Programme phishing-test mensuel : sensibiliser sans punir, protéger sans humilier

Le clic qui coûte 80 000 CHF

Un collaborateur d'une PME vaudoise clique sur un lien de réinitialisation de mot de passe, apparemment envoyé par son service RH. Quatre heures plus tard, le serveur de fichiers est chiffré par un ransomware. Coût total de l'incident — arrêt de production, récupération des données, notification aux clients, honoraires juridiques — : 78 000 CHF. L'entreprise comptait 45 postes, un budget IT de 120 000 CHF par an, et aucune simulation phishing dans ses douze derniers mois.

Un programme de phishing-test mensuel bien conduit ne garantit pas l'immunité, mais réduit significativement la probabilité de ce scénario. Le défi n'est pas technique : c'est la gouvernance, la communication interne et la conformité légale qui font échouer ou réussir ces programmes dans les PME romandes.

Cadre légal suisse : nLPD, CO et droit du travail

Ce que la nLPD impose

La loi fédérale sur la protection des données (nLPD), en vigueur depuis le 01.09.2023, s'applique dès que vous collectez des données personnelles sur vos collaborateurs — y compris dans le cadre d'un test de phishing. Chaque simulation génère des données : qui a cliqué, à quelle heure, depuis quel poste. Ces données constituent des données personnelles au sens de l'art. 5 let. a nLPD.

Obligations concrètes pour l'employeur :

• Base légale ou intérêt légitime — L'art. 31 nLPD autorise le traitement fondé sur l'intérêt légitime de l'entreprise, à condition que cet intérêt ne soit pas supplanté par celui du collaborateur. La sécurité de l'information constitue généralement un intérêt légitime reconnu.
• Information préalable — Le règlement de traitement ou la politique de sécurité doit mentionner l'existence de simulations phishing. La surprise totale n'est pas compatible avec le principe de transparence.
• Proportionnalité — Les résultats individuels ne doivent pas être conservés plus longtemps que nécessaire. Une purge à 12 mois des données nominatives est raisonnable.
• Registre des activités de traitement — Le traitement doit figurer dans votre registre (art. 12 OPDo). Les PME de moins de 250 employés sans traitement à risque élevé bénéficient d'une exemption partielle, mais documenter reste une bonne pratique.

Droit du travail et CO : la limite du surveillance abusive

L'art. 26 OLT 3 interdit la surveillance des comportements des travailleurs à des fins de contrôle de rendement. Un programme phishing-test doit clairement viser la formation, pas la sanction disciplinaire. La distinction est opérationnelle : si les résultats individuels alimentent un dossier RH ou conditionnent une prime, vous sortez du cadre formation et entrez dans celui de la surveillance — exposant l'employeur à une contestation fondée sur le CO et le droit collectif du travail.

Recommandation : mentionnez dans la charte sécurité que les résultats des simulations sont anonymisés au niveau individuel après la session de débriefing, et que seules les statistiques agrégées par département sont conservées.

Notification au PFPDT en cas d'incident réel

Si une simulation mal paramétrée génère un vrai incident — par exemple, un lien de test pointe par erreur vers un site tiers qui collecte des données — vous avez 72 heures pour notifier le Préposé fédéral à la protection des données (PFPDT) si le risque pour les personnes concernées est élevé (art. 24 nLPD). Testez toujours vos scénarios en environnement isolé avant déploiement.

Architecture d'un programme mensuel efficace

Fréquence et variété des scénarios

Une simulation mensuelle — soit 12 par année — permet de couvrir les vecteurs les plus courants sans lasser les collaborateurs. Répartissez les scénarios sur quatre familles :

• Credential harvesting — fausse page de connexion Microsoft 365 ou Outlook Web Access.
• Lure financier — fausse facture PDF ou demande de virement urgente, typique des attaques BEC (Business Email Compromise).
• Livraison de malware simulé — pièce jointe .docm ou .zip avec macro inoffensive qui génère un flag sans exécution réelle.
• SMS/QR phishing (quishing) — de plus en plus fréquent depuis 2023, notamment via QR codes imprimés ou envoyés par email.

Ne répétez pas deux fois le même template dans les trois mois suivants. La familiarisation avec un scénario crée une fausse sécurité.

Infrastructure technique

Pour une PME de 20 à 150 endpoints, trois options sont réalistes :

1. Plateforme SaaS dédiée (GoPhish hébergé en Suisse, ou équivalent) — coût estimé 15–40 CHF/utilisateur/an. Avantage : tableaux de bord prêts, intégration LDAP/Entra ID. Inconvénient : dépendance fournisseur, souveraineté des données à vérifier.
2. GoPhish self-hosted — gratuit, open source, déployable sur un VPS suisse (Exoscale, Infomaniak). Nécessite une configuration SMTP avec un domaine typosquatté propre à l'entreprise (ex. : synguard-factures.ch acheté et contrôlé par le DSI). Budget : ~200 CHF/an de serveur + temps admin.
3. Module MDM/sécurité intégré — si votre solution de gestion d'endpoints inclut un module awareness, c'est le chemin de moindre résistance pour les parcs sous Microsoft Intune avec Defender for Office 365 Plan 2 (Attack Simulator).

