Partie 5 · Personnes et équipe

Sensibilisation à la sécurité

Campagnes d'hameçonnage simulé, profils de risque par personne, formation en cybersécurité, signalement des courriels suspects et retrait d'un courriel malveillant des boîtes.

Symbifox 18.0 (catalogue de septembre 2026) · Modules : Sensibilisation · Révisé le 2026-09-12

Sensibilisation entraîne l'équipe à reconnaître l'hameçonnage, puis mesure les progrès. Vous envoyez de faux courriels piégés à vos propres collègues, vous voyez qui ouvre, qui suit le lien et qui signale, et chaque personne reçoit un profil de risque et, au besoin, une formation. Tout le monde dispose d'un bouton pour rapporter un courriel suspect; quand une menace réelle est confirmée, une personne habilitée retire le message de toutes les boîtes de l'organisation. L'application s'adresse à la personne responsable de la sécurité pour les campagnes et le tri, et à toute l'équipe pour le signalement et la formation.

Vue d'ensemble#

Sept notions structurent l'application.

• Le modèle de leurre : le faux courriel (sujet, expéditeur affiché, corps, pièces jointes, code QR), la page où l'on atterrit en suivant le lien, la page éducative montrée ensuite et le cours assigné en cas d'échec. Un modèle se réutilise de campagne en campagne.
• La campagne : un modèle envoyé à un groupe de personnes, à une date choisie, étalé ou non sur plusieurs jours. Chaque destinataire reçoit un lien unique.
• Le résultat : une ligne par personne et par campagne. Elle note si le courriel a été envoyé, ouvert, si le lien a été suivi, si le faux formulaire a été soumis et si la personne a signalé le leurre.
• Le profil de risque : la synthèse par personne de toutes ses campagnes, en un score de 0 à 100 et un niveau (faible, modéré, élevé, critique). Les échecs récents pèsent plus que les anciens, et une formation terminée abaisse le score.
• L'assignation de formation : le lien entre une personne et un cours de cybersécurité de l'eLearning, avec son échéance et son avancement.
• Le signalement : un courriel suspect rapporté par un employé. S'il s'agit d'une de vos simulations, la personne est créditée; sinon, le signalement est trié comme une menace possible.
• Le retrait, « clawback » à l'écran : une fois une menace confirmée, la recherche du message dans toutes les boîtes de l'organisation et son déplacement vers une quarantaine, d'où il se restaure au besoin.

Sensibilisation s'appuie sur des applications que vous connaissez déjà. L'envoi des leurres passe par le moteur d'E-mail Marketing et Tracker de liens, les cours viennent de l'eLearning décrit dans Site Web, blogue et eLearning, un signalement réel peut ouvrir un billet dans Assistance (billets), et la fiche de chaque contact porte son Niveau de risque avec deux boutons d'accès rapide, Tests d'hameçonnage et Formations.

Ce qui distingue l'approche : la fausse page de connexion ne garde jamais ce qui y est tapé, seulement le fait qu'une soumission a eu lieu et, si vous l'activez, la longueur des champs. Les résultats sont des données de ressources humaines : seules les personnes habilitées les lisent, et chaque page d'atterrissage déclare la simulation.

Le tableau de bord de l'organisation ouvre l'application pour les opérateurs et les gestionnaires : tendance de la part de personnes qui tombent dans le piège, personnes piégées plus d'une fois, formations en retard et campagnes récentes.

Configuration#

Accès et droits#

Trois groupes, à choisir dans la section Sensibilisation à la sécurité de la fiche d'un utilisateur (Paramètres › Utilisateurs et sociétés › Utilisateurs). Chaque groupe comprend le précédent.

Sur la démo, Camille Tremblay détient les trois groupes.

Paramètres#

L'application n'a pas de section dans Paramètres. Ses réglages sont des paramètres système, posés en mode développeur par la personne qui administre Symbifox. Ils forment trois familles.

