0.1Pourquoi la cybersécurité concerne chaque salarié
L'essentiel en 30 secondes
- Plus de 80 % des cyberattaques réussies exploitent une erreur humaine (clic, mot de passe faible, manipulation) — la technique ne suffit jamais.
- On n'attaque pas « vous », on attaque « par vous » : votre compte est une porte d'entrée vers les autres (messagerie piégée au nom du collègue).
- L'enjeu est la survie de l'activité : une PME se remet difficilement d'un rançongiciel, la menace n°1 des organisations — et les bons réflexes s'apprennent.
Mini-cas filé — Karim découvre sa surface d'attaque
Karim, employé de bureau à Alger, pensait que la cybersécurité concernait uniquement le service informatique : il ne manipule « rien de sensible ». En listant ses comptes professionnels (messagerie, application métier, cloud), il découvre qu'il utilise le même mot de passe partout — et que son adresse e-mail a déjà fui. Il comprend ce jour-là qu'il est à la fois une cible et une défense, et note ses 3 points faibles à traiter dans les niveaux suivants.
Cas autonome de cette section : il revient dans le cours, le schéma, le script et le défi 48h de la section 0.1.
1. Un sujet qui n'est plus réservé à l'IT
La cybersécurité n'est plus l'affaire exclusive du service informatique. Selon l'ANSSI, plus de 80 % des cyberattaques réussies exploitent une erreur humaine : un mot de passe faible, un clic sur un lien piégé, une pièce jointe ouverte trop vite, un mot de passe partagé par téléphone. Karim l'a vérifié sur son propre poste : chaque doublon de mot de passe est une porte ouverte. Chaque salarié est aujourd'hui une cible potentielle — et chacun de ses gestes est soit un maillon de protection, soit une porte d'entrée.
2. « On n'attaque pas vous, on attaque par vous »
Votre compte est une porte d'entrée vers les autres : un attaquant qui contrôle votre messagerie piège vos collègues en votre nom. C'est la surface d'attaque : tous vos comptes, e-mails, appareils et applications — et vous en faites partie. Karim a compris pourquoi son compte de messagerie, même « sans rien de sensible », intéresse un attaquant : il donne accès à tout le carnet d'adresses du bureau.
3. L'enjeu : la survie de l'activité
Une PME se remet difficilement d'un rançongiciel (la menace n°1 des organisations françaises) : fichiers chiffrés, activité bloquée, rançon exigée. L'enjeu est la survie de l'activité, pas le confort. Bonne nouvelle : les bons réflexes s'apprennent — c'est l'objet des 6 niveaux de ce guide. Le diagnostic de Karim en 5 minutes est le point de départ : mesurer sa propre exposition pour se motiver concrètement.
🔎 Exemple concret — 🔎 Exemple concret — Mesurer sa propre exposition
Lister ses comptes pro (messagerie, applis métier, cloud).
Compter ceux qui partagent le MÊME mot de passe (chaque doublon = risque).
Tester son e-mail sur haveibeenpwned.com (a-t-il fui ?).Lecture : Karim trouve deux doublons et une fuite : son diagnostic tient en 5 minutes.
Leçon : noter ses 3 points faibles, traités niveau par niveau dans ce guide.
Vocabulaire de la section
- Cybersécurité
- L'ensemble des pratiques qui protègent systèmes, données et personnes contre les attaques informatiques — au bureau comme en télétravail.
Exemple simple : Karim verrouille sa session, vérifie ses expéditeurs et signale les messages suspects : il fait de la cybersécurité.
Ce que ce n'est pas : un sujet réservé au service informatique que les salariés peuvent ignorer.
Réflexe : devant chaque geste numérique, demander « est-ce que cela protège ou expose ? ».
- Surface d'attaque
- Tout ce par quoi un attaquant peut entrer : comptes, e-mails, appareils, applications — chaque salarié en fait partie.
Exemple simple : Karim liste ses comptes pro : c'est sa surface d'attaque personnelle, avec deux doublons de mots de passe.
Ce que ce n'est pas : les seuls serveurs de l'entreprise, sans lien avec les postes des salariés.
Réflexe : lister ses comptes et réduire les doublons de mots de passe.
- Maillon humain
- Le fait que plus de 80 % des incidents impliquent une action humaine (clic, mot de passe faible, manipulation) : la technique ne suffit jamais.
Exemple simple : Karim comprend que son clic vaut autant que l'antivirus : il est le maillon qui décide.
Ce que ce n'est pas : croire qu'un bon antivirus dispense de toute vigilance personnelle.
Réflexe : considérer chaque clic et chaque mot de passe comme un acte de défense.
- Rançongiciel (ransomware)
- Logiciel qui chiffre les données de l'entreprise et exige une rançon : la menace n°1 des organisations françaises.
Exemple simple : Karim imagine les dossiers du bureau chiffrés et l'activité bloquée : voilà pourquoi ce guide commence ici.
Ce que ce n'est pas : un simple virus qui ralentit le PC sans conséquence pour l'activité.
