[{"data":1,"prerenderedAt":407},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"cmp-\u002Fcomparatifs\u002Fformation-cybersecurite-employes-options":45,"cmp-alt-\u002Fcomparatifs\u002Fformation-cybersecurite-employes-options":392,"cmp-others-\u002Fcomparatifs\u002Fformation-cybersecurite-employes-options":394},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"criteria":209,"date":266,"description":267,"extension":268,"faq":269,"keyword":282,"meta":283,"navigation":146,"options":284,"path":341,"rawbody":342,"seo":343,"sources":344,"stem":377,"translationKey":378,"updated":379,"verdict":380,"verified":390,"__hash__":391},"comparisons_fr\u002Fcomparatifs\u002Fformation-cybersecurite-employes-options.md","Formation en cybersécurité : en ligne, atelier ou simulations ?",{"type":49,"value":50,"toc":201},"minimark",[51,55,58,79,84,87,90,94,97,100,104,107,116,120,123,131,135,190,197],[52,53,54],"p",{},"Tout le monde s'entend pour dire qu'il faut former les employés. Le désaccord commence au moment de choisir comment. Une plateforme en ligne ? Un atelier dans la salle de conférence ? De faux courriels d'hameçonnage ? Chaque formule a ses défenseurs, et chaque fournisseur vante la sienne.",[52,56,57],{},"Les autorités, elles, convergent. Le Centre canadien pour la cybersécurité demande aux PME d'investir dans la sensibilisation et la formation de leurs employés, et recommande d'y intégrer des exercices pratiques. La CISA rappelle qu'il faut répéter la formation régulièrement. Ce comparatif vous aide à composer la bonne combinaison selon votre taille et vos obligations.",[59,60,63],"callout",{"title":61,"type":62},"Notre méthode","info",[64,65,66,70,73,76],"ul",{},[67,68,69],"li",{},"Nous comparons des approches, pas des fournisseurs. Chaque valeur du tableau s'appuie sur les publications du Centre canadien pour la cybersécurité, du NCSC britannique, du NIST, de la CISA, de la CAI et de l'OQLF, consultées en octobre 2026.",[67,71,72],{},"Critères retenus : engagement, mesurabilité, ce que la méthode exerce, adaptation aux rôles, modèle de coût, disponibilité en français, preuves et effort de gestion.",[67,74,75],{},"Aucun prix n'est cité : les modèles de coût sont décrits de façon qualitative.",[67,77,78],{},"Ce comparatif n'est pas commandité.",[80,81,83],"h2",{"id":82},"la-plateforme-en-ligne-la-base-qui-se-mesure","La plateforme en ligne : la base qui se mesure",[52,85,86],{},"La formation en ligne règle un problème concret : rejoindre tout le monde, y compris le quart de soir et les employés en télétravail. Le Centre canadien mentionne la formation par ordinateur comme moyen de rafraîchir les connaissances, et demande de conserver des registres individuels de formation. Une plateforme les produit automatiquement.",[52,88,89],{},"Sa limite est l'engagement. Le NCSC britannique recommande des messages courts et fréquents, et met en garde contre la même vidéo reprise d'année en année. Il existe des modules gratuits de qualité, comme celui du NCSC, qui se suit en moins de 30 minutes, mais il n'est offert qu'en anglais et en gallois. Au Québec, l'OQLF rappelle que les formations offertes au personnel doivent être disponibles en français : vérifiez le contenu, pas seulement le menu.",[80,91,93],{"id":92},"latelier-en-personne-le-contexte-et-les-questions","L'atelier en personne : le contexte et les questions",[52,95,96],{},"Rien ne remplace un formateur qui montre un vrai courriel reçu la semaine dernière par la comptabilité. Le NCSC recommande justement de relier la formation au travail quotidien des participants. L'atelier permet aussi d'aborder ce qu'un module en ligne contourne : les virements urgents demandés par « le président », la gêne de signaler une erreur.",[52,98,99],{},"Son défaut est d'être ponctuel. Le NCSC juge des messages courts et fréquents plus efficaces qu'une séance d'une heure par année. Un atelier sert donc de point de départ, ou de rendez-vous annuel, pas de programme complet.",[80,101,103],{"id":102},"les-simulations-un-thermomètre-pas-un-traitement","Les simulations : un thermomètre, pas un traitement",[52,105,106],{},"Les simulations mesurent ce qu'aucun quiz ne mesure : le geste devant un courriel réaliste. Le Centre canadien recommande d'inclure dans la formation des exercices pratiques qui simulent de vraies attaques. Les outils produisent des rapports précis : qui a reçu le message, qui l'a signalé, qui a cliqué ou saisi ses identifiants, qui a suivi la formation assignée.",[52,108,109,110,115],{},"Le NCSC britannique pose toutefois deux limites fermes. Aucune formation, simulations comprises, ne peut apprendre à repérer chaque hameçonnage. Et punir les employés qui cliquent mine la confiance et décourage