Chez Computis, nous réalisons chaque semaine des audits de sécurité pour des PME romandes, des communes et des institutions publiques. Et un constat s'impose, année après année : les organisations investissent dans la technique, pare-feu, MFA, sauvegardes, segmentation, puis restent vulnérables par le seul élément qu'aucun équipement ne protège vraiment. La personne assise devant l'écran, qui reçoit des dizaines d'emails par jour et doit décider, en quelques secondes, lesquels sont légitimes. Selon le Verizon Data Breach Investigations Report 2026, 62% des fuites de données impliquent le facteur humain, une erreur, une manipulation, un clic. Ce n'est pas une faille de vos systèmes. C'est une faille dans une décision humaine prise en quelques secondes. Et aucun pare-feu ne la corrige.
Le problème : la faille qu'aucun équipement ne colmate
La plupart des attaques réussies aujourd'hui ne forcent aucune porte. Elles frappent, poliment, et attendent qu'on leur ouvre. Un email qui imite votre fournisseur habituel, une fausse alerte de votre banque, une demande urgente qui semble venir de votre direction, le principe est toujours le même : exploiter la confiance, l'habitude ou l'urgence, pas une vulnérabilité technique.
C'est ce qui rend le facteur humain si difficile à traiter. Vous pouvez patcher un serveur, remplacer un pare-feu, durcir une configuration. Vous ne pouvez pas "patcher" un collaborateur. Et les attaquants le savent : plutôt que d'affronter une défense technique sérieuse, ils contournent, par la boîte de réception.
La vitesse aggrave le problème. Les analyses de simulation de phishing montrent qu'un collaborateur non préparé se fait souvent piéger en moins d'une minute, bien avant qu'un outil de sécurité ou qu'un responsable IT ait le temps de réagir. Le clic est parti, les identifiants sont saisis, l'accès est ouvert. La technique, ensuite, ne fait que constater.
Ce que les campagnes de sensibilisation classiques ratent
Face à ce constat, beaucoup d'organisations font une formation annuelle de sensibilisation, cochent la case, et passent à autre chose. C'est mieux que rien, mais c'est loin de suffire, et les données le montrent : une formation ponctuelle ne fait pas disparaître le risque de clic. Le comportement humain ne se corrige pas avec une session par an.
La vraie question n'est donc pas "avez-vous formé vos équipes ?", mais "savez-vous où vous en êtes, et progressez-vous ?". Combien de vos collaborateurs cliqueraient, aujourd'hui, sur un email piégé bien conçu ? Le savez-vous ? La plupart des organisations n'ont jamais mesuré ce chiffre, et sans mesure de départ, il est impossible de savoir si l'on s'améliore.
Il y a aussi un changement de perspective essentiel. L'objectif n'est pas seulement d'empêcher les clics, c'est de transformer vos collaborateurs en capteurs. Un employé qui reconnaît un email suspect et le signale immédiatement permet à l'organisation de réagir avant que l'attaque ne se propage. Le meilleur retour d'un programme de sensibilisation n'est pas "zéro clic" (un objectif irréaliste), c'est un réflexe de signalement rapide et généralisé.
🇨🇭 Ce que ça veut dire pour votre organisation
Le facteur humain n'est pas qu'un risque technique : c'est une obligation. La nLPD attend de vous des mesures de sécurité appropriées, et la sensibilisation du personnel en fait partie explicitement. Une fuite de données personnelles causée par un email de phishing, collaborateur piégé, identifiants dérobés, accès aux données clients, déclenche une obligation de notification. Ne pas préparer ses équipes, c'est laisser ouverte une mesure de protection que la loi attend de vous.
Les 3 étapes pour transformer le maillon faible en défense
1. Mesurer votre point de départ
On ne pilote que ce qu'on mesure. La première étape est un audit baseline : une simulation de phishing contrôlée qui révèle, concrètement, combien de vos collaborateurs cliquent aujourd'hui, votre "taux de vulnérabilité au phishing". Ce chiffre n'a rien de culpabilisant : c'est un point de départ, une photographie honnête de votre exposition réelle avant toute action.
2. Entraîner régulièrement, pas une fois par an
La sensibilisation efficace est continue et concrète : de courtes sessions, des simulations régulières, des rappels au bon moment. L'objectif n'est pas d'assommer vos équipes de théorie, mais de créer des réflexes durables, vérifier un expéditeur, se méfier d'une urgence inhabituelle, ne jamais saisir ses identifiants depuis un lien reçu par email. La répétition espacée fonctionne ; la session annuelle unique, non.
