À quelle fréquence devriez-vous effectuer des simulations d’hameçonnage ?

Crédit de l’image de couverture : photo de l’U.S. Air Force par le Senior Airman Sir Wyrick, domaine public, via Wikimedia Commons.

La plupart des organisations devraient lancer des simulations de phishing selon un rythme mensuel ou trimestriel prévisible, puis ajouter un suivi ciblé lorsque le risque évolue. Les simulations mensuelles conviennent bien aux équipes capables d’examiner rapidement les résultats et d’offrir un accompagnement léger. Les simulations trimestrielles sont souvent préférables pour les petites équipes, les environnements fortement réglementés ou les organisations qui commencent encore à instaurer la confiance avec les employés et les comités d’entreprise.

Le mauvais rythme se situe généralement à l’un des deux extrêmes : un exercice annuel purement formel que personne ne retient, ou un flot continu de tests qui finit par dresser les gens contre la sécurité. L’objectif n’est pas d’envoyer davantage d’e-mails de phishing simulés. L’objectif est d’aider les employés à reconnaître les demandes suspectes, à les signaler plus vite, et de donner aux équipes sécurité des preuves que le travail de sensibilisation produit des effets dans la durée.

Ce guide s’adresse aux ingénieurs sécurité, aux administrateurs IT, aux RSSI et aux responsables conformité qui conçoivent un programme de simulation de phishing plus sûr. Il se concentre uniquement sur la sensibilisation défensive. Il n’inclut pas de modèles de phishing, de tactiques de collecte d’identifiants, de contournements de livraison ni d’instructions opérationnelles d’attaque.

La réponse courte : commencez par un rythme trimestriel, puis évoluez vers le mensuel

Si vous repartez de zéro, des simulations de phishing trimestrielles suffisent généralement à établir une base sans submerger les employés ni les administrateurs. Après deux ou trois cycles, de nombreuses organisations passent à des simulations mensuelles légères, surtout si elles disposent d’une planification automatisée, d’un reporting clair et d’un suivi pédagogique utile.

Un modèle de départ pratique ressemble à ceci :

État de l’organisation	Cadence suggérée	Pourquoi cela fonctionne
Nouveau programme, faible niveau de confiance, temps d’administration limité	Trimestrielle	Crée une base tout en laissant du temps pour la communication, l’examen et l’alignement des politiques.
Équipe petite ou moyenne avec un peu d’automatisation	Mensuelle ou toutes les 6 à 8 semaines	Maintient la vigilance sans transformer chaque campagne en gros projet.
Rôles à haut risque comme la finance, les RH, l’IT et les dirigeants	Mensuelle plus accompagnement ciblé	Ces équipes gèrent des demandes sensibles et profitent d’un entraînement plus pertinent.
Environnement réglementé ou très orienté audit	Base trimestrielle plus suivi documenté	Fournit des preuves de cadence tout en réduisant le risque de campagnes précipitées et mal encadrées.
Après un incident majeur ou un changement de प्रक्रिया	Simulation ciblée dans les 30 à 60 jours	Renforce une leçon précise tant que le risque reste d’actualité.

La cadence doit être assez monotone pour durer, et assez variée pour enseigner. Si les employés peuvent prévoir « le test mensuel de phishing » rien qu’en se basant sur le calendrier, le programme est trop mécanique.

Pourquoi les tests annuels de phishing sont généralement trop faibles

Les simulations de phishing annuelles sont faciles à programmer et faciles à expliquer dans un calendrier de conformité. Elles sont aussi faciles à oublier.

Un test annuel peut établir une base, mais il provoque rarement un changement de comportement à lui seul. Les habitudes changent grâce à la répétition, à des boucles de retour courtes et à des normes de signalement visibles. Si les employés ne voient qu’un seul e-mail de phishing simulé par an, les équipes sécurité obtiennent un simple point de données, pas une tendance exploitable.