les signalements. Mesurez d'abord le taux de signalement, pas seulement les clics. Notre article sur la ",[111,112,114],"a",{"href":113},"\u002Fblogue\u002Fsimulation-hameconnage-employes","simulation d'hameçonnage"," détaille la façon de procéder sans piéger personne.",[80,117,119],{"id":118},"le-programme-annuel-ce-que-décrivent-les-autorités","Le programme annuel : ce que décrivent les autorités",[52,121,122],{},"Le NIST, dans sa publication SP 800-50 Rev. 1 (septembre 2024), décrit la formation comme un programme à cycle de vie, avec des indicateurs et des méthodes d'évaluation pour l'améliorer. La CAI va dans le même sens dans son guide de janvier 2026 : former et sensibiliser le personnel, concevoir un plan d'action annuel, puis mesurer l'effet d'une campagne sur l'hameçonnage.",[52,124,125,126,130],{},"Pour une entreprise de 120 employés, cela peut donner : un module de base à l'embauche, un rappel de cinq minutes chaque mois, une simulation chaque trimestre et un atelier annuel pour les finances et la direction. C'est aussi ce qui produit les meilleures preuves : un plan, des registres de complétion, des résultats de simulation qui s'améliorent. Un assureur peut aussi vous demander quelles mesures de sécurité vous avez mises en place, rappelle Pensez cybersécurité ; notre guide pour ",[111,127,129],{"href":128},"\u002Fblogue\u002Fassurance-cyber-questionnaire-assureur","réussir le questionnaire d'assurance cyber"," indique quoi préparer.",[80,132,134],{"id":133},"comment-choisir","Comment choisir",[64,136,139,150,162,169,176,183],{"className":137},[138],"contains-task-list",[67,140,143,149],{"className":141},[142],"task-list-item",[144,145],"input",{"disabled":146,"type":147,"aria-label":148},true,"checkbox","Une formation de base pour chaque nouvel employé, comme le recommande le Centre canadien."," Une formation de base pour chaque nouvel employé, comme le recommande le Centre canadien.",[67,151,153,156,157,161],{"className":152},[142],[144,154],{"disabled":146,"type":147,"aria-label":155},"Des rappels courts et fréquents, avec des exemples d'ici, comme ceux de notre guide pour reconnaître un courriel d'hameçonnage."," Des rappels courts et fréquents, avec des exemples d'ici, comme ceux de notre guide pour ",[111,158,160],{"href":159},"\u002Fblogue\u002Freconnaitre-courriel-hameconnage-exemples","reconnaître un courriel d'hameçonnage",".",[67,163,165,168],{"className":164},[142],[144,166],{"disabled":146,"type":147,"aria-label":167},"Des modules par rôle pour les finances, la direction et les administrateurs, avant l'octroi de leurs accès."," Des modules par rôle pour les finances, la direction et les administrateurs, avant l'octroi de leurs accès.",[67,170,172,175],{"className":171},[142],[144,173],{"disabled":146,"type":147,"aria-label":174},"Des simulations qui mesurent les signalements, sans sanction."," Des simulations qui mesurent les signalements, sans sanction.",[67,177,179,182],{"className":178},[142],[144,180],{"disabled":146,"type":147,"aria-label":181},"Un contenu entièrement en français."," Un contenu entièrement en français.",[67,184,186,189],{"className":185},[142],[144,187],{"disabled":146,"type":147,"aria-label":188},"Un registre à jour : qui a suivi quoi, et quand."," Un registre à jour : qui a suivi quoi, et quand.",[52,191,192,193,196],{},"Notre ",[111,194,195],{"href":25},"accompagnement continu"," inclut la formation de sensibilisation et les simulations d'hameçonnage, intégrées à votre plan annuel.",[198,199],"cta",{"variant":200},"devis",{"title":202,"searchDepth":11,"depth":15,"links":203},"",[204,205,206,207,208],{"id":82,"depth":11,"text":83},{"id":92,"depth":11,"text":93},{"id":102,"depth":11,"text":103},{"id":118,"depth":11,"text":119},{"id":133,"depth":11,"text":134},[210,217,224,231,238,245,252,259],{"label":211,"values":212},"Engagement des employés",[213,214,215,216],"Variable : bon si les modules sont courts et renouvelés","Élevé pendant la séance","Élevé sur le moment ; fragile si l'approche est punitive","Le plus soutenu : messages courts et fréquents toute l'année",{"label":218,"values":219},"Mesurabilité",[220,221,222,223],"Complétion et résultats aux quiz, par employé","Présences, sauf si vous ajoutez un questionnaire","Taux de signalement et de clics, par campagne","Complétion, signalements et tendances d'une année à l'autre",{"label":225,"values":226},"Ce que la méthode exerce",[227,228,229,230],"Les connaissances","Les connaissances et la discussion","Le réflexe devant un courriel réaliste","Connaissances, réflexes et responsabilités propres à chaque rôle",{"label":232,"values":233},"Adaptation aux rôles",[234,235,236,237],"Selon la plateforme (parcours par rôle)","Oui : contenu