Indépendamment de la plateforme, configurez un enregistrement SPF strict (v=spf1 include:votredomaine.ch -all) sur le domaine de test pour éviter que vos simulations ne soient bloquées par vos propres filtres. Whitelistez l'IP d'expédition dans votre passerelle email avant le tir.

Procédure de déploiement mensuel

1. J-10 — Sélection du scénario : RSSI ou DSI choisit le template, adapte le prétexte au contexte sectoriel (ex. : invitation à valider un bulletin de salaire sur le portail RH).
2. J-7 — Revue juridique rapide : vérification que le scénario ne contient pas d'éléments discriminatoires ou susceptibles de causer une détresse disproportionnée (ex. : licenciement fictif).
3. J-5 — Paramétrage technique : configuration de la landing page de capture (domaine interne ou externe isolé), vérification DKIM/SPF, test sur boîte de réception de test.
4. J-2 — Whitelisting : exception dans le filtre anti-spam pour l'IP source, uniquement pour la durée de la campagne.
5. J-0 — Envoi : envoi échelonné sur 48 heures, en couvrant différents créneaux horaires (lundi matin 08h30, mercredi 12h15, vendredi 16h45) pour capter les comportements en contexte de rush.
6. J+3 — Clôture et collecte : désactivation de la landing page, extraction des statistiques agrégées. Aucun nom individuel dans les rapports distribués aux managers.
7. J+5 — Micro-formation obligatoire : les collaborateurs qui ont cliqué reçoivent automatiquement un module e-learning de 8 minutes sur le vecteur utilisé. Ce n'est pas une punition : c'est la logique pédagogique du programme.
8. J+7 — Débriefing collectif : réunion de 20 minutes (équipe entière ou par département) avec présentation anonyme des résultats. Taux de clic global, taux de signalement, évolution par rapport au mois précédent.

Gestion humaine : sans rancune, avec rigueur

Pourquoi « sans rancune » n'est pas optionnel

Des études de terrain montrent que les programmes phishing qui exposent publiquement les cliqueurs génèrent deux effets contre-productifs : une augmentation des faux positifs (collaborateurs qui signalent massivement tout email suspect pour éviter d'être pris en défaut) et une dégradation de la confiance envers l'IT. Le Centre national pour la cybersécurité (NCSC) insiste sur la dimension comportementale dans ses recommandations aux entreprises : la sanction n'est pas un outil de formation efficace.

Concrètement : ne communiquez jamais les résultats individuels à la hiérarchie directe. Si un manager demande qui dans son équipe a cliqué, la réponse est non — et cette réponse doit être inscrite dans la politique de sécurité validée par la direction.

Le signalement comme KPI central

Le taux de clic est un indicateur de risque. Le taux de signalement est l'indicateur de maturité. Un collaborateur qui reçoit un email suspect et le signale via un bouton « Rapport phishing » (intégré à Outlook ou Gmail) fait exactement ce qu'on lui demande — même s'il avait failli cliquer. Récompensez le comportement de signalement, pas l'absence de clic.

Objectifs réalistes pour une PME en année 1 :

• Taux de clic initial : 25–40 % (normal pour un parc non entraîné)
• Taux de clic à M+6 : objectif < 15 %
• Taux de clic à M+12 : objectif < 8 %
• Taux de signalement à M+12 : objectif > 60 % des simulations

Communication interne préalable

Avant le premier tir, envoyez une communication signée par la direction (pas par l'IT) expliquant : l'entreprise va réaliser des simulations de phishing régulières, personne ne sera sanctionné pour avoir cliqué, l'objectif est collectif, et les résultats seront partagés en toute transparence de manière agrégée. Cette communication réduit l'effet de choc et légitime le programme auprès des représentants du personnel si votre effectif en dispose.

Cas pratique : Fiduciaire Dupraz & Associés, Sion, 38 collaborateurs

Contexte : Cabinet fiduciaire en Valais, 38 collaborateurs dont 6 associés. Parc : 32 postes Windows 11 22H2, 6 MacBook sous macOS 14 Sonoma, messagerie Microsoft 365 Business Premium. Pas de RSSI à temps plein — le rôle est assumé par le responsable informatique externe (MSP local). Budget sécurité annuel : 28 000 CHF. Aucune simulation phishing n'avait été réalisée avant janvier 2024.