• Le calcul du score : poids d'une soumission, d'un clic, d'une ouverture et d'un signalement; fenêtre de temps considérée; atténuation apportée par une formation terminée; poids selon la difficulté du leurre; délai accordé pour terminer une formation; création automatique d'un accès portail pour les personnes sans compte.
• Le tri des signalements : personne responsable, équipe d'assistance qui reçoit le billet, alerte instantanée sur un téléphone, fenêtre de rapprochement avec vos simulations.
• Le retrait : mode (quarantaine par défaut, ou corbeille), nom du dossier de quarantaine, fenêtre de recherche par expéditeur et sujet, aperçu obligatoire avant exécution, plafond de messages au-delà duquel un gestionnaire doit confirmer.

Les leurres doivent atteindre la boîte de réception, donc passer volontairement à travers le filtre antipourriel. Prévoyez, avec la personne qui administre le courriel : un Serveur d'envoi dédié sur la campagne, l'autorisation de ce serveur dans les enregistrements du domaine expéditeur, son inscription sur la liste d'autorisation de la passerelle courriel et de la protection des postes, et un test sur vous-même avant tout envoi à un groupe.

Données de base#

1. Un modèle de leurre : la démo en fournit trois.
2. Un cours de cybersécurité dans Formation › Cours, si vous voulez assigner une formation à l'échec. La démo n'en contient aucun.
3. Un connecteur courriel, si vous comptez retirer des messages des boîtes.
4. Facultatif : des listes de diffusion pour cibler un service entier d'un coup.

Premiers pas#

Ce parcours se joue sur la démo Boréal, connecté comme Camille Tremblay : une campagne d'une seule personne, vous-même.

1. Ouvrez Sensibilisation › Configuration › Modèles de leurre et ouvrez l'un des trois modèles. Lisez l'onglet Courriel-leurre (sujet, expéditeur affiché, corps), puis l'onglet Page d'atterrissage.
2. Allez à Campagnes et sélectionnez Nouveau. Saisissez « Test sur moi » dans Nom et choisissez le Modèle de leurre.
3. Dans Personnes ciblées, sélectionnez Camille Tremblay, puis sélectionnez Préparer. Une ligne de résultat est créée pour elle, avec son lien unique.
4. Sélectionnez Lancer. Le leurre part vers votre boîte.
5. Dans votre boîte, ouvrez le courriel et suivez son lien. La fausse page paraît, puis la page éducative qui déclare la simulation.
6. Revenez sur la campagne : Envoyés, Ouverts et Clics se sont mis à jour. Le bouton d'accès rapide des résultats montre votre ligne.
7. Sélectionnez Clôturer. Vous venez de vivre le cycle complet que vivra l'équipe.

Tâches courantes#

Créer un modèle de leurre#

Un modèle décrit le piège et la leçon. Réservé au gestionnaire.

1. Ouvrez Sensibilisation › Configuration › Modèles de leurre, puis sélectionnez Nouveau.
2. Saisissez le Nom, choisissez la Catégorie et la Difficulté : échouer à un leurre facile pèse plus lourd dans le score qu'échouer à un leurre difficile.
3. Dans l'onglet Courriel-leurre, saisissez le Sujet du courriel, l'Adresse d'expéditeur et le Nom de l'expéditeur affichés, puis le Corps du courriel avec le lien piégé. Ajoutez au besoin des Pièces jointes ou cochez Inclure un code QR (quishing) pour tester la numérisation sur téléphone.
4. Dans l'onglet Page d'atterrissage, choisissez le Comportement de la page d'atterrissage et, pour un faux formulaire, le Titre de la fausse page, l'Habillage de la fausse page et le Libellé du bouton.
5. Facultatif : cochez Mesurer la longueur des champs saisis. Seule la longueur est gardée, jamais la valeur.
6. Rédigez la Page éducative : elle doit dire qu'il s'agit d'une simulation autorisée et expliquer les indices qui auraient dû alerter.
7. Choisissez la Formation assignée à l'échec, puis sélectionnez Enregistrer.

