Le cours — 6 modules

Cybersécurité au poste de travail : comprendre la menace réelle et le cadre juridique, démasquer l'hameçonnage et l'ingénierie sociale, maîtriser ses mots de passe et la double authentification, faire face aux rançongiciels grâce aux sauvegardes, manipuler les données personnelles dans les règles du RGPD, et travailler en mobilité et en télétravail en sachant réagir dans la première heure — sur la base du règlement (UE) 2016/679, du code pénal (art. 323-1 s.), des recommandations de la CNIL et de l'ANSSI et des données de Cybermalveillance.gouv.fr. Touchez un module pour l'ouvrir.

Cette formation e-learning est une sensibilisation. Elle ne remplace pas la charte informatique ni les consignes propres à votre entreprise, qui priment toujours, ni les formations spécialisées des équipes techniques (administrateurs, développeurs, DPO). En cas de doute, c'est votre service informatique qui tranche.

Cette formation prépare deux profils :

Tous salariés — poste de travail et télétravail : repérer une attaque, protéger ses accès et ses données, alerter au bon moment (modules 1 à 6) ;
Référent cyber, encadrant et manageur : en plus, piloter la prévention, gérer un incident et connaître les obligations de l'entreprise (RGPD, plainte, assurance, continuité).

Contenu vérifié à la source, au 17 juillet 2026. Chaque texte cité l'a été dans sa version en vigueur : nous indiquons aussi, quand c'est utile, ce qui n'est pas encore applicable (NIS 2) et ce qui est périmé mais continue de circuler dans beaucoup de supports.

Ma progression0 / 6 modules terminés

Vidéo du module 1 — Cybersécurité : adoptons les bons réflexes face aux menaces cyber (Gouvernement)

Objectifs : mesurer la menace avec les chiffres officiels • savoir quelles attaques visent réellement les entreprises • comprendre pourquoi l'humain est la cible • connaître le cadre juridique en vigueur — et ce qui ne l'est pas encore.

1.1 La menace, en chiffres officiels

Deux sources publiques françaises font autorité, et elles ne mesurent pas la même chose :

Source	Ce qu'elle compte	Dernier chiffre publié
Cybermalveillance.gouv.fr (GIP ACYMA)	Les demandes d'assistance déposées sur sa plateforme, par les particuliers, les entreprises et les collectivités	504 000 demandes en 2025 (+ 20 % vs 2024), dont 93 % de particuliers et 7 % de professionnels (33 012 demandes) Rapport d'activité 2025, publié le 26 mars 2026
ANSSI (agence nationale)	Les événements de sécurité traités par l'Agence : signalements et incidents, sur un périmètre bien plus étroit (opérateurs, État, entités critiques)	3 586 événements en 2025 (− 18 % vs 2024), dont 2 209 signalements et 1 366 incidents Panorama de la cybermenace 2025, réf. CERTFR-2026-CTI-002, mars 2026

Ne confondez jamais ces deux chiffres. 504 000 et 3 586 ne se comparent pas : l'un compte des demandes d'aide sur un site public ouvert à tous, l'autre des incidents traités par l'agence de l'État sur un périmètre restreint. Les additionner ou les opposer, comme on le lit souvent, n'a aucun sens.

1.2 La menace n'est pas la même selon qui vous êtes

C'est le point que la plupart des formations ratent. On répète partout que « l'hameçonnage est la première menace ». C'est vrai pour les particuliers. C'est faux pour les entreprises.

Rang	Particuliers (2025)	Entreprises et associations (2025)
1	Hameçonnage — 33 % (+ 71 %)	Piratage de compte — 21 % (+ 52 %)
2	Piratage de compte — 11 %	Hameçonnage — 16 %
3	Violations de données — 6,6 %	Fraude au virement — 13,5 % (+ 93 %)
4	Faux support technique — 5,9 %	Rançongiciels — 8,1 %
5	—	Violations de données — 6,6 %

Source : Cybermalveillance.gouv.fr, top 10 des cybermalveillances 2025 (particuliers et professionnels).

Deux enseignements pour votre travail :

en entreprise, c'est votre compte qui est la cible n° 1 — d'où l'importance des modules 3 (mots de passe, MFA) et 2 (hameçonnage, qui sert à voler ce compte) ;
la fraude au virement (13,5 %, en hausse de 93 %) frappe presque autant que l'hameçonnage : elle ne casse aucune machine, elle manipule une personne.

Le rançongiciel n'est que la 4ᵉ menace des entreprises en volume (8,1 %) — mais c'est la plus médiatisée. Sa gravité est majeure, sa fréquence plus faible qu'on ne le croit. Chez les collectivités, en revanche, il monte à 13,1 %. Attention aussi à la méthode : ces pourcentages mesurent des demandes d'assistance, pas la sinistralité réelle.

1.3 Pourquoi c'est vous que l'on attaque

Forcer un pare-feu correctement configuré coûte cher et prend du temps. Envoyer 10 000 messages piégés ne coûte presque rien. Les attaquants ne cherchent donc pas la faille la plus technique, mais la plus rentable — et c'est presque toujours une personne : un lien cliqué, une pièce jointe ouverte, un mot de passe réutilisé, un virement fait dans l'urgence.

Vous n'avez pas besoin d'être expert. Les attaques reposent sur des ressorts humains simples — l'urgence, l'autorité, la peur, la curiosité, l'envie de bien faire. Les reconnaître, c'est déjà les désamorcer. C'est tout l'objet de cette formation.

1.4 Le cadre juridique en vigueur

Texte	Ce qu'il impose
RGPD règlement (UE) 2016/679	Protection des données personnelles. Entré en vigueur le 24 mai 2016, applicable depuis le 25 mai 2018 (art. 99). Sécurité des traitements (art. 32), notification des violations (art. 33 et 34) — voir module 5.
Loi « Informatique et Libertés » n° 78-17 du 6 janvier 1978	Le volet français : missions et pouvoirs de la CNIL. Texte vivant : modifié en dernier lieu par la loi n° 2026-403 du 26 mai 2026 (en vigueur au 28 mai 2026).
Code pénal art. 323-1 à 323-8	Les atteintes aux systèmes de traitement automatisé de données (STAD) : c'est ce qui rend l'attaque pénalement punissable (détail ci-dessous).
Code des assurances art. L. 12-10-1	Créé par la LOPMI (loi n° 2023-22 du 24 janvier 2023), en vigueur depuis le 24 avril 2023 : l'indemnisation par une assurance cyber est subordonnée au dépôt de plainte sous 72 h — voir module 4.
Loi n° 2018-133 du 26 février 2018	Transposition de NIS 1 : obligations des OSE (opérateurs de services essentiels) et FSN. C'est le texte qui s'applique aujourd'hui, en attendant NIS 2 (§ 1.5).

