Des formations à la sécurité dont on se souvient un mardi après-midi
Des formations pour le personnel, les développeurs et la direction, données par des personnes dont le métier est de tester, d'auditer et d'enquêter. Peu de slogans, beaucoup de ce qui se passe réellement.
Présentation
Pourquoi la plupart des sensibilisations ne marquent pas
Une vidéo annuelle et un quiz cochent une case. Ils changent rarement ce que fait quelqu'un quand un e-mail convaincant arrive en fin de journée, ou quand un appelant qui ressemble au service informatique demande un code. On retient des histoires, de la pratique et ce qui touche à son propre travail.
Black Fox forme à partir de techniques d'attaque réelles : les prétextes de nos exercices d'ingénierie sociale, les erreurs que nous trouvons en test d'intrusion et les incidents que nous décortiquons ensuite. Chaque session est construite autour de son public. Le personnel apprend à reconnaître et à signaler. Les développeurs apprennent comment leur code se fait casser. La direction apprend quelles décisions l'attendent pendant un incident.
La formation fonctionne mieux avec des tests. Une simulation d'hameçonnage ou une évaluation d'ingénierie sociale montre où les personnes ont besoin d'aide, et la session suivante peut cibler exactement cela.
À qui s'adresse ce service
Les organisations dont le personnel est la première ligne face à l'hameçonnage et à la fraude, les équipes de développement qui livrent des logiciels traitant des données clients, les directions qui se préparent aux incidents, et toutes celles dont le référentiel attend une sensibilisation régulière à la sécurité, comme c'est courant dans les démarches ISO/IEC 27001, SOC 2, PCI DSS et NIS2.
Le travail, du cadrage aux preuves.
Ce que nous faisons
Sensibilisation à la sécurité
L'essentiel pour tous : mots de passe et authentification multifacteur, manipulation sûre des données, des appareils et en déplacement, et comment et quand signaler quelque chose d'anormal.
Sensibilisation à l'ingénierie sociale
Hameçonnage, prétextes téléphoniques, faux fournisseurs et intrusion physique en suivant quelqu'un, expliqués par des exemples réels et avec de l'entraînement à les repérer.
Formation à la réponse à incident
Pour les équipes de réponse et la direction : rôles, premiers gestes, preuves, communication et décisions, mis en pratique lors d'exercices sur table.
Formation DevSecOps
Pour les développeurs et ingénieurs : classes de vulnérabilités courantes, développement sécurisé, secrets, dépendances et sécurité dans la chaîne CI/CD, avec des exercices pratiques.
Sessions pour la direction
Pour les dirigeants : les risques qui comptent pour l'activité, les obligations qui pèsent sur la direction et ce qu'est un bon reporting de sécurité.
Mesurer l'effet
En option, des simulations d'hameçonnage ou des évaluations avant et après la formation, pour voir ce qui a changé.
Déroulement de la mission
Lancement
Nous convenons des publics, des sujets, du format et des langues, et signons d'abord un accord de confidentialité si vous le souhaitez.
Adaptation
Nous adaptons le contenu à votre organisation : vos outils, vos processus, vos canaux de signalement et les risques auxquels vous êtes réellement exposés.
Animation
Des sessions sur site ou à distance, en français, en anglais ou en allemand, dans des groupes assez petits pour poser des questions.
Exercices
Travaux pratiques, exercices sur table ou simulations, selon le public et ce que vous voulez tester.
Suivi
Une synthèse de ce qui a été couvert, des questions soulevées et de ce qu'il faut répéter ou approfondir la prochaine fois.
Ce que vous recevez
- Plan de formation par public
- Sessions adaptées à votre organisation
- Supports de formation pour vos archives
- Feuilles de présence comme preuve d'audit
- Résultats des exercices ou simulations, s'ils sont prévus
- Rapport de synthèse avec recommandations pour la suite
Questions
Les formations sont-elles en ligne ou en présentiel ?
Les deux. De petites sessions interactives fonctionnent le mieux, sur site ou à distance. Nous convenons du format avec vous selon vos équipes et vos sites.
Dans quelles langues formez-vous ?
En français, en anglais et en allemand.
La formation empêchera-t-elle les clics sur les e-mails d'hameçonnage ?
Elle en réduit la probabilité et, tout aussi important, pousse les gens à signaler ce qu'ils voient. Personne ne peut promettre que plus personne ne cliquera jamais ; la formation fonctionne donc mieux avec des mesures techniques et un processus de signalement simple.
Fournissez-vous des preuves pour nos auditeurs ?
Oui. Vous recevez le plan de formation, les supports, les feuilles de présence et une synthèse, c'est-à-dire les éléments que les auditeurs demandent habituellement pour vérifier la sensibilisation.
Services associés
- Conseil et réponseDevSecOps et développement sécuriséDevSecOps avec Black Fox Security : cycle de développement sécurisé, modélisation des menaces, revue de code, sécurité CI/CD, dépendances, secrets et formation.
- Conseil et réponseInvestigation numérique et réponse à incidentForensique et réponse à incident par Black Fox Security : analyse post-incident, réseau et stockage, rétro-ingénierie, récupération de données, exercices.
- Gouvernance et risquesPolitiques et procéduresBlack Fox Security rédige et revoit vos politiques de sécurité : usage, contrôle d'accès, incidents, fournisseurs, sauvegarde et plus, pour ceux qui les appliquent.
Formez les personnes que les attaquants appellent en premier
Dites-nous qui doit être formé et ce qui vous préoccupe. Nous vous proposerons des sessions adaptées à vos équipes et à vos obligations.