Le modèle est prêt; son bouton d'accès rapide Campagnes comptera celles qui l'utilisent.

Lancer une campagne d'hameçonnage simulé#

Une campagne envoie un leurre à un groupe et suit chaque personne. Préalable : un modèle de leurre.

1. Ouvrez Sensibilisation › Campagnes, puis sélectionnez Nouveau.
2. Saisissez le Nom et choisissez le Modèle de leurre.
3. Dans l'onglet Destinataires, sélectionnez les Personnes ciblées ou des Listes de diffusion, dont les contacts s'ajoutent aux personnes ciblées.
4. Cochez Assigner la formation à l'échec si vous voulez l'inscription automatique au cours du modèle.
5. Sélectionnez Préparer : une ligne de résultat par destinataire est créée, chacune avec son lien unique.
6. Sélectionnez Lancer.

Le leurre part. La campagne passe à l'état en cours, et les compteurs Destinataires, Envoyés, Ouverts, Clics, Identifiants soumis, Signalements et Taux d'échec (%) se remplissent à mesure.

Planifier et étaler une campagne#

Un envoi groupé à 9 h fait que la première personne piégée prévient les autres. La planification et l'étalement règlent cela.

1. Sur la campagne, saisissez la Date d'envoi planifiée.
2. Saisissez l'Étalement des envois (jours) : les leurres sont répartis au hasard sur cette fenêtre; 0 envoie tout d'un coup.
3. Facultatif : choisissez un Serveur d'envoi dédié plutôt que le serveur par défaut.
4. Sélectionnez Préparer, puis Enregistrer.

La campagne part d'elle-même à la date dite : une tâche planifiée passe toutes les trente minutes. Chaque résultat porte son heure d'Envoi planifié, et les leurres sont libérés quand leur heure arrive.

Suivre les résultats d'une campagne#

Les résultats disent qui a fait quoi, et quand. Réservé au gestionnaire pour la vue d'ensemble; l'opérateur voit ceux de sa campagne.

1. Ouvrez Sensibilisation › Résultats, ou le bouton d'accès rapide des résultats sur la campagne.
2. Lisez la liste : personne, campagne, état, dates d'envoi, d'ouverture, de clic, de soumission et de signalement, rebond.
3. Passez en vue tableau croisé ou graphique pour comparer les campagnes entre elles.
4. Ouvrez un résultat pour le détail : lien piégé, formation assignée, adresse et pays du clic, appareil utilisé.
5. Pour un document à présenter, imprimez le Rapport de campagne depuis le menu d'impression de la campagne.

Clôturer, annuler ou reprendre une campagne#

Le haut du formulaire d'une campagne porte trois autres boutons, selon son état.

1. Ouvrez Sensibilisation › Campagnes et ouvrez la campagne.
2. Sélectionnez Clôturer quand plus aucun clic n'est attendu : les résultats sont figés.
3. Sélectionnez Annuler pour arrêter une campagne lancée par erreur.
4. Sélectionnez Remettre en brouillon pour corriger la cible ou le modèle avant de préparer à nouveau.
5. Sélectionnez Envoi de masse pour ouvrir l'envoi tel que le moteur de courriel le voit, avec ses remises et ses rebonds.

L'état de la campagne change aussitôt; les résultats déjà enregistrés restent.

Consulter et recalculer un profil de risque#

Le profil de risque résume une personne sur toutes ses campagnes. Réservé au gestionnaire.

1. Ouvrez Sensibilisation › Profils de risque.
2. Lisez la liste : personne, campagnes, courriels reçus, ouverts, clics, identifiants soumis, signalements, dernier test, dernier échec, formations assignées et complétées, score et niveau de risque.
3. Ouvrez un profil. Ses boutons d'accès rapide mènent à ses résultats et à ses formations.
4. Après une correction (un résultat retiré, une formation terminée), sélectionnez Recalculer le score.

Le score se recalcule de toute façon chaque nuit. La vue tableau croisé compare les niveaux de risque par service.