ajusté au groupe","Oui : campagnes par service","Oui : base pour tous, modules par rôle",{"label":239,"values":240},"Modèle de coût",[241,242,243,244],"Licence ou abonnement, souvent par utilisateur","Par séance, plus le temps des employés","Outil ou service, souvent par utilisateur","Addition des composantes sur l'année",{"label":246,"values":247},"Disponibilité en français",[248,249,250,251],"Variable : vérifier le contenu, pas seulement l'interface","Oui, si le formateur l'offre en français","Selon l'outil : courriels piégés et pages de formation à vérifier","À exiger pour chaque composante",{"label":253,"values":254},"Preuve pour la Loi 25 et l'assureur",[255,256,257,258],"Registres individuels de formation","Feuilles de présence et contenu présenté","Rapports de campagne : signalements, clics, formation suivie","Plan annuel, registres et mesure de l'efficacité",{"label":260,"values":261},"Effort de gestion",[262,263,264,265],"Faible : inscrire et relancer","Modéré : planifier et libérer les employés","Modéré à élevé : scénarios, configuration, suivi","Élevé : un responsable et un calendrier annuel","2026-10-24","Plateforme en ligne, atelier en personne, simulations d'hameçonnage ou programme annuel : engagement, mesure, coûts, français et preuves pour la Loi 25.","md",[270,273,276,279],{"q":271,"a":272},"À quelle fréquence faut-il former les employés en cybersécurité ?","La Loi 25 ne fixe pas de fréquence. Le NCSC britannique recommande des messages courts et fréquents plutôt qu'une séance d'une heure par année, et le Centre canadien pour la cybersécurité demande de revoir le programme chaque année. Nous suggérons une formation de base à l'embauche, avant l'octroi des accès, puis un rappel court chaque mois ou chaque trimestre.",{"q":274,"a":275},"Faut-il sanctionner les employés qui cliquent pendant une simulation ?","Non. Le NCSC britannique prévient que punir ceux qui cliquent sur vos propres faux courriels ressemble à un piège et décourage les signalements. Mesurez plutôt combien de personnes signalent le message, et offrez une courte formation à celles qui ont cliqué.",{"q":277,"a":278},"La Loi 25 exige-t-elle une formation en cybersécurité ?","La loi oblige les entreprises à prendre des mesures de sécurité raisonnables pour protéger les renseignements personnels (art. 10). Dans son guide sur la prévention des incidents de confidentialité (janvier 2026), la CAI cite la formation et la sensibilisation du personnel parmi ces mesures, et suggère de mesurer l'effet d'une campagne sur l'hameçonnage. Validez la portée exacte de vos obligations avec votre conseiller juridique.",{"q":280,"a":281},"Une formation offerte seulement en anglais est-elle acceptable au Québec ?","L'Office québécois de la langue française indique que l'employeur doit rendre disponibles en français les formations offertes à son personnel et les documents de formation produits à son intention, peu importe le support. Une plateforme dont seule l'interface est traduite risque donc de ne pas suffire. Validez avec votre conseiller juridique.","formation cybersécurité employés",{},[285,299,313,327],{"name":286,"url":287,"tagline":288,"pricing":289,"bestFor":290,"pros":291,"cons":295},"Plateforme en ligne","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Foffrir-aux-employes-une-formation-sur-mesure-en-cybersecurite-itsap10093","Des modules à suivre à l'écran, au rythme de chacun, avec quiz et suivi de la complétion.","Licence ou abonnement, souvent par utilisateur ; des modules gratuits existent, surtout en anglais (ex. NCSC britannique)","Les équipes réparties ou à horaires variables, et le suivi de la formation de base.",[292,293,294],"Suivi automatique : qui a terminé, avec quel résultat","Se prête aux rappels courts et fréquents que recommande le NCSC britannique","Parcours par rôle possibles selon la plateforme",[296,297,298],"Peu de place pour les questions et les exemples tirés de votre quotidien","Contenu en français à vérifier, pas seulement l'interface","S'use vite si la même vidéo revient chaque année",{"name":300,"url":301,"tagline":302,"pricing":303,"bestFor":304,"pros":305,"cons":309},"Atelier en personne","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fles-10-mesures-de-securite-des-ti-n0-6-miser-sur-une-formation-sur-mesure-en-matiere-de","Une séance animée par un formateur, en salle ou en direct à distance, adaptée aux outils et aux dossiers de l'équipe.","Par séance : honoraires du formateur et temps des employés","Lancer la démarche, former la direction et les finances, ou revenir sur un incident récent.",[306,307,308],"Exemples tirés du travail quotidien de l'équipe, comme le recommande le NCSC britannique","Les employés posent leurs