Comment rédiger une politique de sensibilisation et formation

Pourquoi la sensibilisation est un contrôle, pas un détail

Les personnes sont la couche la plus ciblée de toute organisation. Une politique de sensibilisation et formation définit comment les collaborateurs sont formés à reconnaître le phishing, manipuler les données et signaler les incidents — transformant vos équipes du maillon le plus faible en couche de détection. Les auditeurs attendent la preuve que la formation a réellement lieu.

Quoi inclure

Périmètre — tous les collaborateurs, prestataires et, le cas échéant, formations par rôle.
Formation d'intégration — réalisée avant ou peu après l'octroi des accès.
Formation récurrente — au moins un rappel annuel, avec suivi de la complétion.
Simulations de phishing — tests périodiques, suivis de formation plutôt que de sanction.
Modules par rôle — formation renforcée pour les développeurs, admins et la finance (cible fréquente de fraude).
Traçabilité — preuves de complétion conservées pour les audits.
Efficacité — mesurer et améliorer (taux de complétion, taux de clic au phishing).

Erreurs fréquentes

Un diaporama à l'intégration et plus rien ensuite.
Des tests de phishing utilisés pour sanctionner, ce qui détruit la culture de signalement.
Aucune trace de complétion, donc impossible de prouver la formation à un auditeur.

Alignement référentiels

Correspond à l'Annexe A 6.3 d'ISO 27001:2022 (sensibilisation, éducation et formation), aux critères SOC 2, et à la fonction Protéger du NIST CSF (PR.AT).

Sources de référence

NIST SP 800-50 Rev. 1 — construire un programme de sensibilisation à la cybersécurité (csrc.nist.gov/pubs/sp/800/50/r1/final).
ISO/IEC 27001:2022 — contrôle 6.3 de l'Annexe A, sensibilisation, éducation et formation (iso.org/standard/27001).
ENISA — ressources de sensibilisation (enisa.europa.eu).

Générez-la en quelques minutes

Voir un exemple de politique de sensibilisation et formation ou générez la vôtre gratuitement.

Questions fréquentes

À quelle fréquence organiser la sensibilisation à la sécurité ?

À l’arrivée de chaque nouveau collaborateur, puis au moins une fois par an, avec des rappels ciblés plus courts entre-temps. L’Annexe A 6.3 attend une sensibilisation, une éducation et une formation appropriées et régulières — une simple intégration ponctuelle ne suit pas l’évolution du phishing et de l’ingénierie sociale.

Que doit couvrir la sensibilisation ?

Les menaces réellement rencontrées : phishing et fraude au président, hygiène des mots de passe et de la MFA, manipulation sûre des données, habitudes bureau net et écran verrouillé, et la façon de signaler un incident suspecté. Rattachez chaque thème à une action concrète, pas à un texte de politique abstrait.

Les auditeurs vérifient-ils les preuves de formation ?

Oui. Pour l’ISO 27001, il faut prouver que la formation a eu lieu — relevés de réalisation, dates et contenus couverts. L’Annexe A 6.3 est facile à échouer si vous formez sans pouvoir montrer qui a participé : tenez un registre de présence ou de réalisation par session.