Si tu travailles dans une administration ou un organisme public en France, le Référentiel Général de Sécurité (RGS) et la Politique de Sécurité des Systèmes d'Information de l'État (PSSIE), sous l'égide de l'ANSSI, constituent ton cadre de référence. En Belgique, le Centre pour la Cybersécurité (CCB) joue un rôle comparable. Ces cadres s'appuient largement sur la norme ISO 27001/27002 et posent une exigence claire de sensibilisation : les agents, et le cas échéant les prestataires, doivent recevoir une formation adaptée et être régulièrement informés des règles propres à leur fonction. Cet article montre comment répondre à cette exigence étape par étape, de façon démontrable.
Que demandent ces cadres en matière de sensibilisation ?
Comme ils s'appuient sur l'ISO 27002, l'exigence de sensibilisation est cohérente. L'essentiel est que la sensibilisation n'est pas une action ponctuelle mais un processus continu. Une formation à l'arrivée ne suffit pas ; les agents doivent rester informés des règles applicables à leur travail tout au long de leur mission.
L'exigence porte aussi sur une formation adaptée, c'est-à-dire dont le contenu correspond au rôle et aux risques de l'agent. Une administratrice d'applications encourt des risques différents d'un agent d'accueil, et la sensibilisation doit refléter cette différence. Enfin, ces cadres exigent la démontrabilité : tu dois pouvoir prouver que le processus existe et fonctionne.
Étape 1 : Définir les publics et leurs risques
Commence par un bref inventaire des risques par groupe de fonctions. Quelles données une personne traite-t-elle, quels systèmes utilise-t-elle, et que se passerait-il en cas d'erreur ? Inutile d'en faire un grand projet ; quelques entretiens par service donnent déjà une image exploitable.
Le résultat est une vue d'ensemble des publics avec les risques qui comptent pour eux. Cette vue oriente le reste de ta démarche et constitue d'emblée la preuve que tu as conçu la sensibilisation sur une base de risque.
Étape 2 : Mettre en place formation et répétition
Choisis des contenus adaptés aux publics de l'étape 1 et planifie-les selon un rythme régulier. De courts modules récurrents fonctionnent mieux qu'une longue session annuelle. Intègre aussi la sensibilisation à l'intégration des nouveaux agents, dès le premier jour.
N'oublie pas les prestataires. Les cadres les mentionnent explicitement lorsqu'ils ont accès aux informations ou aux systèmes. Consigne la manière dont les externes sont pris en compte, même s'ils ne figurent pas dans ton propre environnement de formation.
Étape 3 : Rendre la démarche démontrable
Un auditeur ne veut pas entendre que tu fais quelque chose, mais le voir. Consigne donc systématiquement :
- La participation : qui a suivi quelle formation et quand, y compris les nouveaux agents et les externes.
- Le contenu et la fréquence : les thèmes traités et la cadence de répétition.
- Le lien avec le risque : la justification du choix des thèmes par public.
- Les résultats : des indicateurs comme le taux de signalement lors des simulations de phishing, pour montrer la progression.
Étape 4 : Améliorer à partir de la mesure
La démontrabilité n'est pas une fin en soi. Les chiffres que tu collectes servent à ajuster. Si le comportement de signalement reste faible dans un service, tu sais où porter une attention supplémentaire.
Ainsi l'exigence ne devient pas une case à cocher, mais un moteur d'amélioration réelle. Tu ne te contentes pas de respecter le cadre, tu réduis le risque de façon démontrable, ce qui est finalement la raison d'être du cadre.
Articles connexes
FAQ
À qui s'applique le RGS ?
Le RGS s'impose aux administrations et aux organismes publics français dans leurs échanges électroniques, complété par la PSSIE pour les services de l'État, sous l'égide de l'ANSSI. En Belgique, le Centre pour la Cybersécurité (CCB) joue un rôle comparable. Les prestataires ayant accès aux informations ou systèmes sont également concernés.
Comment la sensibilisation est-elle traitée ?
Ces cadres reprennent les exigences de l'ISO 27002 : une formation adaptée au rôle de chacun et une information régulière sur les règles et procédures. La sensibilisation doit être un processus continu, pas une action ponctuelle.
À quelle fréquence former les agents ?
Les cadres imposent rarement une fréquence fixe mais exigent un processus continu. En pratique, de courts modules récurrents valent mieux qu'une session annuelle. Intègre aussi la sensibilisation à l'accueil des nouveaux agents.
Que veut voir un auditeur ?
La preuve que le processus existe et fonctionne : registres de participation, thèmes traités et leur fréquence, lien entre public et risque, et résultats comme le taux de signalement lors des simulations de phishing. La combinaison constitue la preuve la plus solide.
Quel rapport avec NIS2 ?
Le RGS et la PSSIE sont des cadres nationaux fondés sur l'ISO 27001/27002 ; NIS2 est une législation européenne qui s'applique souvent en plus. Les attentes en matière de sensibilisation se recoupent largement : fondées sur le risque, continues et démontrables. Un programme bien conçu répond aux deux.