vraies questions","Facile à donner entièrement en français",[310,311,312],"Ponctuel : le NCSC juge des messages courts et fréquents plus efficaces qu'une heure par année","Difficile de réunir tout le monde, surtout les équipes de soir","Mesure limitée aux présences, sauf questionnaire",{"name":314,"url":315,"tagline":316,"pricing":317,"bestFor":318,"pros":319,"cons":323},"Simulations d'hameçonnage","https:\u002F\u002Fwww.ncsc.gov.uk\u002Fguidance\u002Fphishing","De faux courriels d'hameçonnage envoyés aux employés pour exercer leurs réflexes et mesurer qui signale, clique ou saisit ses identifiants.","Outil ou service, souvent par utilisateur ; inclus dans Microsoft Defender for Office 365 Plan 2 et Microsoft 365 E5","Mesurer les progrès et entraîner le réflexe de signaler, en complément d'une formation.",[320,321,322],"Mesure concrète : signalements, clics, identifiants saisis","Exercice pratique, comme le recommande le Centre canadien pour la cybersécurité","Campagnes ciblées par service possibles",[324,325,326],"Aucune simulation n'apprend à repérer tous les hameçonnages, prévient le NCSC","Punir les clics mine la confiance et décourage les signalements","Configuration technique : domaines d'envoi, liste d'autorisation, scénarios",{"name":328,"url":329,"tagline":330,"pricing":331,"bestFor":332,"pros":333,"cons":337},"Programme annuel combiné","https:\u002F\u002Fcsrc.nist.gov\u002Fpubs\u002Fsp\u002F800\u002F50\u002Fr1\u002Ffinal","Une formation de base pour tous, des rappels courts toute l'année, des simulations et des modules par rôle, réunis dans un plan annuel.","Addition des composantes, à budgéter sur l'année","Les PME qui doivent démontrer leurs mesures à un assureur, à un client ou au regard de la Loi 25.",[334,335,336],"Couvre la base, la pratique et la mesure","Suit l'approche par cycle de vie du NIST (SP 800-50 Rev. 1)","Produit les preuves les plus complètes : plan, registres, résultats",[338,339,340],"Exige un responsable et un calendrier","Le plus exigeant en temps de gestion","L'effet sur les comportements prend du temps à se voir (NCSC)","\u002Fcomparatifs\u002Fformation-cybersecurite-employes-options","---\ntitle: \"Formation en cybersécurité : en ligne, atelier ou simulations ?\"\ndescription: \"Plateforme en ligne, atelier en personne, simulations d'hameçonnage ou programme annuel : engagement, mesure, coûts, français et preuves pour la Loi 25.\"\ndate: 2026-10-24\nverified: \"octobre 2026\"\ntranslationKey: formation\nkeyword: \"formation cybersécurité employés\"\noptions:\n  - name: \"Plateforme en ligne\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Foffrir-aux-employes-une-formation-sur-mesure-en-cybersecurite-itsap10093\"\n    tagline: \"Des modules à suivre à l'écran, au rythme de chacun, avec quiz et suivi de la complétion.\"\n    pricing: \"Licence ou abonnement, souvent par utilisateur ; des modules gratuits existent, surtout en anglais (ex. NCSC britannique)\"\n    bestFor: \"Les équipes réparties ou à horaires variables, et le suivi de la formation de base.\"\n    pros: [\"Suivi automatique : qui a terminé, avec quel résultat\", \"Se prête aux rappels courts et fréquents que recommande le NCSC britannique\", \"Parcours par rôle possibles selon la plateforme\"]\n    cons: [\"Peu de place pour les questions et les exemples tirés de votre quotidien\", \"Contenu en français à vérifier, pas seulement l'interface\", \"S'use vite si la même vidéo revient chaque année\"]\n  - name: \"Atelier en personne\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fles-10-mesures-de-securite-des-ti-n0-6-miser-sur-une-formation-sur-mesure-en-matiere-de\"\n    tagline: \"Une séance animée par un formateur, en salle ou en direct à distance, adaptée aux outils et aux dossiers de l'équipe.\"\n    pricing: \"Par séance : honoraires du formateur et temps des employés\"\n    bestFor: \"Lancer la démarche, former la direction et les finances, ou revenir sur un incident récent.\"\n    pros: [\"Exemples tirés du travail quotidien de l'équipe, comme le recommande le NCSC britannique\", \"Les employés posent leurs vraies questions\", \"Facile à donner entièrement en français\"]\n    cons: [\"Ponctuel : le NCSC juge des messages courts et fréquents plus efficaces qu'une heure par année\", \"Difficile de réunir tout le monde, surtout les équipes de soir\", \"Mesure limitée aux présences, sauf questionnaire\"]\n  - name: \"Simulations d'hameçonnage\"\n    url: \"https:\u002F\u002Fwww.ncsc.gov.uk\u002Fguidance\u002Fphishing\"\n    tagline: \"De faux courriels d'hameçonnage envoyés aux employés pour exercer leurs réflexes et mesurer qui signale, clique ou saisit ses identifiants.