Les peines réellement encourues

Infraction	Peine en vigueur
Accès ou maintien frauduleux dans un système (art. 323-1 al. 1)	3 ans d'emprisonnement et 100 000 € d'amende
…avec suppression ou modification de données (art. 323-1 al. 2)	5 ans et 150 000 €
Entrave au fonctionnement d'un système (art. 323-2)	5 ans et 150 000 € — système de l'État : 7 ans et 300 000 €
Extraction, détention, reproduction, transmission frauduleuse de données (art. 323-3)	5 ans et 150 000 € — système de l'État : 7 ans et 300 000 €
Infractions en bande organisée contre un système de l'État (art. 323-4-1)	10 ans et 300 000 €
Tentative (art. 323-7)	Les mêmes peines que l'infraction elle-même

Attention à une erreur très répandue. Beaucoup de supports — même récents — écrivent que l'accès frauduleux est puni de « 2 ans et 60 000 € ». C'est faux depuis 2023 : la LOPMI (loi n° 2023-22 du 24 janvier 2023) a relevé la peine à 3 ans et 100 000 €.

« Accès » et « maintien » sont deux infractions distinctes. Rester dans un système où l'on est entré par erreur ou légitimement, une fois qu'on a compris qu'on n'y a pas droit, est déjà punissable. Si vous tombez par accident sur des données qui ne vous sont pas destinées : vous sortez, et vous signalez.

1.5 NIS 2 : ce qu'on vous dit, et ce qui est vrai

La directive NIS 2 — (UE) 2022/2555 du 14 décembre 2022, entrée en vigueur le 16 janvier 2023 — élargit fortement les obligations de cybersécurité à de nouveaux secteurs, en distinguant entités essentielles et entités importantes. Son article 41 imposait aux États membres de la transposer au plus tard le 17 octobre 2024.

Au 17 juillet 2026, NIS 2 n'est toujours pas transposée en France. Le projet de loi « résilience des infrastructures critiques et renforcement de la cybersécurité », déposé au Sénat le 15 octobre 2024 et adopté par lui en première lecture le 12 mars 2025, n'a jamais été examiné en séance publique à l'Assemblée nationale. Aucune loi n'est promulguée, aucun décret d'application n'existe — et le 8 juillet 2026, la Commission européenne a renvoyé la France devant la Cour de justice de l'Union européenne (avec l'Irlande, l'Espagne et les Pays-Bas) pour défaut de transposition, en demandant des sanctions financières.

Conséquence concrète, à la date de ce cours :

les obligations NIS 2 ne sont pas encore opposables aux entreprises françaises ;
c'est toujours NIS 1 (loi n° 2018-133 du 26 février 2018) qui régit les OSE ;
les chiffres qui circulent — « environ 15 000 entités concernées », « sanctions jusqu'à 10 M€ ou 2 % du chiffre d'affaires » — proviennent de l'exposé des motifs du projet de loi et de la presse spécialisée, pas d'un texte en vigueur : ils peuvent encore changer au Parlement.

Méfiez-vous des affirmations catégoriques sur NIS 2 — y compris de celles d'un prestataire qui vous vendrait une « mise en conformité NIS 2 obligatoire ». La situation est mouvante : le texte peut être adopté à tout moment. Vérifiez toujours à la source (Légifrance — Journal officiel) plutôt que sur une page d'actualité, fût-elle officielle : la propre FAQ de l'ANSSI sur le sujet n'avait pas été mise à jour depuis septembre 2025 et précise elle-même qu'elle est « dépourvue de force juridique ».

Que faire, alors ? Ne pas attendre. Les mesures qu'exigera NIS 2 — MFA, sauvegardes, gestion des accès, journalisation, plan de crise — sont déjà l'état de l'art recommandé par l'ANSSI et déjà exigées par l'article 32 du RGPD dès qu'il y a des données personnelles. Les entreprises prêtes le seront quel que soit le calendrier politique.

1.6 Les repères officiels sur lesquels s'appuyer

ANSSI — Guide d'hygiène informatique : renforcer la sécurité de son système d'information en 42 mesures (réf. ANSSI-GP-042, v2.0, 2017) : la référence de base, toujours la plus récente à ce jour ;
ANSSI — Recommandations relatives à l'authentification multifacteur et aux mots de passe (réf. ANSSI-PG-078, v1.0, 8 octobre 2021) — voir module 3 ;
CNIL — délibération n° 2022-100 du 21 juillet 2022 (mots de passe) et délibération n° 2025-019 du 20 mars 2025 (authentification multifacteur) ;
Cybermalveillance.gouv.fr — fiches réflexes, assistance aux victimes, et le dispositif 17Cyber (module 6).

Petit piège documentaire : les anciennes adresses ssi.gouv.fr redirigent désormais vers cyber.gouv.fr. Un lien ssi.gouv.fr dans un document est un indice que celui-ci n'a pas été relu depuis longtemps.

Questions associées : thème 1 → QCM.

Vidéo du module 2 — Comment reconnaître un message de phishing ? (Cybermalveillance.gouv.fr)

Objectifs : reconnaître un message frauduleux • lire une adresse web correctement • déjouer la fraude au virement • savoir vérifier par un autre canal • réagir après un clic.

2.1 L'hameçonnage : le principe

L'hameçonnage (phishing) est un message qui usurpe l'identité d'un tiers de confiance — banque, service public, fournisseur, service informatique, dirigeant — pour vous faire livrer des informations, cliquer sur un lien piégé ou effectuer une action (un virement, une installation).

L'hameçonnage est la porte d'entrée de presque tout le reste : vol de compte (menace n° 1 en entreprise), rançongiciel, fraude au virement. Le désamorcer, c'est bloquer la chaîne à son premier maillon.

2.2 Les trois leviers, toujours les mêmes

Levier	Comment il se manifeste	Ce qu'il cherche à obtenir
L'urgence	« Sous 24 h », « immédiatement », « dernier rappel », un compte à rebours	Vous empêcher de réfléchir et de vérifier
L'autorité	Le dirigeant, la banque, les impôts, la police, le service informatique	Obtenir l'obéissance sans discussion
La peur ou le gain	« Votre compte va être fermé », « amende à payer », « colis bloqué » / « remboursement en attente »	Provoquer l'émotion qui court-circuite le raisonnement

La règle d'or : plus un message est pressant, plus il faut ralentir. L'urgence est le signal d'alerte le plus fiable — bien plus que les fautes d'orthographe.

Oubliez le mythe des fautes d'orthographe. Les messages ciblés d'aujourd'hui sont parfaitement rédigés, reprennent votre charte graphique, citent le nom de vos collègues et vos projets en cours. L'absence de faute ne prouve plus rien.

2.3 Lire une adresse web : le seul réflexe technique à retenir

Sur ordinateur, survolez le lien sans cliquer : l'adresse réelle s'affiche en bas du navigateur. Puis lisez-la correctement — et c'est là que presque tout le monde se trompe.