Les campagnes annuelles posent aussi un problème de signalement. Un seul taux de clics ne dit pas si :

• les employés signalent plus vite les messages suspects
• les comportements à risque se concentrent dans certains rôles ou certains flux de travail
• le suivi améliore les résultats
• les nouveaux arrivants comprennent les attentes en matière de signalement
• les tendances récentes de menace se reflètent dans le contenu de sensibilisation

Pour les équipes conformité, la question n’est pas seulement la fréquence. C’est la qualité des preuves. Un programme exécuté une fois par an peut montrer qu’une formation a eu lieu, mais il fournit une preuve plus faible que l’organisation examine les résultats et améliore le contrôle.

Pourquoi des simulations trop fréquentes peuvent se retourner contre vous

Lancer des simulations de phishing trop souvent peut créer un autre échec : la lassitude.

Les employés peuvent finir par considérer chaque message inhabituel comme une ruse de l’équipe sécurité. Les managers peuvent s’opposer aux campagnes parce qu’elles perturbent le travail. Les services d’assistance peuvent recevoir davantage de bruit qu’ils ne peuvent en traiter. Les comités d’entreprise ou les parties prenantes liées à la vie privée peuvent se demander si le programme est proportionné.

Une fréquence élevée n’est utile que lorsque l’organisation a la maturité opérationnelle pour l’absorber. Avant d’augmenter la cadence, vérifiez si vous pouvez :

• examiner les résultats en quelques jours ouvrés
• expliquer ce qui a changé après chaque campagne
• garder le suivi pédagogique court et pertinent
• éviter la mise au pilori ou les scores punitifs
• segmenter les campagnes par rôle, région et risque
• documenter les validations, la conservation des données et les règles de reporting

Si vous ne pouvez pas boucler la boucle, n’augmentez pas la fréquence. Plus de campagnes sans plus d’apprentissage, c’est juste plus de données.

Construisez la cadence autour de boucles d’apprentissage, pas du nombre de campagnes

Une bonne cadence de simulation de phishing repose sur quatre éléments :

1. Base initiale
2. Pratique
3. Suivi
4. Revue

La base initiale indique où en est l’organisation. La pratique offre aux employés des expositions répétées à des points de décision réalistes mais sans danger. Le suivi transforme les erreurs en courts moments d’apprentissage. La revue montre si le programme améliore les comportements et si les attentes de gouvernance sont respectées.

C’est là que le reporting des simulations de phishing devient important. Le taux de clics, à lui seul, ne suffit pas. Les indicateurs utiles incluent le taux de signalement, le délai de signalement, la tendance aux risques répétés, la couverture, le taux de fin de formation et les exports de preuves. AutoPhish couvre ces métriques plus en détail dans le guide sur le reporting des simulations de phishing.

Votre cadence doit laisser suffisamment de temps pour que cette boucle aille jusqu’au bout. Une campagne mensuelle peut fonctionner si le reporting et le suivi sont largement automatisés. Une campagne trimestrielle peut être préférable si chaque revue exige un travail manuel sur tableur.

Un modèle de cadence que les équipes sécurité peuvent vraiment opérer

Pour beaucoup d’organisations, le modèle le plus durable est une cadence en couches :

Couche	Fréquence	Objectif
Base à l’échelle de l’entreprise	Trimestrielle	Mesure la sensibilisation globale et produit des preuves d’un fonctionnement récurrent du contrôle.
Scénarios par rôle	Mensuelle ou toutes les 6 à 8 semaines	Donne une pratique pertinente aux équipes à plus haut risque sans tester tout le monde en permanence.
Nouveaux arrivants	Pendant l’onboarding, puis lors du cycle normal suivant	Fixe les attentes tôt et évite de laisser les nouveaux employés sans formation pendant des mois.
Suivi après incident	Dans les 30 à 60 jours	Renforce une leçon précise après une vraie vague de phishing, un changement de processus ou un quasi-incident.
Revue de la direction	Trimestrielle	Transforme les métriques en décisions, pas en graphiques flatteurs.

Ce modèle maintient le programme vivant sans forcer chaque employé à participer à chaque campagne. Il aide aussi les équipes conformité à démontrer le périmètre, la cadence et la revue dans la durée.