\"\n    pricing: \"Outil ou service, souvent par utilisateur ; inclus dans Microsoft Defender for Office 365 Plan 2 et Microsoft 365 E5\"\n    bestFor: \"Mesurer les progrès et entraîner le réflexe de signaler, en complément d'une formation.\"\n    pros: [\"Mesure concrète : signalements, clics, identifiants saisis\", \"Exercice pratique, comme le recommande le Centre canadien pour la cybersécurité\", \"Campagnes ciblées par service possibles\"]\n    cons: [\"Aucune simulation n'apprend à repérer tous les hameçonnages, prévient le NCSC\", \"Punir les clics mine la confiance et décourage les signalements\", \"Configuration technique : domaines d'envoi, liste d'autorisation, scénarios\"]\n  - name: \"Programme annuel combiné\"\n    url: \"https:\u002F\u002Fcsrc.nist.gov\u002Fpubs\u002Fsp\u002F800\u002F50\u002Fr1\u002Ffinal\"\n    tagline: \"Une formation de base pour tous, des rappels courts toute l'année, des simulations et des modules par rôle, réunis dans un plan annuel.\"\n    pricing: \"Addition des composantes, à budgéter sur l'année\"\n    bestFor: \"Les PME qui doivent démontrer leurs mesures à un assureur, à un client ou au regard de la Loi 25.\"\n    pros: [\"Couvre la base, la pratique et la mesure\", \"Suit l'approche par cycle de vie du NIST (SP 800-50 Rev. 1)\", \"Produit les preuves les plus complètes : plan, registres, résultats\"]\n    cons: [\"Exige un responsable et un calendrier\", \"Le plus exigeant en temps de gestion\", \"L'effet sur les comportements prend du temps à se voir (NCSC)\"]\ncriteria:\n  - label: \"Engagement des employés\"\n    values: [\"Variable : bon si les modules sont courts et renouvelés\", \"Élevé pendant la séance\", \"Élevé sur le moment ; fragile si l'approche est punitive\", \"Le plus soutenu : messages courts et fréquents toute l'année\"]\n  - label: \"Mesurabilité\"\n    values: [\"Complétion et résultats aux quiz, par employé\", \"Présences, sauf si vous ajoutez un questionnaire\", \"Taux de signalement et de clics, par campagne\", \"Complétion, signalements et tendances d'une année à l'autre\"]\n  - label: \"Ce que la méthode exerce\"\n    values: [\"Les connaissances\", \"Les connaissances et la discussion\", \"Le réflexe devant un courriel réaliste\", \"Connaissances, réflexes et responsabilités propres à chaque rôle\"]\n  - label: \"Adaptation aux rôles\"\n    values: [\"Selon la plateforme (parcours par rôle)\", \"Oui : contenu ajusté au groupe\", \"Oui : campagnes par service\", \"Oui : base pour tous, modules par rôle\"]\n  - label: \"Modèle de coût\"\n    values: [\"Licence ou abonnement, souvent par utilisateur\", \"Par séance, plus le temps des employés\", \"Outil ou service, souvent par utilisateur\", \"Addition des composantes sur l'année\"]\n  - label: \"Disponibilité en français\"\n    values: [\"Variable : vérifier le contenu, pas seulement l'interface\", \"Oui, si le formateur l'offre en français\", \"Selon l'outil : courriels piégés et pages de formation à vérifier\", \"À exiger pour chaque composante\"]\n  - label: \"Preuve pour la Loi 25 et l'assureur\"\n    values: [\"Registres individuels de formation\", \"Feuilles de présence et contenu présenté\", \"Rapports de campagne : signalements, clics, formation suivie\", \"Plan annuel, registres et mesure de l'efficacité\"]\n  - label: \"Effort de gestion\"\n    values: [\"Faible : inscrire et relancer\", \"Modéré : planifier et libérer les employés\", \"Modéré à élevé : scénarios, configuration, suivi\", \"Élevé : un responsable et un calendrier annuel\"]\nverdict:\n  - profile: \"Cabinet de 12 personnes à Québec qui part de zéro\"\n    pick: \"Atelier en personne\"\n    why: \"Une première séance en français, bâtie sur vos propres courriels et vos outils, crée une base commune et ouvre la discussion. Ajoutez ensuite des rappels courts : une séance par année ne suffit pas.\"\n  - profile: \"Distributeur de 60 employés sur trois sites, avec des quarts de soir\"\n    pick: \"Plateforme en ligne\"\n    why: \"Des modules courts accessibles à toute heure rejoignent chaque quart de travail, et les registres de complétion se tiennent seuls. Vérifiez que le contenu est réellement offert en français.\"\n  - profile: \"Entreprise de 120 employés qui remplit un questionnaire d'assurance et documente sa conformité à la Loi 25\"\n    pick: \"Programme annuel combiné\"\n    why: \"Formation de base, rappels, simulations et modules pour la direction et les finances, réunis dans un plan annuel : c'est ce qui produit des preuves solides et une mesure de l'efficacité, comme le suggère la CAI.\"\nfaq:\n  - q: \"À quelle fréquence faut-il former les employés en cybersécurité ?