Ce qui compte, c'est ce qui précède immédiatement le premier « / ».
Dans https://www.impots.gouv.fr.paiement-securise.xyz/dossier, vous n'êtes pas chez les impôts : le domaine réellement visité est paiement-securise.xyz. « impots.gouv.fr » n'est qu'un préfixe décoratif placé là pour tromper l'œil.

Piège	Exemple
Sous-domaine trompeur	banque.fr.securite-client.com → le vrai domaine est securite-client.com
Typosquattage	onn-ofr.fr, micros0ft.com, rnonentreprise.fr (« rn » imite « m »)
Nom affiché falsifié	L'expéditeur s'affiche « Direction financière » : ce nom se change en deux clics, il ne prouve rien
QR code	Un lien déguisé, illisible à l'œil nu — et un autocollant se recolle par-dessus un vrai

Le cadenas ne prouve pas l'honnêteté d'un site, seulement que la liaison est chiffrée. Un site frauduleux obtient un certificat gratuitement, en quelques minutes. Un cadenas sur un faux site, c'est un cadenas sur une porte qui n'est pas la vôtre.

2.4 Les variantes à connaître

Nom	Canal / principe
Harponnage (spear phishing)	Hameçonnage ciblé, nourri d'informations réelles sur vous (réseaux sociaux, site de l'entreprise, organigramme). Très crédible : c'est celui qui fonctionne.
Smishing	Par SMS (colis, amende, compte bloqué). Signalement gratuit au 33700.
Vishing	Par téléphone : faux conseiller bancaire, faux support. En forte hausse (le faux conseiller bancaire : + 159 % en 2025 chez les particuliers).
Faux support technique	Écran bloqué, « virus détecté, appelez ce numéro ». Ne jamais appeler : on vous fera installer un outil de prise en main à distance ou payer un dépannage fictif.
Usurpation de numéro	Le numéro affiché est falsifié — y compris un numéro interne. En 2025 : + 517 %. Un appel « qui vient de l'intérieur » ne prouve rien.

2.5 La fraude au virement : l'attaque qui ne casse rien

13,5 % des demandes d'assistance des entreprises en 2025, en hausse de 93 %. Aucune faille technique n'est exploitée : c'est une manipulation, du début à la fin.

Forme	Scénario
Fraude au président	Un « dirigeant » demande un virement urgent et confidentiel, hors procédure — souvent pendant ses congés, un vendredi soir.
Fraude au fournisseur	Un « fournisseur » annonce un changement de coordonnées bancaires. Les factures suivantes partent chez l'escroc.
Fraude au faux technicien	Un « prestataire » demande un virement de test pour valider une migration bancaire.

Le couple qui trahit l'arnaque : urgence + confidentialité. « N'en parlez à personne » n'a qu'un seul but : vous empêcher de vérifier. Aucune opération légitime n'exige qu'on court-circuite le contrôle interne.

La parade universelle : la vérification par un autre canal. Rappelez la personne à un numéro que vous connaissiez déjà — annuaire interne, contrat, ancienne facture. Jamais le numéro indiqué dans le message suspect : il vous mettrait en relation avec le complice, qui confirmerait tout avec le plus grand professionnalisme.

2.6 Pièces jointes et fichiers

« Activez les macros » / « activez le contenu » : refus systématique. C'est un mode d'infection classique — la macro exécute un code malveillant ;
seule la dernière extension compte : facture.pdf.exe est un programme, pas un document ;
clé USB trouvée : on ne la branche jamais, on la remet au service informatique. La clé « perdue » sur un parking est un grand classique ;
logiciel téléchargé : on n'installe rien soi-même sur un poste professionnel.

2.7 J'ai cliqué. Que faire ?

Vous n'êtes pas coupable — vous êtes le capteur d'alerte. Les attaques sont conçues pour tromper des gens intelligents et attentifs. Ce qui décide de l'ampleur des dégâts, ce n'est pas le clic : c'est le délai avant le signalement.

Ne rien cacher, ne rien supprimer (le message est une preuve utile) ;
changer immédiatement le mot de passe saisi — et partout où il était réutilisé ;
prévenir tout de suite le service informatique, même en pleine nuit, même un dimanche ;
si un virement est parti : contacter la banque sans délai — quelques minutes peuvent suffire à le rappeler.

Une entreprise qui sanctionne le salarié qui signale s'assure une seule chose : que le prochain se taira. Et c'est le silence, jamais le clic, qui transforme un incident en catastrophe.

Questions associées : thème 2 → QCM.

Vidéo du module 3 — Sécuriser ses comptes : qu'est-ce que la double authentification ? (Cybermalveillance.gouv.fr)

Objectifs : connaître les exigences réelles de la CNIL • construire un mot de passe solide • comprendre et activer le MFA • protéger son compte, cible n° 1 en entreprise.

3.1 Votre compte est la cible n° 1

Rappel du module 1 : le piratage de compte est la première menace des entreprises (21 % des demandes d'assistance en 2025, en hausse de 52 %). Pas le virus. Pas le pirate en cagoule. Votre compte.

Et parmi tous vos comptes, la messagerie est le plus critique : elle permet de réinitialiser les mots de passe de tous les autres services. Qui tient votre messagerie tient tout le reste. C'est le premier compte à protéger par MFA.

3.2 Ce que dit vraiment la CNIL

Le texte en vigueur est la délibération n° 2022-100 du 21 juillet 2022, qui a abrogé la délibération n° 2017-012 du 19 janvier 2017. Elle raisonne en entropie — une mesure de l'imprévisibilité, en bits : plus elle est haute, plus il faut d'essais pour retrouver le mot de passe.

Cas	Entropie minimale	Exemples donnés par la CNIL
Cas 1 Mot de passe seul, sans aucune mesure complémentaire	80 bits	• 12 caractères minimum avec majuscules, minuscules, chiffres et caractères spéciaux (parmi au moins 37 spéciaux possibles) • ou 14 caractères avec majuscules, minuscules et chiffres, sans spécial obligatoire • ou une phrase de passe d'au moins 7 mots
Cas 2 Mot de passe + restriction d'accès (blocage, temporisation, captcha)	50 bits	• 8 caractères minimum, 3 des 4 catégories • ou une phrase de passe de 5 mots • ou 16 chiffres Restrictions admises : blocage après 10 échecs au plus, temporisation, plafond de tentatives, captcha
Cas 3 Code de déverrouillage d'un matériel que l'on détient (carte à puce)	13 bits	• 4 chiffres minimum, avec blocage après 3 échecs au plus C'est le cas du code de carte bancaire

Deux pièges très répandus, à ne pas reproduire.

