Formation et sensibilisation à la cybersécurité en entreprise

Journée unique – Approfondissement et mise en pratique (niveau intermédiaire et avancé)

• Positionnement de la cybersécurité pour les professions du droit, du chiffre, de la conformité et les dirigeants de PME. • Rôle du formateur : apport de l’expertise conformité, cybersécurité & GRC, articulation avec les obligations professionnelles. • Notions clés : actifs informationnels, menace, vulnérabilité, incident, risque, sécurité par la conception, résilience. • Panorama des menaces actuelles : phishing, rançongiciels, fraude au président, compromission de boîte mail, fuite de données, usurpation d’identité. • Spécificités des secteurs visés (professions réglementées, ONG, PME, santé, immobilier, sûreté, secteur public/para-public). • Obligations générales de sécurité (droit commun, contrats, CGU, devoir de conseil, obligations des prestataires et sous-traitants). • Articulation avec le RGPD : sécurité des données personnelles, privacy by design, privacy by default, registre des traitements, sous-traitance. • Secret professionnel, confidentialité, déontologie : enjeux spécifiques pour avocats, notaires, huissiers, magistrats, experts-comptables, commissaires aux comptes, professionnels de santé et médiateurs. • Responsabilités civile, pénale, disciplinaire, contractuelle en cas d’incident cyber. • Présentation synthétique de la jurisprudence et des recommandations des autorités (CNIL, autorités de régulation sectorielles, autorités judiciaires). • Méthodologie simplifiée d’analyse de risques : identifier les actifs critiques, les scénarios de menace, les impacts et probabilités. • Cartographie des principaux risques par typologie de métiers : cabinets d’avocats, études notariales, huissiers, experts-comptables, ONG, PME, professions de santé, immobilier, sûreté, services RH et conformité. • Ateliers et mini-cas pratiques : identification des points de fragilité (télétravail, mobilités, prestataires, messagerie, outils collaboratifs, cloud, réseaux sociaux). • Priorisation des risques et identification des mesures de traitement (réduction, transfert, acceptation, mutualisation). • Gouvernance et GRC : intégrer la cybersécurité dans la politique de conformité, la gestion des risques et le pilotage (rôles et responsabilités, reporting, comités, documentation). • Politiques internes : chartes informatiques, politique de mots de passe, gestion des habilitations, procédures d’onboarding/offboarding, gestion des comptes à privilèges. • Sécurité opérationnelle : sauvegardes, mises à jour, chiffrement, segmentation, gestion des terminaux mobiles et des postes personnels (BYOD), télétravail. • Sécurité des échanges : messagerie, pièces jointes, signature électronique, partage de documents, visioconférences, utilisation des plateformes cloud. • Focus sur les relations avec les prestataires et sous-traitants : clauses contractuelles, audits, due diligence, partage de responsabilités. • Illustrations concrètes par des cas rencontrés en pratique par le formateur (anonymisés). • Reconnaître rapidement un incident de sécurité ou un comportement suspect. • Premiers réflexes à adopter pour limiter l’ampleur et les conséquences (techniques, organisationnels, juridiques). • Organisation de la réponse à incident : rôles, coordination interne, point de contact, communication. • Obligations de notification, régulateurs sectoriels, clients, partenaires) : quand, comment, à qui. • Conservation et documentation des preuves en vue d’un contentieux, d’un audit ou d’une enquête. • Notions de plan de continuité d’activité (PCA) et plan de reprise d’activité (PRA) adaptées aux structures de taille petite à intermédiaire (cabinets, études, offices, PME, ONG). • Construire une démarche de sensibilisation adaptée : messages clés, supports, fréquence, implication du management. • Adapter la cybersécurité au niveau de maturité de l’organisation et aux contraintes des métiers. • Élaboration par chaque participant d’un mini-plan d’action : priorités à 3, 6 et 12 mois (mesures immédiates, actions de moyen terme, structuration de la démarche GRC/cyber). • Échanges de bonnes pratiques entre pairs et synthèse des points clés à retenir pour la mise en œuvre concrète après la formation.