\"\n    a: \"La Loi 25 ne fixe pas de fréquence. Le NCSC britannique recommande des messages courts et fréquents plutôt qu'une séance d'une heure par année, et le Centre canadien pour la cybersécurité demande de revoir le programme chaque année. Nous suggérons une formation de base à l'embauche, avant l'octroi des accès, puis un rappel court chaque mois ou chaque trimestre.\"\n  - q: \"Faut-il sanctionner les employés qui cliquent pendant une simulation ?\"\n    a: \"Non. Le NCSC britannique prévient que punir ceux qui cliquent sur vos propres faux courriels ressemble à un piège et décourage les signalements. Mesurez plutôt combien de personnes signalent le message, et offrez une courte formation à celles qui ont cliqué.\"\n  - q: \"La Loi 25 exige-t-elle une formation en cybersécurité ?\"\n    a: \"La loi oblige les entreprises à prendre des mesures de sécurité raisonnables pour protéger les renseignements personnels (art. 10). Dans son guide sur la prévention des incidents de confidentialité (janvier 2026), la CAI cite la formation et la sensibilisation du personnel parmi ces mesures, et suggère de mesurer l'effet d'une campagne sur l'hameçonnage. Validez la portée exacte de vos obligations avec votre conseiller juridique.\"\n  - q: \"Une formation offerte seulement en anglais est-elle acceptable au Québec ?\"\n    a: \"L'Office québécois de la langue française indique que l'employeur doit rendre disponibles en français les formations offertes à son personnel et les documents de formation produits à son intention, peu importe le support. Une plateforme dont seule l'interface est traduite risque donc de ne pas suffire. Validez avec votre conseiller juridique.\"\nsources:\n  - title: \"Centre canadien pour la cybersécurité : Offrir aux employés une formation sur mesure en cybersécurité (ITSAP.10.093)\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Foffrir-aux-employes-une-formation-sur-mesure-en-cybersecurite-itsap10093\"\n  - title: \"Centre canadien pour la cybersécurité : Les 10 mesures de sécurité des TI, n° 6, miser sur une formation sur mesure (ITSM.10.093)\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fles-10-mesures-de-securite-des-ti-n0-6-miser-sur-une-formation-sur-mesure-en-matiere-de\"\n  - title: \"Centre canadien pour la cybersécurité : Contrôles de cybersécurité de base pour les petites et moyennes organisations\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fcontroles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations\"\n  - title: \"NCSC (Royaume-Uni) : Phishing attacks, defending your organisation\"\n    url: \"https:\u002F\u002Fwww.ncsc.gov.uk\u002Fguidance\u002Fphishing\"\n  - title: \"NCSC (Royaume-Uni) : 10 Steps to Cyber Security, Engagement and training\"\n    url: \"https:\u002F\u002Fwww.ncsc.gov.uk\u002Fcollection\u002F10-steps\u002Fengagement-and-training\"\n  - title: \"NCSC (Royaume-Uni) : Top Tips for Staff (formation en ligne gratuite)\"\n    url: \"https:\u002F\u002Fwww.ncsc.gov.uk\u002Finformation\u002Ftop-tips-for-staff\"\n  - title: \"NIST SP 800-50 Rev. 1 : Building a Cybersecurity and Privacy Learning Program (septembre 2024)\"\n    url: \"https:\u002F\u002Fcsrc.nist.gov\u002Fpubs\u002Fsp\u002F800\u002F50\u002Fr1\u002Ffinal\"\n  - title: \"CISA : #StopRansomware Guide\"\n    url: \"https:\u002F\u002Fwww.cisa.gov\u002Fstopransomware\u002Fransomware-guide\"\n  - title: \"Commission d'accès à l'information : Prévenir les incidents de confidentialité, guide explicatif pour les entreprises (janvier 2026)\"\n    url: \"https:\u002F\u002Fwww.cai.gouv.qc.ca\u002Fuploads\u002Fpdfs\u002FCAI_GU_ENTR_Prevention_incidents.pdf\"\n  - title: \"Office québécois de la langue française : formation du personnel en français\"\n    url: \"https:\u002F\u002Fwww.oqlf.gouv.qc.ca\u002Ffrancisation\u002Fentreprises\u002Fformation.html\"\n  - title: \"Pensez cybersécurité : votre petite entreprise a-t-elle besoin d'une cyberassurance ?\"\n    url: \"https:\u002F\u002Fwww.pensezcybersecurite.gc.ca\u002Ffr\u002Fblogues\u002Fvotre-petite-entreprise-t-elle-besoin-dune-cyberassurance\"\n  - title: \"Microsoft Learn : bien démarrer avec Attack simulation training\"\n    url: \"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fdefender-office-365\u002Fattack-simulation-training-get-started\"\n---\n\nTout le monde s'entend pour dire qu'il faut former les employés. Le désaccord commence au moment de choisir comment. Une plateforme en ligne ? Un atelier dans la salle de conférence ? De faux courriels d'hameçonnage ? Chaque formule a ses défenseurs, et chaque fournisseur vante la sienne.\n\nLes autorités, elles, convergent. Le Centre canadien pour la cybersécurité demande aux PME d'investir dans la sensibilisation et la formation de leurs employés, et recommande d'y intégrer des exercices pratiques. La CISA rappelle qu'il faut répéter la formation régulièrement. Ce comparatif vous aide à composer la bonne combinaison selon votre taille et vos obligations.