La délibération 2022-100 ne contient aucun « cas MFA ». Ses trois cas sont ceux du tableau ci-dessus. Le cas 3 n'est pas de l'authentification multifacteur : c'est le code d'un matériel détenu en propre. Attribuer « 13 bits / 4 chiffres » au MFA serait une faute grave — le MFA fait l'objet d'un texte distinct et postérieur : la délibération CNIL n° 2025-019 du 20 mars 2025.
Le « cas 3 » de l'ancienne délibération de 2017 (mot de passe court + information secrète additionnelle) n'est plus recommandé depuis 2022. Tout support qui le mentionne est périmé.

Deux nuances de méthode, que la CNIL indique elle-même : ses dispositions « n'ont pas un caractère normatif » — c'est l'état de l'art permettant de satisfaire l'article 32 du RGPD, et les niveaux d'entropie sont des limites basses, pas des objectifs.

3.3 Construire un mot de passe réellement solide

Pourquoi « P@ssw0rd2026 ! » est un mauvais mot de passe — bien qu'il fasse 12 caractères et coche les 4 catégories. Il part d'un mot courant et applique des substitutions ultra-classiques (a→@, o→0), que tous les outils d'attaque testent en priorité. Son entropie réelle est très faible. La longueur et l'imprévisibilité comptent — pas la décoration.

La méthode la plus simple : la phrase de passe. Sept mots sans lien logique entre eux (« carotte-tunnel-violon-42-orage-brique-lampe ») sont à la fois plus sûrs et plus faciles à retenir qu'un charabia de 12 caractères. Attention : une citation connue ou un vers célèbre ne convient pas — il figure dans les dictionnaires d'attaque.

Attaque	Principe	La défense
Force brute	Essai automatisé de toutes les combinaisons	La longueur : chaque caractère multiplie le travail
Dictionnaire	Mots courants, prénoms, mots de passe déjà fuités et leurs variantes prévisibles	L'imprévisibilité : ni mot courant, ni date, ni nom propre
Bourrage d'identifiants (credential stuffing)	Rejeu, sur des milliers de sites, de couples identifiant/mot de passe issus de fuites	Un mot de passe différent par service : c'est la seule parade

La faute n° 1 reste la réutilisation. Le mot de passe de votre messagerie professionnelle sur un forum de bricolage : le jour où ce forum se fait pirater — et il se fera pirater — c'est votre entreprise qui est ouverte. Une seule fuite, tous les comptes tombent.

3.4 Le gestionnaire de mots de passe

Personne ne peut mémoriser cinquante phrases de passe différentes. C'est exactement le problème que résout un gestionnaire de mots de passe : un coffre chiffré, protégé par une seule phrase de passe solide, qui génère et retient un mot de passe unique par service.

Bonus rarement connu : il vous protège de l'hameçonnage. Le gestionnaire ne propose le remplissage automatique que sur le domaine exact enregistré. S'il ne propose rien sur une page qui se prétend celle de votre banque, ce n'est pas une panne : c'est une alerte. Le gestionnaire, lui, ne se laisse pas tromper par un sous-domaine décoratif.

Précautions : phrase de passe du coffre solide et unique, MFA activé sur le coffre, et un moyen de récupération sûr. On ne met pas tous ses œufs dans un panier sans vérifier le panier. Et sur un poste partagé ou public, on n'enregistre rien et on se déconnecte.

3.5 L'authentification multifacteur (MFA)

Le MFA combine au moins deux facteurs de nature différente :

Facteur	Exemples
Ce que je sais	Mot de passe, code PIN
Ce que je possède	Téléphone, application d'authentification, clé de sécurité physique
Ce que je suis	Empreinte digitale, reconnaissance faciale

Mot de passe + question secrète n'est PAS du MFA : les deux relèvent de « ce que je sais ». Et la réponse (« nom de votre premier animal ») se trouve souvent… sur les réseaux sociaux de la personne.

Le MFA est la mesure la plus efficace contre le vol de compte — c'est-à-dire contre la menace n° 1 des entreprises. Même volé, votre mot de passe ne suffit plus. À activer en priorité sur la messagerie, les accès distants et les outils financiers.

Second facteur	Niveau	Pourquoi
Clé de sécurité physique (FIDO2)	★★★	Résistante à l'hameçonnage : elle vérifie elle-même le domaine, un faux site ne peut pas la tromper
Application d'authentification	★★	Bon niveau, hors ligne — mais un code peut encore être rejoué sur un faux site en temps réel
Code par SMS	★	Le plus faible : détournable par fraude à la carte SIM — mais infiniment mieux que rien

Deux réflexes vitaux.

Un code MFA reçu sans l'avoir demandé = quelqu'un a déjà votre mot de passe. Vous ne validez rien, vous changez le mot de passe, vous alertez.
Ce code ne se communique à personne — pas même au « support informatique » qui vous appelle. Aucun service légitime ne le demandera jamais.

La « fatigue MFA » consiste à vous bombarder de demandes de validation jusqu'à ce que vous cédiez par lassitude. On refuse, et on signale.

3.6 Les règles de vie du compte

Règle	Pourquoi
Un compte = une personne	Un compte est nominatif : il engage son titulaire. Le prêter détruit la traçabilité — et vous répondez de ce qui sera fait avec.
Moindre privilège	Chacun n'a que les droits nécessaires. Un code malveillant s'exécute avec vos droits : administrateur, il prend toute la machine.
Verrouiller son poste	Windows + L, systématiquement, même pour deux minutes. Éteindre l'écran ne verrouille rien.
Changer quand il le faut	Le renouvellement périodique systématique n'est plus recommandé pour les comptes courants (il pousse à des variantes prévisibles : Mdp01, Mdp02…). Il reste préconisé pour les comptes à privilège.

En revanche, on change sans attendre dès qu'on soupçonne une compromission : fuite annoncée par un service, clic sur un lien d'hameçonnage, code MFA non sollicité, mot de passe communiqué à un tiers.

Signal d'alarme : un service qui vous renvoie votre mot de passe en clair par e-mail le stocke en clair ou de façon réversible — contraire à l'état de l'art (la CNIL impose une empreinte hachée avec un sel aléatoire d'au moins 128 bits). Ce mot de passe ne doit surtout être réutilisé nulle part.

Questions associées : thème 3 → QCM.

Vidéo du module 4 — Les rançongiciels (ransomware) (Cybermalveillance.gouv.fr)

Objectifs : comprendre le mécanisme et la double extorsion • connaître la position officielle sur le paiement • maîtriser la règle 3-2-1 • savoir quoi faire dans les premières minutes.

4.1 Le mécanisme

Un rançongiciel chiffre vos fichiers et réclame une rançon en échange de la clé. Les portes d'entrée les plus fréquentes : un message piégé (module 2), un accès distant mal protégé (module 3), une faille non corrigée.