3. Installer une culture du signalement
La dernière étape, la plus précieuse, est de rendre le signalement facile et valorisé. Un collaborateur qui doute doit pouvoir signaler un email suspect en un clic, sans crainte du ridicule, et savoir que c'est utile. Cette culture transforme chaque employé en capteur de menace, et c'est souvent elle qui fait la différence entre un incident évité et une crise.
L'approche Computis
Le facteur humain ne se règle pas avec un produit qu'on installe, mais avec un programme qu'on met en place et qu'on suit dans le temps. Et il commence toujours par une mesure honnête de la situation de départ. Chez Computis, en partenariat avec la plateforme de référence en gestion du risque humain, nous accompagnons les PME et communes romandes. D'abord, un audit baseline : une simulation de phishing contrôlée qui mesure votre taux de vulnérabilité réel, sans jugement. Ensuite, un programme de sensibilisation adapté à votre taille et à votre secteur : simulations régulières, micro-formations, suivi de la progression. Enfin, l'installation d'une culture du signalement et le pilotage dans la durée, parce que le risque humain n'est pas un projet qu'on termine, mais une posture qu'on entretient.
Passez à l'action - offre de rentrée
Combien de vos collaborateurs cliqueraient, aujourd'hui, sur un email de phishing bien conçu ? La seule façon de le savoir, c'est de le mesurer. Pour la rentrée, Computis vous offre un audit baseline de phishing : une simulation contrôlée qui révèle votre taux de vulnérabilité réel (votre Phish-Prone Percentage), accompagnée d'une démonstration de la plateforme de gestion du risque humain. Sans engagement, sans jugement, juste une photographie honnête de votre exposition.
🎯 Offert : votre audit baseline de phishing + démo de la plateforme. Vous repartez avec un chiffre concret et un plan d'action clair.
👤 Cybersécurité, cloud ou réseau, chez Computis, vous avez un interlocuteur unique qui maîtrise les trois domaines.
→ Réservez votre audit baseline offert
📞 +41 21 804 69 00
Ce qu'il faut retenir
Votre infrastructure peut être irréprochable et rester vulnérable par la personne qui lit ses emails. Le facteur humain est le premier vecteur d'attaque, mais il peut devenir votre première ligne de défense. La différence tient en trois mots : mesurer, entraîner, signaler. Et tout commence par un chiffre que vous n'avez probablement jamais regardé.
📅 CET AUTOMNE CHEZ COMPUTIS
Nous lançons une série de webinaires et de conférences en présentiel sur la cybersécurité et l’IT des PME et institutions romandes.
Les dates arrivent bientôt, inscrivez-vous pour les recevoir en avant-première et réserver votre place avant tout le monde.
→ Je veux être informé : LIEN DE CONTACT
FAQ
Nos collaborateurs sont prudents, avons-nous vraiment besoin de tester ?
La prudence ressentie et le taux de clic réel sont deux choses très différentes. La plupart des organisations qui se pensaient "à l'aise" découvrent, lors du premier audit baseline, un taux de vulnérabilité bien supérieur à ce qu'elles imaginaient. Le test n'est pas là pour piéger vos équipes, mais pour remplacer une impression par un chiffre.
Une formation de sensibilisation annuelle ne suffit-elle pas ?
Malheureusement non. Les données montrent qu'une formation ponctuelle ne fait pas disparaître le risque de clic. Le comportement humain se travaille dans la durée, par des simulations régulières et de courts rappels. C'est la répétition espacée qui crée des réflexes durables, pas la session unique.
Le but est-il d'atteindre zéro clic ?
Non, et viser zéro clic est irréaliste. Le véritable objectif est double : réduire progressivement le taux de clic, et surtout installer un réflexe de signalement rapide. Un collaborateur qui signale un email suspect en quelques secondes permet de contenir une attaque avant qu'elle ne se propage, c'est souvent plus précieux que le clic évité.
La nLPD nous impose-t-elle de sensibiliser nos collaborateurs ?
La nLPD attend des mesures de sécurité appropriées, et la sensibilisation du personnel en fait partie. Une fuite de données personnelles causée par un collaborateur piégé peut engager votre responsabilité et déclencher une obligation de notification. Préparer ses équipes n'est donc pas seulement prudent, c'est une mesure de protection attendue.
Comment se déroule l'audit baseline offert par Computis ?
Nous lançons une simulation de phishing contrôlée et bienveillante au sein de votre organisation. Elle mesure votre taux de vulnérabilité réel, combien de collaborateurs cliquent, combien signalent, sans que personne ne soit désigné ou sanctionné. Vous recevez un rapport clair avec votre point de départ et nos recommandations, accompagné d'une démonstration de la plateforme de gestion du risque humain.
Abonnez-vous, chaque quinzaine désormais, un éclairage concret sur l’IT et la cybersécurité pour les PME et institutions suisses.