Ajustez la fréquence selon le risque, pas selon les réglages par défaut du fournisseur

De nombreuses plateformes de simulation de phishing permettent de planifier facilement des campagnes récurrentes. C’est utile, mais les réglages par défaut du fournisseur ne doivent pas décider de votre modèle de risque.

Servez-vous de ces facteurs pour choisir la fréquence :

• Risque métier : la finance, les RH, l’IT, le juridique, les achats et les dirigeants font souvent face à des scénarios de phishing à plus fort impact.
• Turnover : plus il y a de nouveaux arrivants, plus il faut une cadence d’onboarding et de base solide.
• Incidents récents : une vraie vague de phishing, une compromission de messagerie, une tentative de fraude à la facture ou une tendance d’abus du MFA peut justifier un suivi ciblé.
• Capacité opérationnelle : si la sécurité ne peut pas examiner les signalements, répondre aux questions des utilisateurs ou ajuster la formation, la cadence est trop agressive.
• Attentes en matière de vie privée : les comités d’entreprise, les représentants du personnel et les équipes de protection des données peuvent exiger des notices claires, des limites de conservation et des mesures proportionnées.
• Preuve de conformité : certaines équipes ont besoin d’un contrôle de sensibilisation récurrent documenté, mais doivent éviter d’affirmer que les simulations, à elles seules, « garantissent la conformité ».

Pour les programmes sensibles à la vie privée, associez les décisions de cadence à des règles claires de minimisation des données, de conservation et de reporting. Le guide d’AutoPhish sur la formation au phishing respectueuse de la vie privée est un bon complément si vous devez impliquer des comités d’entreprise ou des parties prenantes de la protection des données.

Ce qu’il faut faire varier d’une simulation à l’autre

La cadence ne veut pas dire répéter le même test chaque mois.

Les employés doivent s’entraîner à différents réflexes défensifs :

• reconnaître des demandes suspectes de paiement ou de facture
• vérifier les changements de coordonnées bancaires ou d’informations de paie
• signaler des QR codes ou des messages mobiles suspects
• marquer une pause avant d’accorder des droits à une application SaaS
• vérifier le contexte de l’expéditeur avant d’agir sous la pression de l’urgence
• utiliser le canal de signalement approuvé au lieu de transférer des captures d’écran

Gardez les scénarios assez réalistes pour enseigner, mais pas au point de faire de la formation un mode d’emploi pour attaquants. Une bonne règle : simulez le point de décision, pas la chaîne d’exploitation.

Par exemple, il est utile de former les employés à marquer une pause avant d’approuver une demande inhabituelle. En revanche, il n’est pas utile de publier des instructions détaillées sur le contournement des contrôles de messagerie ou la récolte d’identifiants. Le guide public de la CISA sur le phishing constitue une bonne référence externe pour le vocabulaire de reconnaissance et de signalement défensifs.

Comment éviter la fatigue de formation

La fatigue de formation ne vient pas seulement de la fréquence. Elle vient d’une mauvaise conception du programme.

Les employés acceptent plus volontiers les simulations de phishing quand le programme est clair, équitable et utile. Cela signifie :

• annoncer l’existence et l’objectif du programme avant les tests
• éviter d’humilier les employés ou de publier des listes individuelles d’échecs
• garder les leçons de suivi courtes
• expliquer en quoi le signalement aide l’équipe sécurité
• varier les scénarios sans utiliser d’appâts cruels ou émotionnellement manipulateurs
• éviter de tester pendant les périodes connues de forte pression, sauf raison solide
• montrer aux dirigeants et aux équipes les progrès agrégés

Si les employés pensent que le programme est là pour les piéger, ils chercheront avant tout à ne pas se faire prendre. S’ils pensent qu’il est là pour rendre le signalement plus sûr et plus rapide, les métriques deviennent bien plus utiles.

Quand des simulations mensuelles de phishing ont du sens

Des simulations mensuelles de phishing ont du sens lorsque l’organisation dispose d’un modèle opérationnel reproductible.