Remise en perspective (module 1) : le rançongiciel est la 4ᵉ menace des entreprises en volume (8,1 % des demandes d'assistance en 2025) — mais la 3ᵉ des collectivités (13,1 %). Fréquence modérée, gravité maximale : c'est l'attaque qui arrête une entreprise net.

Le rançongiciel ne vise pas que les grands groupes. TPE, PME, collectivités, associations et établissements de santé en sont des cibles majeures — souvent moins protégées, donc plus rentables.

4.2 La double extorsion : pourquoi la sauvegarde ne suffit plus

Les groupes d'attaquants ont changé de méthode. Désormais, ils volent les données avant de les chiffrer. Vous subissez donc deux chantages :

payer pour récupérer vos fichiers (le chiffrement) ;
payer pour qu'ils ne soient pas publiés (la fuite).

Conséquence essentielle. Une sauvegarde parfaite vous permet de restaurer — elle n'empêche pas la publication : les données sont déjà parties. La sauvegarde reste indispensable, mais elle ne traite plus que la moitié du problème. L'autre moitié se joue avant : empêcher l'entrée (modules 2 et 3).

4.3 Faut-il payer ?

La position officielle française est claire : ne pas payer. L'ANSSI et le ministère de la Justice, dans leur guide Attaques par rançongiciels, tous concernés (2020), comme Cybermalveillance.gouv.fr, retiennent que le paiement :

ne garantit pas l'obtention d'une clé — ni qu'elle fonctionne ;
n'empêche pas d'être ciblé à nouveau — au contraire, vous êtes fiché « bon payeur » ;
n'empêche pas la publication des données volées ;
finance l'activité criminelle et les attaques suivantes.

Précision juridique importante — et souvent mal enseignée : payer une rançon n'est pas interdit en droit français. C'est une recommandation de l'ANSSI et de Cybermalveillance, pas une prohibition légale. Affirmer « c'est illégal de payer » est faux. La décision appartient à l'entreprise — mais elle est fortement déconseillée, et elle ne résout rien.

Avant de désespérer : le projet No More Ransom met à disposition des outils de déchiffrement gratuits pour certaines familles de rançongiciels. Cela vaut toujours la peine de vérifier.

4.4 L'assurance cyber et l'article L. 12-10-1

La LOPMI (loi n° 2023-22 du 24 janvier 2023) a créé l'article L. 12-10-1 du code des assurances, en vigueur depuis le 24 avril 2023 :

L'indemnisation par une assurance des pertes causées par une atteinte à un système de traitement automatisé de données (art. 323-1 à 323-3-1 du code pénal) est subordonnée au dépôt d'une plainte de la victime au plus tard 72 heures après la connaissance de l'atteinte. Ne s'applique qu'aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle.

Trois contresens à éviter sur ce texte :

il ne porte pas sur la rançon : il conditionne toute indemnisation d'une atteinte à un système, qu'il y ait rançon ou non. Dire que « la LOPMI encadre le paiement des rançons » est inexact ;
les 72 h courent depuis la connaissance de l'atteinte — pas depuis sa survenance ;
ces 72 h n'ont rien à voir avec les 72 h du RGPD (module 5) : autre fondement, autre destinataire (la justice / la CNIL), autre sanction (perte de la garantie / amende administrative).

Une assurance cyber ne dispense pas de se protéger : elle couvre une partie du préjudice financier, mais ne restaure ni les données, ni l'activité, ni la réputation — et elle exige des mesures de sécurité pour jouer.

4.5 Les sauvegardes : la règle 3-2-1

Chiffre	Signification
3	copies des données
2	supports différents
1	copie hors site

Le point capital : la sauvegarde doit être déconnectée. Un rançongiciel chiffre tout ce qui est accessible depuis le poste. Un disque externe resté branché est chiffré avec le reste — et vous n'avez plus de sauvegarde du tout, seulement l'illusion d'en avoir une.

Attention : synchroniser n'est pas sauvegarder. Un dossier synchronisé vers le cloud recopie fidèlement… les fichiers chiffrés. Il faut un historique de versions ou une copie hors ligne.

Une sauvegarde jamais testée n'est pas une sauvegarde — c'est une hypothèse. Seul un test de restauration prouve qu'elle fonctionne. C'est le jour de la crise que l'on découvre les sauvegardes vides, incomplètes ou illisibles… et il est trop tard.

4.6 Les premières minutes

Écran de rançon, fichiers illisibles, extensions bizarres :

Isoler le poste du réseau — débrancher le câble, couper le Wi-Fi. Le rançongiciel cherche à se propager aux autres postes et aux serveurs : chaque minute compte ;
ne pas l'éteindre brutalement si le service informatique ne le demande pas : la mémoire vive peut contenir des éléments d'analyse, parfois des clés. L'isolement prime sur l'extinction ;
alerter immédiatement — sans attendre d'être sûr ;
ne pas payer, ne pas contacter les attaquants de sa propre initiative.

N'attendez pas le message de rançon pour alerter. Des fichiers qui prennent une extension inhabituelle et ne s'ouvrent plus = chiffrement en cours. C'est maintenant qu'il faut débrancher, pas quand l'écran s'affichera — à ce moment-là, tout sera terminé.

4.7 Prévenir : les quatre mesures qui pèsent le plus

Mesure	Pourquoi elle est décisive
Mises à jour	Beaucoup d'attaques exploitent des failles connues et déjà corrigées : le correctif existait, il n'avait pas été appliqué. (Une faille « zero-day », inconnue de l'éditeur, est bien plus rare que ce qu'on imagine.)
Sauvegardes hors ligne	La seule mesure qui permette de récupérer ses données sans payer
MFA sur les accès distants	Les accès exposés sur Internet et protégés par un simple mot de passe sont une porte d'entrée privilégiée
Moindre privilège	Limite ce qu'un code malveillant peut atteindre en s'exécutant avec vos droits

Un antivirus ne suffit pas : il ne reconnaît pas les codes inconnus ou modifiés. Il fait partie d'un ensemble — il n'en est pas le résumé. Et une mise à jour ne s'installe jamais depuis un lien reçu par message : toujours depuis le système, l'éditeur officiel ou le service informatique.

4.8 Pour les référents : après l'attaque

Conserver les traces (journaux, disque du poste touché) : sans elles, pas d'enquête, pas de plainte solide, et surtout pas de compréhension du mode d'entrée ;
déposer plainte avant la réinstallation — la remise en route détruit les preuves ;
ne pas se contenter de restaurer : si la porte d'entrée n'est pas identifiée et refermée, l'attaquant revient — parfois par un accès qu'il a pris soin de laisser en place ;
notifier la CNIL si des données personnelles sont touchées (module 5) : le chiffrement porte atteinte à leur disponibilité, et le vol à leur confidentialité ;
prévoir la communication de crise : messagerie et annuaire font partie du système compromis. Il faut des moyens de secours et une liste de contacts hors ligne — sur papier. Un plan de continuité stocké sur le serveur chiffré ne sert à rien.

