensibilisation est un contrôle, pas un détail
Les personnes sont la couche la plus ciblée de toute organisation. Une politique de sensibilisation et formation définit comment les collaborateurs sont formés à reconnaître le phishing, manipuler les données et signaler les incidents — transformant vos équipes du maillon le plus faible en couche de détection. Les auditeurs attendent la preuve que la formation a réellement lieu.
Quoi inclure
- Périmètre — tous les collaborateurs, prestataires et, le cas échéant, formations par rôle.
- Formation d'intégration — réalisée avant ou peu après l'octroi des accès.
- Formation récurrente — au moins un rappel annuel, avec suivi de la complétion.
- Simulations de phishing — tests périodiques, suivis de formation plutôt que de sanction.
- Modules par rôle — formation renforcée pour les développeurs, admins et la finance (cible fréquente de fraude).
- Traçabilité — preuves de complétion conservées pour les audits.
- Efficacité — mesurer et améliorer (taux de complétion, taux de clic au phishing).
Erreurs fréquentes
- Un diaporama à l'intégration et plus rien ensuite.
- Des tests de phishing utilisés pour sanctionner, ce qui détruit la culture de signalement.
- Aucune trace de complétion, donc impossible de prouver la formation à un auditeur.
Alignement référentiels
Correspond à l'Annexe A 6.3 d'ISO 27001:2022 (sensibilisation, éducation et formation), aux critères SOC 2, et à la fonction Protéger du NIST CSF (PR.AT).
Générez-la en quelques minutes
Voir un exemple de politique de sensibilisation et formation ou générez la vôtre gratuitement.