# Formation en cybersécurité : en ligne, atelier ou simulations ?

Source : https://cybercaribou.com/comparatifs/formation-cybersecurite-employes-options · Cyber Caribou

> Plateforme en ligne, atelier en personne, simulations d'hameçonnage ou programme annuel : engagement, mesure, coûts, français et preuves pour la Loi 25.

Tout le monde s'entend pour dire qu'il faut former les employés. Le désaccord commence au moment de choisir comment. Une plateforme en ligne ? Un atelier dans la salle de conférence ? De faux courriels d'hameçonnage ? Chaque formule a ses défenseurs, et chaque fournisseur vante la sienne.

Les autorités, elles, convergent. Le Centre canadien pour la cybersécurité demande aux PME d'investir dans la sensibilisation et la formation de leurs employés, et recommande d'y intégrer des exercices pratiques. La CISA rappelle qu'il faut répéter la formation régulièrement. Ce comparatif vous aide à composer la bonne combinaison selon votre taille et vos obligations.

- Nous comparons des approches, pas des fournisseurs. Chaque valeur du tableau s'appuie sur les publications du Centre canadien pour la cybersécurité, du NCSC britannique, du NIST, de la CISA, de la CAI et de l'OQLF, consultées en octobre 2026.
- Critères retenus : engagement, mesurabilité, ce que la méthode exerce, adaptation aux rôles, modèle de coût, disponibilité en français, preuves et effort de gestion.
- Aucun prix n'est cité : les modèles de coût sont décrits de façon qualitative.
- Ce comparatif n'est pas commandité.

## La plateforme en ligne : la base qui se mesure

La formation en ligne règle un problème concret : rejoindre tout le monde, y compris le quart de soir et les employés en télétravail. Le Centre canadien mentionne la formation par ordinateur comme moyen de rafraîchir les connaissances, et demande de conserver des registres individuels de formation. Une plateforme les produit automatiquement.

Sa limite est l'engagement. Le NCSC britannique recommande des messages courts et fréquents, et met en garde contre la même vidéo reprise d'année en année. Il existe des modules gratuits de qualité, comme celui du NCSC, qui se suit en moins de 30 minutes, mais il n'est offert qu'en anglais et en gallois. Au Québec, l'OQLF rappelle que les formations offertes au personnel doivent être disponibles en français : vérifiez le contenu, pas seulement le menu.

## L'atelier en personne : le contexte et les questions

Rien ne remplace un formateur qui montre un vrai courriel reçu la semaine dernière par la comptabilité. Le NCSC recommande justement de relier la formation au travail quotidien des participants. L'atelier permet aussi d'aborder ce qu'un module en ligne contourne : les virements urgents demandés par « le président », la gêne de signaler une erreur.

Son défaut est d'être ponctuel. Le NCSC juge des messages courts et fréquents plus efficaces qu'une séance d'une heure par année. Un atelier sert donc de point de départ, ou de rendez-vous annuel, pas de programme complet.

## Les simulations : un thermomètre, pas un traitement

Les simulations mesurent ce qu'aucun quiz ne mesure : le geste devant un courriel réaliste. Le Centre canadien recommande d'inclure dans la formation des exercices pratiques qui simulent de vraies attaques. Les outils produisent des rapports précis : qui a reçu le message, qui l'a signalé, qui a cliqué ou saisi ses identifiants, qui a suivi la formation assignée.

Le NCSC britannique pose toutefois deux limites fermes. Aucune formation, simulations comprises, ne peut apprendre à repérer chaque hameçonnage. Et punir les employés qui cliquent mine la confiance et décourage les signalements. Mesurez d'abord le taux de signalement, pas seulement les clics. Notre article sur la [simulation d'hameçonnage](https://cybercaribou.com/blogue/simulation-hameconnage-employes) détaille la façon de procéder sans piéger personne.

## Le programme annuel : ce que décrivent les autorités

Le NIST, dans sa publication SP 800-50 Rev. 1 (septembre 2024), décrit la formation comme un programme à cycle de vie, avec des indicateurs et des méthodes d'évaluation pour l'améliorer. La CAI va dans le même sens dans son guide de janvier 2026 : former et sensibiliser le personnel, concevoir un plan d'action annuel, puis mesurer l'effet d'une campagne sur l'hameçonnage.

Pour une entreprise de 120 employés, cela peut donner : un module de base à l'embauche, un rappel de cinq minutes chaque mois, une simulation chaque trimestre et un atelier annuel pour les finances et la direction. C'est aussi ce qui produit les meilleures preuves : un plan, des registres de complétion, des résultats de simulation qui s'améliorent. Un assureur peut aussi vous demander quelles mesures de sécurité vous avez mises en place, rappelle Pensez cybersécurité ; notre guide pour [réussir le questionnaire d'assurance cyber](https://cybercaribou.com/blogue/assurance-cyber-questionnaire-assureur) indique quoi préparer.