Déclencheur : En novembre 2023, un associé a failli virer 14 000 CHF à un IBAN frauduleux suite à un email BEC imitant un client. L'erreur a été détectée in extremis par la banque. La direction a décidé de lancer un programme mensuel dès janvier 2024.

Mise en place (budget réel) :

• Plateforme GoPhish hébergée sur Infomaniak (VPS 4 vCPU, 8 Go RAM) : 180 CHF/an
• Achat de 3 domaines typosquattés pour les simulations : 45 CHF/an
• Temps MSP pour configuration initiale et procédure : 6 heures × 180 CHF = 1 080 CHF
• Modules e-learning (contenus achetés en licence) : 800 CHF/an
• Total année 1 : ~2 105 CHF

Résultats sur 6 mois (janvier–juin 2024) :

• Janvier (scénario : fausse invitation Teams d'un client) — taux de clic : 37 %, taux de signalement : 5 %
• Février (scénario : alerte fiscale AFC) — taux de clic : 29 %, taux de signalement : 12 %
• Mars (scénario : fausse mise à jour OneDrive) — taux de clic : 22 %, taux de signalement : 18 %
• Avril (scénario : quishing via QR code sur PDF) — taux de clic : 31 % (rebond sur nouveau vecteur), taux de signalement : 21 %
• Mai (scénario : demande de virement RH urgente) — taux de clic : 18 %, taux de signalement : 34 %
• Juin (scénario : fausse facture fournisseur PDF) — taux de clic : 14 %, taux de signalement : 41 %

Le rebond d'avril sur le quishing illustre l'importance de varier les vecteurs : un collaborateur entraîné contre les emails frauduleux peut rester vulnérable à un QR code imprimé. La direction a ajouté en mai une session de 30 minutes en présentiel sur ce vecteur spécifique.

Procédure de signalement mise en place :

1. Bouton « Signaler hameçonnage » ajouté dans Outlook via la politique Microsoft 365 (déploiement par Intune en 20 minutes).
2. Chaque signalement génère un ticket automatique dans le système du MSP.
3. Si le signalement concerne un vrai email suspect (hors simulation), le MSP analyse dans les 4 heures ouvrables et bloque le domaine expéditeur au niveau du filtre Exchange Online Protection.
4. Si c'est une simulation, le collaborateur reçoit un email automatique de confirmation : « Bien joué, c'était un test. Voici ce qui aurait dû vous alerter. »

Conformément aux recommandations du NCSC sur le phishing, les emails suspects réels identifiés peuvent également être transmis à CERT.admin.ch pour analyse nationale.

Récapitulatif opérationnel

1. Ancrer légalement le programme : mentionner les simulations dans la politique de sécurité et le registre des traitements nLPD. Base : intérêt légitime (art. 31 nLPD).
2. Communiquer avant le premier tir : note de direction, ton neutre, insistance sur l'objectif collectif et l'absence de sanction individuelle.
3. Automatiser la formation post-clic : module e-learning déclenché dans les 24h suivant le clic, 8–12 minutes, centré sur le vecteur utilisé.
4. Anonymiser les résultats distribués : seules les statistiques agrégées par département circulent hors de l'équipe sécurité.
5. Varier les vecteurs chaque mois : credential harvesting, BEC, malware simulé, quishing — tournez sur minimum 4 familles.
6. Mesurer le taux de signalement autant que le taux de clic : c'est le vrai indicateur de maturité.
7. Purger les données nominatives à 12 mois : conformité nLPD, principe de proportionnalité.
8. Tester l'infrastructure avant chaque campagne : whitelisting SMTP, vérification SPF/DKIM, test sur boîte de réception interne isolée.
9. Présenter les résultats trimestriellement à la direction : courbe de progression, incident évités estimés, ROI sécuritaire.
10. Réviser les scénarios après chaque incident réel dans le secteur : si une vague de phishing frappe les fiduciaires romandes, simulez ce vecteur le mois suivant.

SynGuard accompagne les PME romandes dans la mise en conformité de leurs programmes de sensibilisation avec les exigences nLPD et les CIS Controls (notamment le contrôle CIS 14 : Security Awareness and Skills Training).

Sources

• Loi fédérale sur la protection des données (nLPD), RS 235.1 — Fedlex — Texte consolidé de la nLPD en vigueur depuis le 01.09.2023.
• Préposé fédéral à la protection des données et à la transparence (PFPDT) — Autorité de surveillance nLPD, directives sur les obligations de notification.
• NCSC — Phishing : conseils et signalement — Recommandations officielles du Centre national pour la cybersécurité sur la détection et le signalement du phishing.
• CIS Controls v8 — Center for Internet Security — Référentiel de contrôles de sécurité, dont le CIS Control 14 sur la sensibilisation des collaborateurs.
• NIST Cybersecurity Framework (CSF 2.0) — Cadre de référence incluant la fonction « Govern » et les pratiques de formation à la sécurité.