Adoptez une cadence mensuelle si :

• les simulations sont faciles à planifier et à approuver
• les définitions de reporting sont stables
• le suivi pédagogique est automatisé ou léger
• la sécurité peut examiner les résultats rapidement
• les managers comprennent l’objectif
• les règles de vie privée et de relations sociales sont déjà établies
• le programme mesure le comportement de signalement, pas seulement les clics

Mensuel ne veut pas dire que chaque employé reçoit la même simulation tous les mois. Un meilleur modèle consiste à faire tourner les cohortes et les rôles. La finance peut recevoir un scénario, l’IT un autre, et les équipes générales une base plus légère. Le programme reste actif, mais il ne ressemble pas à un test permanent.

Si votre équipe compare la charge opérationnelle des campagnes récurrentes, l’article sur les tests de phishing automatisés vs les campagnes manuelles explique pourquoi la cadence déraille souvent quand trop de travail reste manuel.

Quand les simulations trimestrielles de phishing sont préférables

Les simulations trimestrielles de phishing sont souvent le meilleur point de départ lorsque l’organisation a besoin de contrôle et de confiance plus que de vitesse.

Adoptez une cadence trimestrielle si :

• vous lancez un nouveau programme
• des représentants du personnel doivent examiner l’approche
• l’équipe sécurité a peu de temps à consacrer aux campagnes
• l’organisation est très sensible aux préoccupations liées à la surveillance des employés
• la direction veut des dossiers de preuve propres plutôt que des tableaux de bord bruyants
• chaque campagne exige une coordination manuelle entre régions ou unités métier

Trimestriel ne doit pas vouloir dire passif. Vous pouvez toujours proposer une formation à l’onboarding, publier de courts rappels, examiner les vrais exemples de phishing signalés et améliorer les flux de signalement entre deux cycles de simulation.

L’erreur serait de traiter le trimestriel comme un « on configure et on oublie ». Une cadence trimestrielle doit quand même inclure revue, suivi et décisions documentées.

Un simple calendrier de simulation de phishing sur 12 mois

Voici une structure annuelle pratique pour une organisation de taille moyenne :

Mois	Activité
Janvier	Rafraîchissement de la communication du programme, rappel du canal de signalement approuvé, simulation de base.
Février	Revue des résultats, mise à jour de la formation pour les groupes à haut risque.
Mars	Simulation par rôle pour la finance ou les RH.
Avril	Revue trimestrielle de la direction et export des preuves.
Mai	Simulation pour l’ensemble du personnel avec un autre point de décision.
Juin	Vérification de la cohorte des nouveaux arrivants et revue du flux de signalement.
Juillet	Scénario par rôle pour l’IT, les administrateurs ou les dirigeants.
Août	Revue de la vie privée et de la conservation ; ajustement des notices si nécessaire.
Septembre	Simulation pour l’ensemble du personnel et formation de suivi.
Octobre	Renforcement du mois de la sensibilisation à la sécurité sans surcharger les employés.
Novembre	Simulation ciblée basée sur les tendances de menace actuelles.
Décembre	Revue annuelle des tendances, enseignements tirés, décision sur la cadence de l’année suivante.

Ce calendrier n’est qu’un point de départ. La meilleure cadence est celle que votre équipe peut tenir de façon régulière sans perdre la confiance.

Ce que les équipes conformité devraient documenter

Les simulations de phishing peuvent soutenir les preuves de conformité, mais elles ne doivent pas être présentées comme une garantie magique de conformité.

Documentez le programme comme une activité récurrente de sensibilisation et d’amélioration du contrôle :

• objectif et périmètre du programme
• calendrier et cadence des campagnes
• processus d’approbation
• notice aux employés et garde-fous de vie privée
• règles de conservation des données
• définitions des métriques
• résultats agrégés
• actions de suivi
• revue par la direction ou le responsable du contrôle
• changements apportés sur la base des résultats

Ce type de preuve est généralement plus défendable qu’un simple tableau annuel réussite/échec. Il montre que l’organisation fait vivre le programme de sensibilisation, examine les résultats et s’améliore dans le temps.