## Comment choisir

- [ ] Une formation de base pour chaque nouvel employé, comme le recommande le Centre canadien.
- [ ] Des rappels courts et fréquents, avec des exemples d'ici, comme ceux de notre guide pour [reconnaître un courriel d'hameçonnage](https://cybercaribou.com/blogue/reconnaitre-courriel-hameconnage-exemples).
- [ ] Des modules par rôle pour les finances, la direction et les administrateurs, avant l'octroi de leurs accès.
- [ ] Des simulations qui mesurent les signalements, sans sanction.
- [ ] Un contenu entièrement en français.
- [ ] Un registre à jour : qui a suivi quoi, et quand.

Notre [accompagnement continu](https://cybercaribou.com/services/accompagnement-continu) inclut la formation de sensibilisation et les simulations d'hameçonnage, intégrées à votre plan annuel.

## FAQ

**À quelle fréquence faut-il former les employés en cybersécurité ?**
La Loi 25 ne fixe pas de fréquence. Le NCSC britannique recommande des messages courts et fréquents plutôt qu'une séance d'une heure par année, et le Centre canadien pour la cybersécurité demande de revoir le programme chaque année. Nous suggérons une formation de base à l'embauche, avant l'octroi des accès, puis un rappel court chaque mois ou chaque trimestre.

**Faut-il sanctionner les employés qui cliquent pendant une simulation ?**
Non. Le NCSC britannique prévient que punir ceux qui cliquent sur vos propres faux courriels ressemble à un piège et décourage les signalements. Mesurez plutôt combien de personnes signalent le message, et offrez une courte formation à celles qui ont cliqué.

**La Loi 25 exige-t-elle une formation en cybersécurité ?**
La loi oblige les entreprises à prendre des mesures de sécurité raisonnables pour protéger les renseignements personnels (art. 10). Dans son guide sur la prévention des incidents de confidentialité (janvier 2026), la CAI cite la formation et la sensibilisation du personnel parmi ces mesures, et suggère de mesurer l'effet d'une campagne sur l'hameçonnage. Validez la portée exacte de vos obligations avec votre conseiller juridique.

**Une formation offerte seulement en anglais est-elle acceptable au Québec ?**
L'Office québécois de la langue française indique que l'employeur doit rendre disponibles en français les formations offertes à son personnel et les documents de formation produits à son intention, peu importe le support. Une plateforme dont seule l'interface est traduite risque donc de ne pas suffire. Validez avec votre conseiller juridique.

## Sources

- [Centre canadien pour la cybersécurité : Offrir aux employés une formation sur mesure en cybersécurité (ITSAP.10.093)](https://www.cyber.gc.ca/fr/orientation/offrir-aux-employes-une-formation-sur-mesure-en-cybersecurite-itsap10093)
- [Centre canadien pour la cybersécurité : Les 10 mesures de sécurité des TI, n° 6, miser sur une formation sur mesure (ITSM.10.093)](https://www.cyber.gc.ca/fr/orientation/les-10-mesures-de-securite-des-ti-n0-6-miser-sur-une-formation-sur-mesure-en-matiere-de)
- [Centre canadien pour la cybersécurité : Contrôles de cybersécurité de base pour les petites et moyennes organisations](https://www.cyber.gc.ca/fr/orientation/controles-de-cybersecurite-de-base-pour-les-petites-et-moyennes-organisations)
- [NCSC (Royaume-Uni) : Phishing attacks, defending your organisation](https://www.ncsc.gov.uk/guidance/phishing)
- [NCSC (Royaume-Uni) : 10 Steps to Cyber Security, Engagement and training](https://www.ncsc.gov.uk/collection/10-steps/engagement-and-training)
- [NCSC (Royaume-Uni) : Top Tips for Staff (formation en ligne gratuite)](https://www.ncsc.gov.uk/information/top-tips-for-staff)
- [NIST SP 800-50 Rev. 1 : Building a Cybersecurity and Privacy Learning Program (septembre 2024)](https://csrc.nist.gov/pubs/sp/800/50/r1/final)
- [CISA : #StopRansomware Guide](https://www.cisa.gov/stopransomware/ransomware-guide)
- [Commission d'accès à l'information : Prévenir les incidents de confidentialité, guide explicatif pour les entreprises (janvier 2026)](https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_GU_ENTR_Prevention_incidents.pdf)
- [Office québécois de la langue française : formation du personnel en français](https://www.oqlf.gouv.qc.ca/francisation/entreprises/formation.html)
- [Pensez cybersécurité : votre petite entreprise a-t-elle besoin d'une cyberassurance ?](https://www.pensezcybersecurite.gc.ca/fr/blogues/votre-petite-entreprise-t-elle-besoin-dune-cyberassurance)
- [Microsoft Learn : bien démarrer avec Attack simulation training](https://learn.microsoft.com/fr-fr/defender-office-365/attack-simulation-training-get-started)