Cybersécurité : vos équipes terrain sont le maillon oublié de la sensibilisation

Chaque année, en octobre, le Cybermois mobilise plus de 1 300 organisations en France autour des bonnes pratiques numériques. Webinaires, affiches dans les couloirs, campagnes de faux phishing, quiz internes : les dispositifs sont nombreux et souvent bien conçus. Mais ils partagent tous une caractéristique discrète, rarement interrogée : ils s'adressent presque exclusivement à des salariés assis devant un ordinateur, avec une adresse mail professionnelle et un créneau disponible dans leur agenda.

Or dans un groupe de distribution, une entreprise de transport, une chaîne de restauration ou un industriel, cette population représente souvent moins d'un tiers des effectifs. Les autres sont en magasin, sur un quai, en tournée, en atelier, derrière un comptoir. Ils manipulent des terminaux de paiement, scannent des colis, reçoivent des appels de fournisseurs, ouvrent des liens sur leur téléphone. Ils sont exposés, parfois davantage que les fonctions support, et ils sont pourtant les grands absents des campagnes de sensibilisation.

Ce décalage n'est plus seulement un angle mort opérationnel. Avec l'entrée en application pleine de la directive NIS2 et le renforcement des exigences sur la sensibilisation du personnel, il devient un sujet de conformité. Les régulateurs ne demandent pas de sensibiliser les collaborateurs faciles à joindre, ils demandent de sensibiliser les collaborateurs.

Cet article revient sur les raisons structurelles de cet angle mort, sur les menaces qui visent spécifiquement les populations terrain, et sur les leviers concrets pour construire une sensibilisation cyber qui atteigne réellement 100 % des effectifs.

‍

Pourquoi la sensibilisation cyber s'arrête à la porte du terrain

‍

Des dispositifs pensés pour le poste de travail

La quasi-totalité des programmes de sensibilisation en entreprise repose sur trois piliers : le module e-learning à suivre sur un poste fixe, la campagne de phishing simulé envoyée sur la messagerie professionnelle, et la communication interne diffusée par mail ou sur l'intranet. Ces trois canaux ont un point commun, ils supposent une adresse mail nominative et un temps d'écran disponible.

Pour un chargé de clientèle en agence ou un opérateur en entrepôt, aucune de ces conditions n'est réunie. L'adresse mail est souvent générique et partagée, quand elle existe. Le poste informatique est mutualisé entre huit personnes. Le temps disponible se compte en minutes entre deux clients ou deux palettes. Le module de quarante-cinq minutes n'est pas refusé, il est simplement impossible à caser.

Résultat, les tableaux de bord affichent des taux de complétion honorables, calculés sur la population effectivement inscrite au dispositif. Le chiffre est bon parce que le dénominateur est faux. Une entreprise de 4 000 salariés qui annonce 85 % de complétion sur 900 inscrits a en réalité sensibilisé moins d'un salarié sur cinq.

‍

Une exposition réelle, souvent sous-estimée

L'idée implicite derrière ce ciblage est que les fonctions support manipulent les données sensibles, et que le terrain, lui, aurait peu de surface d'attaque. C'est une lecture datée. Un vendeur en magasin a accès au système de caisse, aux données clients, aux stocks et parfois aux moyens de paiement. Un chauffeur-livreur dispose d'une application connectée au système d'information logistique. Un technicien d'intervention accède à des équipements clients depuis un terminal mobile.

Les attaquants, eux, l'ont compris depuis longtemps. Le maillon le plus faible n'est pas le moins qualifié, c'est le moins préparé. Et dans la plupart des organisations, le moins préparé se trouve précisément là où la sensibilisation n'a jamais été déployée.

S'ajoute un facteur aggravant : les équipes terrain sont souvent celles qui connaissent le plus fort renouvellement. Intérimaires, saisonniers, alternants, turnover élevé dans le retail et la restauration. Un dispositif annuel, calé sur un temps fort d'octobre, laisse mécaniquement de côté tous ceux qui arrivent en novembre.

‍

Ce que NIS2 attend réellement des entreprises

La directive NIS2 élargit considérablement le périmètre des entités concernées et durcit les obligations en matière de gestion du risque cyber. Parmi les mesures attendues figure explicitement la sensibilisation et la formation du personnel aux bonnes pratiques de sécurité de l'information, y compris pour les dirigeants.

Le texte ne se limite pas à exiger l'existence d'un programme. Il demande des mesures proportionnées au risque et la capacité à démontrer que ces mesures ont été appliquées. Cette exigence de preuve change la nature de l'exercice : il ne suffit plus d'avoir organisé une campagne, il faut pouvoir tracer qui a été touché, quand, sur quel contenu, et avec quel niveau de compréhension.