Questions associées : thème 4 → QCM.

Vidéo du module 5 — Qu'est-ce qu'une donnée personnelle ? (CNIL)

Vidéo diffusée via la plateforme officielle de la CNIL (video.cnil.fr).

Objectifs : reconnaître une donnée personnelle • connaître les obligations de sécurité et de notification • savoir ce qu'est une violation de données • distinguer les vrais plafonds de sanction.

5.1 Qu'est-ce qu'une donnée personnelle ?

Toute information se rapportant à une personne physique identifiée ou identifiable, directement ou indirectement. C'est le « indirectement » qui surprend.

C'est une donnée personnelle	Ce ne l'est pas
Nom, adresse e-mail (même professionnelle et nominative), téléphone, photo, adresse IP, plaque d'immatriculation, identifiant de connexion, données de géolocalisation, enregistrement vocal	Des données vraiment anonymes, impossibles à réassocier à quiconque — c'est bien plus rare qu'on ne le croit

Un pseudonyme ou un numéro de client ne rend pas les données anonymes : si l'on peut remonter à la personne avec une table de correspondance, ce sont toujours des données personnelles. C'est de la pseudonymisation — une mesure de sécurité utile, pas une sortie du RGPD.

5.2 Les données sensibles

Certaines catégories (art. 9 du RGPD) sont particulièrement protégées : santé, origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, biométriques, vie ou orientation sexuelle. Leur traitement est interdit par principe, sauf exceptions encadrées.

Concrètement, au bureau : un arrêt de travail, un aménagement de poste, un justificatif d'absence peuvent révéler des données de santé. On ne les fait pas circuler « pour information », on ne les stocke pas dans un dossier partagé accessible à tous.

5.3 Vos réflexes au quotidien

Réflexe	Pourquoi
Minimiser	On ne collecte et on ne transmet que ce qui est nécessaire. La donnée qu'on n'a pas ne peut pas fuir.
Vérifier le destinataire	La complétion automatique du champ « À : » est une cause de fuite massive. Un homonyme, et le fichier part dehors.
Utiliser Cci	Un envoi groupé en « À » ou « Cc » divulgue toutes les adresses à tout le monde : c'est une violation de données, et un grand classique de la mise en demeure CNIL.
Chiffrer / protéger	Un fichier de données sensibles ne s'envoie pas en clair en pièce jointe. Mot de passe transmis par un autre canal — jamais dans le même message.
Écran propre	Poste verrouillé, papiers rangés, rien d'oublié sur l'imprimante. Le risque n'est pas toujours numérique.
Ne pas contourner	Pas de fichier client copié sur une clé USB personnelle, pas d'envoi vers sa messagerie privée « pour travailler ce soir » : c'est le shadow IT, et il fait sortir la donnée de toute protection.

5.4 La violation de données

Une violation, ce n'est pas seulement une fuite. C'est toute atteinte à la confidentialité (divulgation), à l'intégrité (altération) ou à la disponibilité (perte, destruction, chiffrement) de données personnelles.

Donc : un rançongiciel qui chiffre un fichier clients est une violation, même si rien n'a fuité — la disponibilité est atteinte. De même qu'un ordinateur portable perdu, un e-mail envoyé au mauvais destinataire, ou une armoire de dossiers laissée ouverte.

Obligation	Fondement	Seuil	Délai
Notifier la CNIL	Art. 33 du RGPD	Violation susceptible d'engendrer un risque	« dans les meilleurs délais et, si possible, 72 h au plus tard » après en avoir pris connaissance
Informer les personnes	Art. 34 du RGPD	Violation susceptible d'engendrer un risque élevé	« dans les meilleurs délais »

Quatre nuances que presque tout le monde rate :

le texte dit « si possible » 72 h : ce n'est pas un couperet absolu, mais toute notification tardive doit être motivée ;
le délai court à compter de la prise de connaissance, pas de la survenance ;
les deux seuils diffèrent : « risque » pour la CNIL, « risque élevé » pour les personnes. Une violation peut donc devoir être notifiée à la CNIL sans être communiquée aux personnes ;
le sous-traitant notifie au responsable de traitement (art. 33 §2), pas à la CNIL.

Votre rôle, en pratique : ces délais très courts ne courent que si l'entreprise sait. Un e-mail parti au mauvais destinataire, un fichier laissé accessible : signalez tout de suite — c'est votre signalement qui déclenche la montre.

5.5 Les sanctions : les vrais plafonds

Plafond	Ce qu'il sanctionne
10 M€ ou 2 % du CA (art. 83 §4)	Les obligations des responsables et sous-traitants : sécurité (art. 32), notification des violations (art. 33 et 34), DPO, analyse d'impact, privacy by design (art. 25 à 39)
20 M€ ou 4 % du CA (art. 83 §5)	Les principes de base (licéité, consentement — art. 5 à 9), les droits des personnes (art. 12 à 22), les transferts hors UE (art. 44 à 49)

Deux erreurs classiques. D'abord, beaucoup de supports placent la sécurité et la notification sous le plafond haut : c'est faux, elles relèvent du plafond bas (10 M€ / 2 %). Ensuite, le montant retenu est le plus élevé des deux — pas le plus faible, et pas « au choix ». Le pourcentage porte sur le chiffre d'affaires mondial du groupe, pas sur celui de l'entité française.

5.6 Vie privée au travail : ce que dit vraiment la jurisprudence

Votre employeur peut-il ouvrir vos fichiers ? La réponse tient en deux arrêts — et presque tout le monde n'en connaît qu'un.

Arrêt	Ce qu'il pose
Nikon Cass. soc., 2 octobre 2001, n° 99-42.942	Le salarié a droit, même au temps et au lieu de travail, au respect de l'intimité de sa vie privée, ce qui implique le secret des correspondances. L'employeur ne peut pas prendre connaissance des messages personnels — même s'il a interdit tout usage non professionnel.
L'arrêt qui nuance tout Cass. soc., 18 octobre 2006, n° 04-48.025	Les dossiers et fichiers créés par le salarié avec l'outil professionnel sont présumés avoir un caractère professionnel, sauf s'il les identifie comme personnels — auquel cas l'employeur peut y accéder hors sa présence.

S'arrêter à Nikon, c'est enseigner un état du droit vieux de 25 ans. Nikon n'est pas abrogé — le secret des correspondances demeure — mais depuis 2006, la présomption joue en faveur du caractère professionnel. C'est au salarié d'identifier ce qui est personnel ; à défaut, l'employeur y accède hors sa présence.

Et attention aux noms ambigus : un dossier « Mes documents », votre prénom, ou le nom du disque dur ne suffisent pas à conférer le caractère personnel. Le conseil pratique : si vous devez vraiment garder quelque chose de personnel sur le poste, un dossier explicitement nommé « personnel » — et le strict minimum.