\n\n::callout{type=\"info\" title=\"Notre méthode\"}\n- Nous comparons des approches, pas des fournisseurs. Chaque valeur du tableau s'appuie sur les publications du Centre canadien pour la cybersécurité, du NCSC britannique, du NIST, de la CISA, de la CAI et de l'OQLF, consultées en octobre 2026.\n- Critères retenus : engagement, mesurabilité, ce que la méthode exerce, adaptation aux rôles, modèle de coût, disponibilité en français, preuves et effort de gestion.\n- Aucun prix n'est cité : les modèles de coût sont décrits de façon qualitative.\n- Ce comparatif n'est pas commandité.\n::\n\n## La plateforme en ligne : la base qui se mesure\n\nLa formation en ligne règle un problème concret : rejoindre tout le monde, y compris le quart de soir et les employés en télétravail. Le Centre canadien mentionne la formation par ordinateur comme moyen de rafraîchir les connaissances, et demande de conserver des registres individuels de formation. Une plateforme les produit automatiquement.\n\nSa limite est l'engagement. Le NCSC britannique recommande des messages courts et fréquents, et met en garde contre la même vidéo reprise d'année en année. Il existe des modules gratuits de qualité, comme celui du NCSC, qui se suit en moins de 30 minutes, mais il n'est offert qu'en anglais et en gallois. Au Québec, l'OQLF rappelle que les formations offertes au personnel doivent être disponibles en français : vérifiez le contenu, pas seulement le menu.\n\n## L'atelier en personne : le contexte et les questions\n\nRien ne remplace un formateur qui montre un vrai courriel reçu la semaine dernière par la comptabilité. Le NCSC recommande justement de relier la formation au travail quotidien des participants. L'atelier permet aussi d'aborder ce qu'un module en ligne contourne : les virements urgents demandés par « le président », la gêne de signaler une erreur.\n\nSon défaut est d'être ponctuel. Le NCSC juge des messages courts et fréquents plus efficaces qu'une séance d'une heure par année. Un atelier sert donc de point de départ, ou de rendez-vous annuel, pas de programme complet.\n\n## Les simulations : un thermomètre, pas un traitement\n\nLes simulations mesurent ce qu'aucun quiz ne mesure : le geste devant un courriel réaliste. Le Centre canadien recommande d'inclure dans la formation des exercices pratiques qui simulent de vraies attaques. Les outils produisent des rapports précis : qui a reçu le message, qui l'a signalé, qui a cliqué ou saisi ses identifiants, qui a suivi la formation assignée.\n\nLe NCSC britannique pose toutefois deux limites fermes. Aucune formation, simulations comprises, ne peut apprendre à repérer chaque hameçonnage. Et punir les employés qui cliquent mine la confiance et décourage les signalements. Mesurez d'abord le taux de signalement, pas seulement les clics. Notre article sur la [simulation d'hameçonnage](\u002Fblogue\u002Fsimulation-hameconnage-employes) détaille la façon de procéder sans piéger personne.\n\n## Le programme annuel : ce que décrivent les autorités\n\nLe NIST, dans sa publication SP 800-50 Rev. 1 (septembre 2024), décrit la formation comme un programme à cycle de vie, avec des indicateurs et des méthodes d'évaluation pour l'améliorer. La CAI va dans le même sens dans son guide de janvier 2026 : former et sensibiliser le personnel, concevoir un plan d'action annuel, puis mesurer l'effet d'une campagne sur l'hameçonnage.\n\nPour une entreprise de 120 employés, cela peut donner : un module de base à l'embauche, un rappel de cinq minutes chaque mois, une simulation chaque trimestre et un atelier annuel pour les finances et la direction. C'est aussi ce qui produit les meilleures preuves : un plan, des registres de complétion, des résultats de simulation qui s'améliorent. Un assureur peut aussi vous demander quelles mesures de sécurité vous avez mises en place, rappelle Pensez cybersécurité ; notre guide pour [réussir le questionnaire d'assurance cyber](\u002Fblogue\u002Fassurance-cyber-questionnaire-assureur) indique quoi préparer.\n\n## Comment choisir\n\n- [ ] Une formation de base pour chaque nouvel employé, comme le recommande le Centre canadien.\n- [ ] Des rappels courts et fréquents, avec des exemples d'ici, comme ceux de notre guide pour [reconnaître un courriel d'hameçonnage](\u002Fblogue\u002Freconnaitre-courriel-hameconnage-exemples).\n- [ ] Des modules par rôle pour les finances, la direction et les administrateurs, avant l'octroi de leurs accès.\n- [ ] Des simulations qui mesurent les signalements, sans sanction.\n- [ ] Un contenu entièrement en français.