Brain Security · Sensibilisation à la cybersécurité et à l’IA
Catalogue
La compétition cyber entièrement personnalisable : déroulé sur mesure, boss fights et classement public.
Découvrir→
Borne
La borne d’arcade de sensibilisation cyber. Configurable en ligne, livrée clé en main.
Découvrir→
Jeu
Le défouloir des CISO : un seul geste, ~2 minutes, et crier dans le micro multiplie les points.
Découvrir→
Compétition
La compétition de réflexes entièrement configurable : mini-jeux chronométrés, univers cyber, IA ou mixte, mode arcade.
Découvrir→
Expérience
Le photomaton deepfake : on autorise sa webcam, on se voit transformé en direct par une IA, et on ne regarde plus jamais une image de la même façon.
Découvrir→
Encyclopédie
L’encyclopédie cyber visuelle générée par IA : explorez chaque sujet à l’infini.
Découvrir→
Bot
Le bot qui sensibilise dans votre messagerie : des micro-leçons qui arrivent d’elles-mêmes, signées Jack.
Découvrir→
Formation
Le parcours d’apprentissage cyber en carte de progression : des chapitres courts et un quiz-arcade embarqué, sans compte à créer.
Découvrir→
Simulation
Le simulateur de phishing qui entraîne vos équipes aux attaques réelles, du faux e-mail au QR code piégé, dans un cadre maîtrisé qui ne capture jamais un mot de passe.
Découvrir→
Coming soon
La boîte à outils du RSSI, bientôt disponible.
Le jeu narratif qui apprend la cybersécurité en jouant : dix chapitres, une carte de niveaux, sans rien installer.
Découvrir→
Découvrez comment valider le contrôle A.6.3 de l'ISO 27001:2022 lors de votre audit cyber : indicateurs clés, preuves tangibles et suivi continu.
L'échéance de l'audit de certification ISO 27001 approche et vous avez bouclé vos politiques d'accès, votre analyse de risques et votre plan de traitement. Pourtant, une question reste souvent en suspens : que va réellement regarder l'auditeur externe lorsqu'il examinera le volet humain de votre SMSI ? Trop d'organisations pensent encore qu'un simple module e-learning expédié une fois par an à l'ensemble des salariés suffit pour cocher la case de la sensibilisation.
En réalité, avec la version ISO/IEC 27001:2022 et le contrôle A.6.3 (Sensibilisation, éducation et formation à la sécurité de l'information), les exigences des auditeurs ont profondément évolué. Ils ne cherchent plus seulement à savoir si une formation existe, mais si elle est vivante, adaptée à votre profil de risque et mesurable dans le temps. Voici la méthode concrète pour structurer et documenter votre démarche sans stress le jour J.
En résumé : Le contrôle A.6.3 exige que le personnel et les parties prenantes reçoivent une sensibilisation appropriée, une éducation continue et des mises à jour régulières des politiques de sécurité de l'organisation, adaptées à leurs rôles respectifs et aux menaces actuelles.
Dans la révision 2022 de la norme, le volet humain gagne en maturité opérationnelle. L'intitulé regroupe trois dimensions distinctes : la sensibilisation (prise de conscience globale), l'éducation (acquisition de réflexes méthodiques) et la formation (compétences techniques ciblées selon le métier).
L'auditeur vérifie que votre programme respecte quatre principes cardinaux :
En résumé : Pour réussir l'audit ISO 27001, documentez un calendrier annuel formalisé, des exports chiffrés de taux de complétion par département, des preuves de réactualisation face aux menaces émergentes et l'évaluation de l'efficacité opérationnelle des modules dispensés.
Le jour de l'audit, les déclarations d'intention ne valent rien sans preuves tangibles (les fameuses informations documentées de la clause 7.5). L'auditeur externe vous demandera d'ouvrir vos tableaux de bord et de produire des éléments factuels.
1. Le plan de sensibilisation formalisé : un document de cadrage validé par le management détaillant le planning annuel, les thèmes abordés (phishing, mots de passe, ingénierie sociale, shadow IT) et la périodicité retenue.
2. Le taux de couverture des effectifs : vous devez être capable de fournir un export consolidé montrant qui a complété quel module. Visez un taux de complétion supérieur à 85 % et documentez les mesures de relance pour les retardataires.
3. L'évaluation des compétences acquises : un simple clic sur "marquer comme lu" ne prouve aucun apprentissage. L'auditeur apprécie les mécanismes de validation des connaissances, tels que des quiz interactifs ou des mises en situation réalistes.
4. La boucle d'amélioration continue : montrez comment vous ajustez vos contenus en fonction des incidents internes récents ou des exercices pratiques réalisés durant l'année.
Pour répondre à cette exigence de régularité sans surcharger l'emploi du temps des collaborateurs, un parcours progressif par micro-leçons comme Cyber Journey permet de séquencer l'apprentissage tout au long de l'année. Ce type de format court intégrant des quiz rythmés offre des rapports d'avancement détaillés, directement exploitables comme éléments de preuve lors de la revue d'audit.
| Axe stratégique | Recommandation opérationnelle détaillée |
|---|---|
| L'adéquation aux rôles | les développeurs, le service des achats et les équipes RH ne manipulent pas les mêmes données et ne font pas face aux mêmes risques. Votre plan… (Que demande précisément le contrôle A.6.3 de la norme ISO…) |
| Le syndrome du "One-Shot" annuel | dispenser une session unique de deux heures en janvier puis abandonner le sujet jusqu'à l'année suivante démontre un manque de continuité évident. (Les pièges fréquents qui mènent à une non-conformité) |
| La régularité des campagnes | une piqûre de rappel unique tous les douze mois est perçue comme insuffisante face à la vitesse d'évolution des cyberattaques. L'auditeur attend une… (Que demande précisément le contrôle A.6.3 de la norme ISO…) |
| L'absence de traçabilité des prestataires | si vos prestataires ou intérimaires ont accès à vos systèmes d'information critiques, l'auditeur vérifiera s'ils sont intégrés dans le périmètre de… (Les pièges fréquents qui mènent à une non-conformité) |
La majorité des constats négatifs relevés sur le contrôle A.6.3 ne viennent pas d'une absence totale de formation, mais d'un manque de rigueur dans le suivi et l'animation du dispositif.
Le contrôle A.6.3 ne doit pas être perçu comme une contrainte administrative, mais comme un formidable levier pour mobiliser la direction et donner du sens aux règles de sécurité. En structurant des campagnes régulières, engageantes et faciles à tracer, vous transformez une obligation de conformité en un bouclier collectif durable.
Vous préparez un audit de certification ou de renouvellement ISO 27001 et souhaitez moderniser vos modules tout en automatisant vos preuves de conformité ? Parlez-nous de vos besoins pour découvrir comment structurer un programme d'acculturation efficace et aligné sur vos exigences normatives.