La charte informatique de votre entreprise fixe les usages autorisés et les contrôles possibles. Elle vous est opposable, et prime sur ce cours en cas de divergence. Notez la limite posée par Nikon : même une interdiction d'usage personnel inscrite dans la charte ne lève pas le secret des correspondances.

Questions associées : thème 5 → QCM.

Vidéo du module 6 — Sécurité des appareils mobiles (Cybermalveillance.gouv.fr)

Objectifs : travailler en mobilité sans exposer l'entreprise • connaître le cadre du télétravail • savoir exactement quoi faire, dans quel ordre, en cas d'incident • connaître 17Cyber et les interlocuteurs officiels.

6.1 Le télétravail : ce que dit le cadre

L'accord national interprofessionnel (ANI) du 26 novembre 2020 relatif à la mise en œuvre réussie du télétravail, étendu par arrêté du 2 avril 2021 (donc applicable à tous les employeurs de son champ, même non adhérents), pose que :

« L'usage des outils numériques est encadré par l'employeur », auquel il incombe de prendre, dans le respect du RGPD et des prescriptions de la CNIL, les mesures nécessaires pour assurer la protection des données personnelles du salarié en télétravail et de celles qu'il traite à des fins professionnelles. L'employeur doit l'informer des règles applicables, des restrictions d'usage des équipements et des sanctions encourues.

Deux précisions honnêtes : l'ANI est un accord collectif étendu, pas une loi — sa portée est conventionnelle. Et il n'invente aucune règle technique : il renvoie au RGPD et à la CNIL. Le présenter comme une source autonome d'obligations de cybersécurité serait exagéré.

6.2 Les règles de la mobilité

Situation	La règle
Wi-Fi public (gare, hôtel, café)	Réseau non maîtrisé : on utilise le VPN de l'entreprise, ou à défaut le partage de connexion de son téléphone. Sans VPN, on s'abstient de tout ce qui est sensible.
Bornes de recharge USB	Une prise USB inconnue peut transporter des données, pas seulement du courant. On branche sur une prise électrique, avec son propre chargeur.
Écran dans le train	Le voisin lit par-dessus l'épaule : filtre de confidentialité, et pas de dossier sensible dans un lieu public. Ni de conversation téléphonique confidentielle.
Matériel jamais laissé sans surveillance	Ni dans une voiture, ni dans une chambre d'hôtel, ni dans une consigne. Le vol d'ordinateur reste une cause majeure de fuite.
Chiffrement du disque	C'est ce qui fait la différence entre un ordinateur volé et une violation de données à notifier à la CNIL.
Téléphone	Verrouillage, mises à jour, applications issues des magasins officiels uniquement. Le téléphone porte souvent le second facteur (module 3) : c'est une clé, pas un gadget.

6.3 À la maison

La box : mot de passe Wi-Fi solide (le mot de passe par défaut se change), chiffrement WPA2 ou WPA3, et l'interface d'administration ne reste pas avec son mot de passe d'usine ;
séparer : le poste professionnel n'est pas l'ordinateur familial. Pas de compte professionnel sur la machine des enfants, pas de jeux sur le poste de l'entreprise ;
les assistants vocaux écoutent la pièce : on n'organise pas une réunion confidentielle à côté ;
l'imprimante personnelle : un document imprimé à la maison sort du périmètre de l'entreprise — et finit rarement dans un broyeur ;
la charte et les consignes de votre service informatique priment sur tout le reste.

Le télétravail déplace aussi la fraude au virement : isolé chez soi, on vérifie moins, on ne peut pas se tourner vers le collègue d'à côté pour demander « tu trouves ça normal, toi ? ». Le doute doit rester un réflexe, et le téléphone votre outil de vérification.

6.4 Réagir à un incident : l'ordre des gestes

Vidéo complémentaire — 17Cyber, le nouveau réflexe cyber pour tous (Cybermalveillance.gouv.fr)

Les 4 gestes, dans l'ordre :

ISOLER — couper le réseau du poste concerné (câble, Wi-Fi), sans l'éteindre brutalement ;
ALERTER — le service informatique, immédiatement, même si vous n'êtes pas sûr ;
PRÉSERVER — ne rien supprimer : messages, écrans, journaux sont des preuves ;
NE PAS IMPROVISER — ni payer, ni contacter les attaquants, ni « réparer » soi-même.

Le seul vrai réflexe à retenir de toute cette formation : en cas de doute, on alerte. Une fausse alerte ne coûte rien. Un silence de deux heures peut coûter l'entreprise.

6.5 Les interlocuteurs officiels

Dispositif	À quoi il sert
17Cyber (17cyber.gouv.fr)	Le réflexe cyber pour les particuliers, les entreprises et les collectivités : un diagnostic en ligne, des conseils personnalisés, une mise en relation avec la police ou la gendarmerie et, si besoin, avec des prestataires de proximité. Le « 17 » du numérique.
Cybermalveillance.gouv.fr	Le dispositif national d'assistance aux victimes (GIP ACYMA) : fiches réflexes, annuaire de prestataires référencés, contenus de sensibilisation.
La CNIL	Notification des violations de données personnelles (art. 33 du RGPD, module 5).
L'ANSSI (cyber.gouv.fr)	L'agence nationale : référentiels, guides, et traitement des incidents pour les entités critiques (OIV, OSE) — pas un service d'assistance pour toutes les entreprises.
Police / gendarmerie	Dépôt de plainte — indispensable pour l'assurance (art. L. 12-10-1, module 4), et à faire avant la réinstallation des systèmes.
33700 / Signal Spam	Signalement des SMS et appels frauduleux / des messages d'hameçonnage.

Le récapitulatif des obligations (état du droit au 17 juillet 2026) :

Plainte pénale : aucune obligation générale — c'est un droit. Mais elle conditionne l'indemnisation par l'assurance (72 h, art. L. 12-10-1) et elle est indispensable en pratique ;
notification CNIL : obligatoire si des données personnelles sont touchées et qu'il existe un risque (art. 33) ;
signalement ANSSI : obligatoire pour les OIV et les OSE (loi n° 2018-133, NIS 1). Les obligations NIS 2 ne sont pas encore applicables en France (module 1).

Vous lirez souvent que « NIS 2 impose de notifier l'ANSSI sous 24 heures ». Au 17 juillet 2026, c'est faux en France : faute de transposition, ce mécanisme n'est pas opposable. Aujourd'hui, c'est le régime NIS 1 qui s'applique aux OSE.