\n- [ ] Un registre à jour : qui a suivi quoi, et quand.\n\nNotre [accompagnement continu](\u002Fservices\u002Faccompagnement-continu) inclut la formation de sensibilisation et les simulations d'hameçonnage, intégrées à votre plan annuel.\n\n::cta{variant=\"devis\"}\n::\n",{"title":47,"description":267},[345,347,349,352,354,357,360,362,365,368,371,374],{"title":346,"url":287},"Centre canadien pour la cybersécurité : Offrir aux employés une formation sur mesure en cybersécurité (ITSAP.10.093)",{"title":348,"url":301},"Centre canadien pour la cybersécurité : Les 10 mesures de sécurité des TI, n° 6, miser sur une formation sur mesure (ITSM.10.093)",{"title":350,"url":351},"Centre canadien pour la cybersécurité : Contrôles de cybersécurité de base pour les petites et moyennes organisations","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fcontroles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations",{"title":353,"url":315},"NCSC (Royaume-Uni) : Phishing attacks, defending your organisation",{"title":355,"url":356},"NCSC (Royaume-Uni) : 10 Steps to Cyber Security, Engagement and training","https:\u002F\u002Fwww.ncsc.gov.uk\u002Fcollection\u002F10-steps\u002Fengagement-and-training",{"title":358,"url":359},"NCSC (Royaume-Uni) : Top Tips for Staff (formation en ligne gratuite)","https:\u002F\u002Fwww.ncsc.gov.uk\u002Finformation\u002Ftop-tips-for-staff",{"title":361,"url":329},"NIST SP 800-50 Rev. 1 : Building a Cybersecurity and Privacy Learning Program (septembre 2024)",{"title":363,"url":364},"CISA : #StopRansomware Guide","https:\u002F\u002Fwww.cisa.gov\u002Fstopransomware\u002Fransomware-guide",{"title":366,"url":367},"Commission d'accès à l'information : Prévenir les incidents de confidentialité, guide explicatif pour les entreprises (janvier 2026)","https:\u002F\u002Fwww.cai.gouv.qc.ca\u002Fuploads\u002Fpdfs\u002FCAI_GU_ENTR_Prevention_incidents.pdf",{"title":369,"url":370},"Office québécois de la langue française : formation du personnel en français","https:\u002F\u002Fwww.oqlf.gouv.qc.ca\u002Ffrancisation\u002Fentreprises\u002Fformation.html",{"title":372,"url":373},"Pensez cybersécurité : votre petite entreprise a-t-elle besoin d'une cyberassurance ?","https:\u002F\u002Fwww.pensezcybersecurite.gc.ca\u002Ffr\u002Fblogues\u002Fvotre-petite-entreprise-t-elle-besoin-dune-cyberassurance",{"title":375,"url":376},"Microsoft Learn : bien démarrer avec Attack simulation training","https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fdefender-office-365\u002Fattack-simulation-training-get-started","comparatifs\u002Fformation-cybersecurite-employes-options","formation",null,[381,384,387],{"profile":382,"pick":300,"why":383},"Cabinet de 12 personnes à Québec qui part de zéro","Une première séance en français, bâtie sur vos propres courriels et vos outils, crée une base commune et ouvre la discussion. Ajoutez ensuite des rappels courts : une séance par année ne suffit pas.",{"profile":385,"pick":286,"why":386},"Distributeur de 60 employés sur trois sites, avec des quarts de soir","Des modules courts accessibles à toute heure rejoignent chaque quart de travail, et les registres de complétion se tiennent seuls. Vérifiez que le contenu est réellement offert en français.",{"profile":388,"pick":328,"why":389},"Entreprise de 120 employés qui remplit un questionnaire d'assurance et documente sa conformité à la Loi 25","Formation de base, rappels, simulations et modules pour la direction et les finances, réunis dans un plan annuel : c'est ce qui produit des preuves solides et une mesure de l'efficacité, comme le suggère la CAI.","octobre 2026","8M9JBswP3H67VhLIZF0K1DhMf3I0FdF5YZlHnlc9XKw",{"path":393},"\u002Fen\u002Fcomparisons\u002Fsecurity-awareness-training-options",[395,399,403],{"path":396,"title":397,"description":398},"\u002Fcomparatifs\u002Fantivirus-edr-mdr-protection-postes","Antivirus, EDR ou MDR : quelle protection pour vos postes ?","Antivirus, EDR ou MDR : détection, intervention, surveillance 24\u002F7, compétences et modèle de coût comparés pour une PME de 10, 50 ou 150 employés.",{"path":400,"title":401,"description":402},"\u002Fcomparatifs\u002Fedr-pme-comparatif","EDR pour PME : Defender, CrowdStrike, SentinelOne et Sophos","Defender for Business, CrowdStrike Falcon, SentinelOne ou Sophos : forfaits qui incluent vraiment l'EDR, prix publics, données au Canada et surveillance 24\u002F7.",{"path":404,"title":405,"description":406},"\u002Fcomparatifs\u002Fgestionnaires-mots-de-passe-entreprise","1Password, Bitwarden, Keeper, Dashlane : comparatif pour PME","1Password, Bitwarden, Keeper ou Dashlane ? Hébergement au Canada, SSO, SCIM, prix et français : comparatif neutre de gestionnaires de mots de passe pour PME.",1792972903999]