Pour les entreprises dont une majorité de collaborateurs n'a ni adresse mail ni poste fixe, cette exigence est un révélateur. C'est le moment où l'on découvre que la sensibilisation cyber n'était pas un dispositif d'entreprise, mais un dispositif de siège. La même logique que celle observée dans la conformité pilotée avant l'audit plutôt qu'entretenue en continu.

‍

Les menaces qui ciblent spécifiquement les équipes terrain

‍

Le smishing et l'ingénierie sociale par téléphone

Le phishing par email reste la porte d'entrée la plus documentée, mais elle suppose une boîte mail. Sur le terrain, les attaques passent par un autre canal, bien plus universel : le téléphone mobile.

Le smishing, phishing par SMS, exploite un contexte particulièrement favorable en environnement opérationnel. Un message arrive au milieu d'une journée chargée, il évoque une livraison, un colis bloqué, une mise à jour d'application métier, une prime. Le lien est court, l'urgence est réelle ou simulée, et la vérification prend du temps que personne n'a. Le taux de clic sur SMS est structurellement supérieur à celui observé sur email.

L'appel téléphonique fonctionne sur le même ressort. Un interlocuteur se présente comme un technicien informatique, un responsable régional, un transporteur. Il demande un code reçu par SMS, une confirmation d'identifiant, une validation. Sur un site où les visages du siège sont inconnus et où les procédures d'escalade sont floues, le collaborateur qui refuse prend un risque social immédiat, alors que le risque cyber reste abstrait. C'est précisément ce déséquilibre que la sensibilisation doit corriger.

‍

Les points d'entrée physiques, propres aux environnements opérationnels

Le terrain présente une surface d'attaque que les fonctions support ne connaissent pas. Le QR code affiché sur un présentoir ou collé sur une borne peut être remplacé en trois secondes par un autocollant. La clé USB trouvée sur un parking ou remise par un prestataire finit branchée sur un poste de back-office. Le badge prêté à un collègue qui a oublié le sien devient une brèche d'accès physique.

Ces vecteurs ont un point commun : ils ne relèvent pas de la culture informatique mais de la vigilance quotidienne. Ils ne se traitent donc pas avec un module théorique sur le chiffrement, mais avec des rappels courts, concrets et contextualisés, ancrés dans les situations réellement rencontrées sur le poste. La logique est exactement la même que celle appliquée aux stratégies de sécurité au travail en microlearning : ce sont les réflexes, pas les connaissances, qui protègent.

‍

La fraude au paiement et à l'usurpation de fournisseur

Enfin, une catégorie d'attaques vise directement les collaborateurs disposant d'une capacité d'action opérationnelle : validation de commandes, réception de marchandises, encaissement, gestion de caisse.

L'usurpation d'identité fournisseur, la fausse demande de changement de RIB, la commande urgente validée par téléphone au nom d'un responsable, la manipulation de terminal de paiement : autant de scénarios qui n'ont rien de technique et tout de comportemental. Ils réussissent quand trois conditions sont réunies : une pression temporelle, une autorité apparente et l'absence de procédure de vérification connue.

La bonne question à poser en interne n'est pas « nos équipes savent-elles ce qu'est le phishing ? » mais « un collaborateur qui reçoit une demande anormale sait-il exactement à qui la signaler, et se sent-il légitime à refuser ? » La réponse à cette seconde question est un bien meilleur indicateur de maturité cyber que n'importe quel taux de complétion.

Le tableau ci-dessous récapitule les principaux vecteurs qui visent les populations terrain, et le réflexe à installer pour chacun.

‍

‍

Construire une sensibilisation qui atteint vraiment 100 % des effectifs

‍

Sortir de la logique du temps fort annuel

Le Cybermois est un excellent déclencheur, un mauvais dispositif. Concentrer l'effort de sensibilisation sur quatre semaines produit un pic d'attention en octobre et un oubli progressif dès novembre. Les mécanismes de mémorisation sont connus : sans réactivation, l'essentiel d'un contenu vu une fois disparaît en quelques semaines.

La sensibilisation cyber répond exactement aux mêmes règles que la prévention des risques ou la conformité. Elle fonctionne par répétition espacée, pas par intensité ponctuelle. Trois minutes tous les quinze jours produisent un ancrage supérieur à une session de deux heures une fois par an, pour un temps cumulé pourtant comparable.