Assigner et suivre une formation#

Une assignation naît d'elle-même à l'échec, si la campagne le prévoit. Elle se crée aussi à la main.

1. Ouvrez Sensibilisation › Formation › Assignations, puis sélectionnez Nouveau.
2. Choisissez la Personne, le Cours et une Échéance.
3. Sélectionnez Inscrire : la personne est inscrite au cours et reçoit l'invitation par courriel.
4. Suivez Statut LMS, Avancement (%) et Complétée, qui reflètent l'eLearning.
5. Sélectionnez Relancer pour renvoyer l'invitation, ou Ouvrir le cours pour le consulter.

Une formation complétée abaisse le score de risque. Des rappels partent seuls chaque jour pour les formations en retard, et le compteur Rappels envoyés les compte.

Préparer un cours de sensibilisation#

Les cours sont ceux de l'eLearning, filtrés pour la sensibilisation. La démo n'en contient aucun.

1. Ouvrez Sensibilisation › Formation › Cours.
2. Sélectionnez Nouveau et bâtissez le cours comme tout cours eLearning : sections, contenus, quiz.
3. Publiez-le, puis rattachez-le à un modèle de leurre dans Formation assignée à l'échec.

Le cours devient choisissable dans les assignations et dans les modèles.

Rapporter un courriel suspect#

Le geste attendu de chaque personne devant un courriel douteux. Aucun droit particulier.

1. Ouvrez Sensibilisation › Rapporter un courriel suspect.
2. Choisissez le Type de courriel; en cas de doute, « Autre / je ne suis pas certain ».
3. Saisissez l'Expéditeur (adresse affichée) et le Sujet du courriel.
4. Collez le Lien suspect (si présent) sans le suivre.
5. Dans Précisions, dites ce qui vous a semblé étrange : urgence, pièce jointe, demande inhabituelle.
6. Dans Pièces jointes, joignez le courriel original au format .eml; une capture d'écran convient aussi.
7. Sélectionnez Signaler.

Si le courriel était une de vos simulations, vous êtes crédité et le résultat le note. Sinon, la personne responsable reçoit une activité, et au besoin un billet et une alerte.

Trier un signalement#

Les simulations reconnues se classent seules; les courriels réels attendent une décision. Réservé au gestionnaire.

1. Ouvrez Sensibilisation › Signalements.
2. Ouvrez un signalement : qui l'a fait, quand, la catégorie, l'expéditeur, le sujet, les précisions, le lien, et l'identifiant du message si un .eml était joint.
3. Sélectionnez Fausse alerte si le courriel est légitime.
4. Sélectionnez Confirmer la menace si le courriel est malveillant.
5. Facultatif : sélectionnez Ticket Helpdesk pour ouvrir un billet dans Assistance.
6. Pour l'enlever des boîtes, sélectionnez Retirer des boîtes (clawback) : une opération de retrait pré-remplie s'ouvre.

L'état du signalement change; ses retraits se comptent sur la fiche.

Configurer un connecteur courriel#

Le connecteur donne au retrait l'accès aux boîtes internes. Réservé au gestionnaire, avec la personne qui administre le courriel.

1. Ouvrez Sensibilisation › Configuration › Connecteurs courriel, puis sélectionnez Nouveau.
2. Choisissez le Type : Microsoft 365 avec une application autorisée, ou boîtes IMAP avec un mot de passe applicatif par boîte.
3. Saisissez Hôte IMAP, Port IMAP, Dossier à balayer (la boîte de réception par défaut) et Dossier de quarantaine.
4. Pour Microsoft 365, saisissez Tenant ID (Entra), Client ID (app Entra) et Secret client. Le secret est chiffré et ne se relit pas.
5. Choisissez Boîtes ciblées et, pour une liste manuelle, saisissez Adresses (une par ligne); pour l'IMAP, déclarez chaque boîte et son mot de passe dans Boîtes déclarées.
6. Sélectionnez Tester la connexion.

Le test se connecte à la première boîte ciblée et confirme que le retrait pourra y entrer.