Liste de vérification de la cadence avant le lancement

Avant de choisir un rythme mensuel, trimestriel ou ciblé, répondez à ces questions :

• Quel comportement voulons-nous améliorer : reconnaissance, signalement, vérification ou achèvement du suivi ?
• Quels groupes sont dans le périmètre, et lesquels nécessitent un traitement particulier ?
• À quelle fréquence pouvons-nous examiner les résultats sans bâcler la revue ?
• Quelles données collectons-nous, et combien de temps les conservons-nous ?
• Comment les employés reçoivent-ils le retour ?
• Que présenterons-nous à la direction ?
• Qu’est-ce qui nous ferait réduire la fréquence ?
• Qu’est-ce qui justifierait de l’augmenter ?
• Comment montrerons-nous que le programme s’est amélioré après chaque cycle ?

Si ces réponses ne sont pas claires, commencez avec une cadence plus faible et améliorez d’abord le modèle opérationnel.

FAQ

La simulation de phishing mensuelle est-elle trop fréquente ?

Pas nécessairement. Une simulation de phishing mensuelle peut fonctionner lorsque les campagnes sont légères, adaptées aux rôles, respectueuses de la vie privée et suivies d’un retour utile. Elle devient trop fréquente lorsque les employés se sentent harcelés, que les signalements ne sont pas examinés ou que la sécurité ne peut pas expliquer ce qui a changé après chaque campagne.

La simulation de phishing trimestrielle suffit-elle ?

Une simulation trimestrielle suffit souvent pour un programme de base, surtout pour les petites équipes ou les organisations qui ont besoin d’une gouvernance rigoureuse. Elle devrait néanmoins inclure un suivi, une revue des signalements et des actions d’amélioration documentées entre les campagnes.

Chaque employé doit-il recevoir chaque simulation ?

Non. Beaucoup d’organisations obtiennent de meilleurs résultats en faisant tourner les cohortes et en adaptant les scénarios au rôle. Les groupes à haut risque peuvent avoir besoin d’une pratique plus fréquente, tandis que le personnel général peut suivre une cadence de base plus large.

Les tests de phishing ratés doivent-ils déclencher une formation obligatoire ?

Parfois, mais restez proportionné. Un retour court et immédiat fonctionne souvent mieux qu’une longue formation punitive. Les schémas de risque répétés peuvent justifier un accompagnement supplémentaire, mais évitez la mise au pilori publique ou l’escalade automatique sans revue humaine.

Les simulations de phishing prouvent-elles la conformité ?

Aucune simulation de phishing, à elle seule, ne prouve la conformité. Un programme bien mené peut soutenir les preuves de conformité en montrant la cadence de sensibilisation, le périmètre, les résultats, le suivi et la revue. Évitez d’affirmer qu’un outil ou une campagne « garantit la conformité ».

Quelle est la cadence la plus sûre pour un premier programme de simulation de phishing ?

Commencez par un rythme trimestriel, communiquez clairement, mesurez le comportement de signalement et examinez les résultats avec les parties prenantes. Ne passez à des simulations mensuelles ou ciblées qu’une fois le processus jugé fiable et opérationnellement maîtrisable.

Construisez une cadence que votre équipe peut tenir dans la durée

La meilleure fréquence de simulation de phishing n’est pas la plus élevée. C’est la cadence qui aide les employés à s’exercer, donne aux équipes sécurité des rapports utiles et produit des preuves sans générer de lassitude.

Pour beaucoup d’organisations, cela signifie des bases trimestrielles, un suivi mensuel ou par rôle lorsque le risque est plus élevé, et de courts moments de coaching liés à des leçons concrètes.

Si vous voulez un moyen peu coûteux en effort, respectueux de la vie privée, pour lancer des simulations de phishing récurrentes, automatiser le suivi pédagogique et garder un reporting utile pour la direction et la conformité, Inscrivez-vous.