Cette approche a un second avantage, décisif en environnement à fort renouvellement : un dispositif continu prend en charge automatiquement les nouveaux arrivants, quel que soit leur mois d'arrivée. Là où une campagne annuelle crée une génération entière de collaborateurs jamais sensibilisés.

‍

Le mobile, seul canal réellement universel

Si l'objectif est de toucher l'ensemble des effectifs, la question du canal se règle assez vite. Le poste informatique n'est pas partagé par tous. L'adresse mail professionnelle non plus. Le smartphone, en revanche, est le seul point de contact commun à un directeur financier et à un préparateur de commandes.

Ce constat n'a rien d'idéologique, il est purement pratique. Une application mobile de formation accessible en quelques secondes, sans identifiant complexe et sans créneau à réserver, supprime la totalité des frictions qui excluaient jusqu'ici les populations terrain. Le format suit : des sessions courtes, jouables debout, entre deux tâches, sans casque ni salle dédiée.

Le sujet cyber s'y prête particulièrement bien. Il se raconte en situations concrètes, en cas à trancher, en « que feriez-vous ? ». Un faux SMS présenté à l'écran, deux réponses possibles, une explication de dix secondes : le message est passé, et il est mémorisé parce qu'il a été mis en pratique.

‍

Mesurer la couverture réelle, pas seulement la participation

Le dernier chantier est celui du pilotage. Tant que l'indicateur de référence reste le taux de complétion des inscrits, l'angle mort persiste. Le premier indicateur à suivre est la couverture : quelle part de l'effectif total, site par site, population par population, a été effectivement touchée.

Viennent ensuite les indicateurs de compréhension. Quelles notions posent problème ? Quels sites affichent un taux d'erreur élevé sur la reconnaissance d'une tentative de fraude ? Quelles équipes n'ont pas rejoué le contenu depuis six mois ? Ces données ne servent pas à sanctionner, elles servent à cibler l'effort là où le risque est réel, exactement comme un DUERP bien tenu oriente la prévention plutôt que de documenter l'existant.

Un back-office de pilotage qui remonte ces informations en temps réel transforme aussi la nature de la preuve de conformité. Il ne s'agit plus de reconstituer un historique après coup, mais de disposer à tout moment d'un état des lieux daté et opposable.

‍

Faire du Cybermois un point de départ plutôt qu'une parenthèse

‍

Une campagne d'octobre conçue pour durer douze mois

Octobre reste le bon moment pour lancer. La mobilisation nationale crée un contexte favorable, les contenus de référence sont disponibles, la direction est réceptive. L'erreur consiste à traiter cette fenêtre comme une fin en soi.

Une approche plus efficace consiste à utiliser le Cybermois comme séquence de lancement d'un dispositif permanent. Octobre sert à installer le sujet, à créer le réflexe d'ouverture de l'application, à établir le niveau de départ. Les mois suivants entretiennent, approfondissent et ciblent. C'est le principe d'une campagne de formation continue : une intensité initiale, puis un rythme de croisière tenable.

Sur SPARTED, cela prend la forme de contenus courts poussés régulièrement sur mobile, déclinés par population lorsque c'est pertinent. Les scénarios de fraude fournisseur ne concernent pas les mêmes équipes que la vigilance sur les terminaux de paiement, et le ciblage évite la dilution du message. La dimension collective, avec des classements par équipe ou par site, transforme un sujet perçu comme austère en dynamique d'émulation entre magasins ou entre agences.

‍

Réagir en quelques heures quand une menace circule

Le second apport d'un dispositif mobile permanent est la capacité de réaction. Une campagne de smishing qui cible réellement l'entreprise, une tentative de fraude détectée sur un site, un nouveau mode opératoire signalé par la filière : ces informations doivent redescendre vite, et surtout redescendre à ceux qui sont exposés.

Un mail interne mettra plusieurs jours à atteindre une partie des effectifs, et n'atteindra jamais l'autre. Une Breaking News poussée sur mobile touche l'ensemble des collaborateurs concernés dans la journée, avec une trace de diffusion et un indicateur de lecture. Pour une équipe sécurité des systèmes d'information, c'est la différence entre alerter et espérer avoir alerté.

C'est aussi ce qui distingue une politique de sensibilisation d'une simple campagne de communication. La première suppose un canal permanent, activable à tout moment, couvrant l'ensemble des effectifs. C'est précisément ce que SPARTED déploie sur les enjeux de sécurité et de conformité, pour des organisations dont la majorité des collaborateurs n'a jamais ouvert un module e-learning sur un ordinateur.

‍