Retirer un courriel malveillant des boîtes#

Préalables : un signalement confirmé comme menace, un connecteur testé, et le groupe Purge courriel (clawback) pour l'exécution.

1. Depuis le signalement, sélectionnez Retirer des boîtes (clawback), ou ouvrez Sensibilisation › Retraits de courriel puis Nouveau.
2. Vérifiez la Stratégie : par Message-ID exact si le .eml était joint, sinon par Expéditeur et Sujet à partir de Reçu depuis.
3. Choisissez le Mode de retrait : quarantaine (un dossier caché de chaque boîte) ou corbeille. Les deux se restaurent.
4. Sélectionnez Aperçu (sans retrait) : chaque boîte balayée indique combien de messages correspondent.
5. Si le total dépasse le plafond réglé, un gestionnaire sélectionne Confirmer le rayon élevé.
6. Sélectionnez Exécuter le retrait.
7. Pour revenir en arrière, sélectionnez Restaurer (annuler) : les messages reviennent dans la boîte de réception.

Boîtes balayées liste chaque boîte avec son état, les messages Trouvés, Retirés et l'Erreur éventuelle. Un retrait interrompu reprend seul toutes les cinq minutes.

Consulter son propre tableau de bord#

Chaque personne voit sa propre résilience, et rien de celle des autres.

1. Ouvrez Sensibilisation › Mon tableau de bord.
2. Lisez vos tests reçus, vos réactions et vos cours assignés, avec leur avancement.
3. Ouvrez un cours pour le poursuivre.

L'écran s'intitule « Ma cybersécurité » et se lit sans droit particulier.

Les menus, un à un#

Sensibilisation › Tableau de bord : la vue de l'organisation pour opérateurs et gestionnaires, décrite dans la vue d'ensemble.

Sensibilisation › Mon tableau de bord : la vue personnelle, « Ma cybersécurité », ouverte à tout utilisateur interne.

Sensibilisation › Rapporter un courriel suspect : l'assistant de signalement, ouvert à tout utilisateur interne.

Sensibilisation › Campagnes : les trois campagnes de la démo, en cartes par état, avec les vues liste et formulaire. L'écran vide propose « Lancez votre première campagne ».

Sensibilisation › Résultats : gestionnaire seulement. Les 34 résultats de la démo, en liste, tableau croisé ou graphique; filtres par campagne, par état et par signalement.

Sensibilisation › Signalements : les courriels rapportés par l'équipe. Vide sur la démo : « Aucun courriel signalé. Les courriels signalés par les employés comme suspects arrivent ici. Les simulations reconnues sont classées automatiquement; les courriels réels sont à trier. »

Sensibilisation › Retraits de courriel : gestionnaire seulement. Les opérations de retrait, avec le détail par boîte. Vide sur la démo : « Aucun retrait ».

Sensibilisation › Profils de risque : gestionnaire seulement. Les 22 profils de la démo, en liste ou en tableau croisé, avec score et niveau.

Sensibilisation › Formation : menu de regroupement des deux entrées qui suivent.

Sensibilisation › Formation › Assignations : les formations assignées, en liste, en cartes par état ou en formulaire. Vide sur la démo.

Sensibilisation › Formation › Cours : les cours de l'eLearning retenus pour la sensibilisation. Vide sur la démo.

Sensibilisation › Configuration : menu de regroupement, gestionnaire seulement.

Sensibilisation › Configuration › Modèles de leurre : les trois modèles de la démo, en liste et en formulaire. L'écran vide propose « Créez votre premier modèle de leurre ».

Sensibilisation › Configuration › Connecteurs courriel : les connecteurs vers les boîtes internes. Vide sur la démo.

Référence#

Champs du formulaire Campagne#

Champs du formulaire Modèle de leurre#

Rapports et exports#

Le Rapport de campagne s'imprime en PDF depuis une campagne. Résultats et Profils de risque offrent les vues tableau croisé et graphique, et toutes les listes s'exportent en feuille de calcul par le geste commun d'exportation.