6.6 Ce qu'il faut retenir de toute la formation

Module	Le réflexe
1 — La menace	En entreprise, la cible n° 1 est votre compte, pas votre machine
2 — Hameçonnage	Plus c'est urgent, plus il faut ralentir — et vérifier par un autre canal
3 — Mots de passe	Un mot de passe par service, un gestionnaire, et le MFA partout où c'est possible
4 — Rançongiciels	La sauvegarde déconnectée et testée est la seule assurance qui restaure vraiment
5 — Données	Minimiser, vérifier le destinataire, et signaler toute violation sans attendre
6 — Incident	Isoler, alerter, préserver, ne pas improviser — et alerter même en cas de doute

Vous n'avez rien à réparer vous-même. On ne vous demande ni d'être expert, ni d'être infaillible. On vous demande de douter, de vérifier et d'alerter. C'est tout — et c'est ce qui arrête la grande majorité des attaques.

Questions associées : thème 6 → QCM.

🎯 Lancer l'évaluation

Sources

Toutes les sources ci-dessous ont été vérifiées dans leur version en vigueur au 17 juillet 2026.

Règlement (UE) 2016/679 « RGPD » du 27 avril 2016 — entré en vigueur le 24 mai 2016, applicable depuis le 25 mai 2018 (art. 99) : sécurité des traitements (art. 32), notification des violations à l'autorité de contrôle (art. 33) et communication aux personnes (art. 34), données sensibles (art. 9), sanctions (art. 83 §4 : 10 M€/2 % — art. 83 §5 : 20 M€/4 %) — eur-lex.europa.eu
Loi n° 78-17 du 6 janvier 1978 « Informatique et Libertés », version en vigueur — modifiée en dernier lieu par la loi n° 2026-403 du 26 mai 2026 de simplification de la vie économique (art. 59 et 60 ; en vigueur au 28 mai 2026) — legifrance.gouv.fr
Code pénal, art. 323-1 à 323-8 — atteintes aux systèmes de traitement automatisé de données : accès ou maintien frauduleux 3 ans et 100 000 € (art. 323-1 al. 1, peine relevée par la LOPMI, loi n° 2023-22 du 24 janvier 2023) ; entrave (323-2) et atteinte aux données (323-3) 5 ans et 150 000 € ; tentative punie des mêmes peines (art. 323-7) — legifrance.gouv.fr
Code des assurances, art. L. 12-10-1, créé par la LOPMI (loi n° 2023-22 du 24 janvier 2023, art. 5), en vigueur depuis le 24 avril 2023 — indemnisation subordonnée au dépôt de plainte sous 72 h après connaissance de l'atteinte ; personnes morales et professionnels uniquement — legifrance.gouv.fr
Directive (UE) 2022/2555 « NIS 2 » du 14 décembre 2022, en vigueur le 16 janvier 2023, transposition due au 17 octobre 2024 — non transposée en France au 17 juillet 2026 : projet de loi adopté par le Sénat en 1re lecture le 12 mars 2025, jamais examiné en séance publique à l'Assemblée nationale ; renvoi de la France devant la CJUE le 8 juillet 2026 par la Commission européenne, avec demande de sanctions financières — assemblee-nationale.fr · digital-strategy.ec.europa.eu
Loi n° 2018-133 du 26 février 2018 — transposition de NIS 1 : régime applicable aux OSE et FSN, toujours en vigueur dans l'attente de NIS 2 — legifrance.gouv.fr
CNIL — délibération n° 2022-100 du 21 juillet 2022 portant recommandation relative aux mots de passe et autres secrets partagés, abrogeant la délibération n° 2017-012 du 19 janvier 2017 : 3 cas (80 bits / 50 bits / 13 bits), sel aléatoire ≥ 128 bits, stockage en clair interdit, fin du renouvellement périodique systématique pour les comptes standard — legifrance.gouv.fr
CNIL — délibération n° 2025-019 du 20 mars 2025 portant recommandation relative à l'authentification multifacteur — cnil.fr
ANSSI — Guide d'hygiène informatique : renforcer la sécurité de son système d'information en 42 mesures (réf. ANSSI-GP-042, v2.0, 2017) ; Recommandations relatives à l'authentification multifacteur et aux mots de passe (réf. ANSSI-PG-078, v1.0, 8 octobre 2021) ; Attaques par rançongiciels, tous concernés (ANSSI et ministère de la Justice, v1.0, 4 septembre 2020) — cyber.gouv.fr
ANSSI — Panorama de la cybermenace 2025, réf. CERTFR-2026-CTI-002, mars 2026 : 3 586 événements de sécurité traités (− 18 %), dont 2 209 signalements et 1 366 incidents — cyber.gouv.fr
Cybermalveillance.gouv.fr (GIP ACYMA) — Rapport d'activité et état de la menace 2025, publié le 26 mars 2026 : 504 000 demandes d'assistance (+ 20 %), 93 % de particuliers et 7 % de professionnels ; top des menaces 2025 — particuliers : hameçonnage 33 %, piratage de compte 11 % ; entreprises et associations : piratage de compte 21 %, hameçonnage 16 %, fraude au virement 13,5 %, rançongiciels 8,1 % — cybermalveillance.gouv.fr
Jurisprudence — Cass. soc., 2 octobre 2001, n° 99-42.942 (« Nikon » : secret des correspondances, messages personnels) ; Cass. soc., 18 octobre 2006, n° 04-48.025 (présomption de caractère professionnel des fichiers non identifiés comme personnels) — legifrance.gouv.fr
ANI du 26 novembre 2020 relatif à la mise en œuvre réussie du télétravail, étendu par arrêté du 2 avril 2021 (JO du 13 avril 2021) — legifrance.gouv.fr
17Cyber — dispositif national d'assistance et de mise en relation (17cyber.gouv.fr) ; No More Ransom — outils de déchiffrement gratuits ; 33700 — signalement des SMS et appels frauduleux

Vidéos utilisées

« Cybersécurité : adoptons les bons réflexes face aux menaces cyber » — Gouvernement
« Comment reconnaître un message de phishing ? » — Cybermalveillance.gouv.fr
« Sécuriser ses comptes : qu'est-ce que la double authentification ? » — Cybermalveillance.gouv.fr
« Les rançongiciels (Ransomware) » — Cybermalveillance.gouv.fr
« Qu'est-ce qu'une donnée personnelle ? » — CNIL (plateforme video.cnil.fr)
« Sécurité des appareils mobiles » — Cybermalveillance.gouv.fr
« 17Cyber, le nouveau réflexe cyber pour tous » — Cybermalveillance.gouv.fr

Les vidéos de tiers sont diffusées via le lecteur officiel de leurs auteurs (YouTube, video.cnil.fr), qui en restent propriétaires ; elles ne sont ni ré-hébergées ni modifiées (simple intégration du lecteur officiel) et peuvent cesser d'être disponibles à leur initiative. Chaque vidéo est créditée de son auteur dans son intitulé ci-dessus. Les textes de cours ont été rédigés par ONN/OFF Studio d'après les sources officielles citées, sans reproduction intégrale d'un document tiers ; questionnaires, mises en forme et plateforme : © ONN/OFF Studio.