Réflexe : retenir que la parade commence par les réflexes (mots de passe, phishing, sauvegardes).
En pratique — En pratique — Mesurer votre propre exposition en 5 minutes
- Listez vos comptes professionnels (messagerie, applications métier, cloud) : c'est votre surface d'attaque personnelle.
- Comptez ceux qui partagent le même mot de passe — chaque doublon est une porte ouverte.
- Vérifiez si votre adresse e-mail a fui : tapez-la sur le service « Have I Been Pwned » (haveibeenpwned.com).
- Notez vos 3 points faibles : ils seront traités un à un dans les niveaux suivants.
Script prêt à dire — expliquer à un collègue pourquoi lui aussi est concerné (30 s)
« On croit que la cyber, c'est pour l'informatique, mais plus de 80 % des attaques passent par une erreur humaine : un clic, un mot de passe réutilisé. Ton compte, c'est une porte vers les autres. Moi, j'ai listé mes comptes et noté mes 3 points faibles — fais pareil, ça prend 5 minutes. »
À dire avec son propre exemple (les doublons trouvés) ; enchaîner sur le diagnostic en 5 minutes.
Modèle copier-coller — mon diagnostic de départ
MES COMPTES PRO (messagerie, applis, cloud) : _______________
DOUBLONS DE MOTS DE PASSE : _______________
MON E-MAIL A-T-IL FUI (haveibeenpwned.com) : _______________
MES 3 POINTS FAIBLES À TRAITER : _______________TPE / petit budget
Sans service informatique : le diagnostic tient sur une feuille — liste des comptes, doublons à éliminer en priorité sur la messagerie, note des 3 points faibles affichée au bureau.
PME Algérie
Karim partage son diagnostic avec ses collègues du bureau à Alger : chacun liste ses comptes et désigne son point faible n°1, traité ensemble au fil des niveaux.
Télétravail
À la maison : ajouter au diagnostic le réseau Wi-Fi domestique et les appareils personnels qui accèdent aux comptes pro — la surface d'attaque s'étend au domicile.
Nouvel arrivant
Première semaine : faire le diagnostic avant même de recevoir tous les accès — messagerie d'abord, puis chaque application au fil des créations de compte.
✓ Bonnes pratiques
- Traitez vos comptes critiques d'abord (messagerie, banque, compte pro).
- Considérez chaque compte comme une porte vers les autres.
- Retenez : la sécurité est l'affaire de tous, pas seulement de l'IT.
✗ Pièges fréquents
- Croire qu'on n'est pas une cible « parce qu'on ne manipule rien de sensible ».
- Penser que seules les grandes entreprises sont visées (TPE/PME en tête).
- Attendre d'être victime pour s'intéresser au sujet.
Points clés à retenir
- La cybersécurité n'est pas un sujet IT : chaque salarié est une cible et une défense.
- La grande majorité des attaques réussies passe par une action humaine, pas une prouesse technique.
- Une PME se remet difficilement d'un rançongiciel : l'enjeu est la survie de l'activité, pas le confort.
- Les bons réflexes s'apprennent : c'est exactement l'objet des 6 niveaux de ce guide.
Défi 48h — appliquez demain
Faites votre diagnostic en 5 minutes comme Karim : listez vos comptes pro, comptez les doublons de mots de passe, testez votre e-mail sur haveibeenpwned.com et notez vos 3 points faibles. Commencez par changer le mot de passe de votre messagerie.
- Je peux expliquer pourquoi chaque salarié est une cible ET une défense.
- J'ai listé mes comptes et compté mes doublons de mots de passe.
- J'ai noté mes 3 points faibles à traiter dans les niveaux suivants.
Questions fréquentes
Je ne manipule rien de sensible, pourquoi serais-je visé ?
Parce qu'on n'attaque pas « vous », on attaque « par vous » : votre compte est une porte d'entrée vers les autres. Un attaquant qui contrôle votre messagerie envoie des messages piégés à vos collègues en votre nom — avec votre crédibilité. Votre carnet d'adresses, vos accès aux applications partagées, votre capacité à demander un virement ou un document à un collègue : tout cela a de la valeur pour un attaquant, même si vos propres dossiers semblent anodins. Comme Karim, considérez chaque compte comme une porte vers les autres, et traitez vos comptes critiques (messagerie d'abord) en priorité.
Les attaques ne concernent-elles pas surtout les grandes entreprises ?
Non : les TPE/PME et collectivités sont les premières victimes recensées par Cybermalveillance.gouv.fr — moins protégées, elles sont des cibles plus faciles. Un rançongiciel qui paralyserait quelques jours un grand groupe peut mettre une PME à l'arrêt définitif : sauvegardes absentes, pas d'équipe dédiée, trésorerie fragile. Les attaquants le savent et industrialisent leurs attaques contre les petites structures. La taille ne protège pas — les réflexes, si. C'est pour cela que ce guide s'adresse à chaque salarié, quel que soit son poste : la défense collective commence au bureau de Karim comme à la direction.
Quelle proportion des cyberattaques réussies exploite une erreur humaine ?