Automatisations#

• Toutes les trente minutes, les campagnes dont la date planifiée est arrivée sont lancées, et les rebonds des campagnes en cours sont rapprochés.
• Les leurres d'une campagne étalée partent chacun à leur heure.
• Ouvertures, clics, soumissions et signalements depuis le leurre sont enregistrés à l'instant, par les pages publiques.
• Au clic ou à la soumission, si la campagne le prévoit, l'assignation de formation est créée; une personne sans compte reçoit un accès portail.
• Chaque nuit, les scores de risque sont recalculés; chaque jour, les rappels de formation partent pour les assignations en retard, avec le gabarit « Sensibilisation : invitation à la formation ».
• Un signalement est rapproché de vos simulations; sinon, une activité, un billet et une alerte partent selon les réglages.
• Toutes les cinq minutes, un retrait interrompu reprend là où il en était.

Pages publiques et portail#

Chaque destinataire reçoit un lien unique, de la forme /phish/…. Il mène à la page d'atterrissage; la même adresse suivie de /submit reçoit le faux formulaire, /lesson montre la page éducative, /open.png est l'image invisible qui note l'ouverture, et /report permet de signaler le leurre depuis la page. Ces pages déclarent toujours la simulation et l'absence de stockage des identifiants.

Modules qui enrichissent cette application#

Aucun module satellite n'enrichit Sensibilisation sur la démo. L'application repose en revanche sur trois applications standard : le moteur d'envoi de courriels en masse et le suivi des liens pour l'envoi et la mesure, l'eLearning pour les cours, et Assistance pour les billets ouverts depuis un signalement.

Comprendre#

Rien de ce qui est tapé n'est gardé. La fausse page enregistre qu'une soumission a eu lieu et, au plus, la longueur des champs. Aucune colonne ne peut recevoir un identifiant ou un mot de passe : c'est une garantie de conception, pas un réglage.

Pourquoi trois groupes. Savoir qui a cliqué relève des ressources humaines; déplacer du courrier dans toutes les boîtes relève d'un privilège à part. Le groupe Purge est distinct du gestionnaire pour que la personne qui juge la menace ne soit pas forcément celle qui agit dans les boîtes.

Comment se calcule le score. Une soumission pèse plus qu'un clic, un clic plus qu'une ouverture, et un signalement joue en faveur de la personne. Un échec récent compte davantage qu'un échec ancien; un leurre facile raté pèse plus lourd qu'un leurre difficile; une formation terminée atténue le score. Les poids sont des réglages.

Simulation ou vraie menace. Un signalement est comparé aux résultats de vos campagnes dans une fenêtre de quelques jours. S'il correspond, la personne est créditée et rien d'autre ne se passe. Sinon, le signalement devient une menace à trier.

Un retrait est réversible et borné. Le message va dans un dossier de quarantaine, pas à la poubelle; Restaurer (annuler) le ramène. Un aperçu peut être exigé avant toute exécution, un plafond de messages demande la confirmation d'un gestionnaire, et l'autorisation d'agir n'est posée que par Exécuter le retrait : la reprise automatique refuse d'agir sans elle.

Identifiant exact ou heuristique. Un .eml joint au signalement fournit l'identifiant unique du message, et le retrait est exact. Sans lui, la recherche par expéditeur et sujet dans une fenêtre de jours est une approximation, d'où l'aperçu.

Pourquoi la formation exige un compte. L'eLearning n'enregistre l'avancement que d'une personne connectée. Un accès portail est donc créé pour les personnes sans compte, si le réglage le permet.

Dépannage#

Voir aussi#

• E-mail Marketing et Tracker de liens : le moteur d'envoi et de suivi des leurres.
• Site Web, blogue et eLearning : bâtir les cours de cybersécurité.
• Assistance (billets) : les billets ouverts depuis un signalement.
• Contacts : le niveau de risque sur la fiche de chaque personne.
• Vie privée (Loi 25 et autres cadres) : le cadre à respecter pour des tests de sécurité internes.