Meilleure formation de sensibilisation à la sécurité
Meilleure formation de sensibilisation pour FSG (2026)
Pour les FSG dont les clients se trouvent dans plusieurs territoires, le meilleur choix est une plateforme dont les cours citent les lois réelles du client, et pas seulement les lois américaines. À ce critère, Lavawall® est conçu pour les FSG multiterritoires, avec des cours propres au Canada, aux États-Unis, au Royaume-Uni, à l’Australie et à l’UE, tandis que KnowBe4 demeure le plus fort pour une très grande bibliothèque générale de contenu centré sur les États-Unis. Jugez toute plateforme selon le contenu propre à chaque territoire, la profondeur par secteur d’activité, la qualité des simulations d’hameçonnage, l’expérience utilisateur du Phishing Reporter, les cours sur les cadres de conformité, la prise de connaissance des politiques, la gestion multilocataire et le modèle de tarification.
Commencer gratuitement, sans carte de crédit Voir les critères
Canada · États-Unis · Royaume-Uni · Australie · UE · aucun coût distinct par siège
Évalué selon le contenu propre à chaque territoire pour le Canada, les États-Unis, le Royaume-Uni, l’Australie et l’UE; l’expérience utilisateur du Phishing Reporter; la simulation d’hameçonnage; la profondeur par secteur d’activité; la couverture des cadres de conformité; la prise de connaissance des politiques; et les prix.
Que chercher dans une formation de sensibilisation à la sécurité
La formation de sensibilisation à la sécurité est exigée par la plupart des cadres de conformité. La LPRPDE, HIPAA, PCI DSS, CMMC 2.0, SOC 2, ISO 27001, l’Essential Eight australien et le RGPD du Royaume-Uni l’exigent tous sous une forme ou une autre. Le défi pour les FSG dont les clients se trouvent dans plusieurs territoires, c’est que la plupart des grandes plateformes sont conçues autour du droit américain. Couvrir le droit canadien de la protection des renseignements personnels (LPRPDE, loi 25 du Québec, LPRPS de l’Ontario, LSJPA), le droit du Royaume-Uni (RGPD du Royaume-Uni, DPA 2018, RIPA, obligations de protection), le droit australien (Privacy Act 1988, APP, régime NDB, Essential Eight) et le droit de l’UE (RGPD, NIS2, DORA) exige généralement des modules sur mesure, des licences supplémentaires ou d’accepter que le véritable contexte réglementaire de vos clients ne soit pas couvert.
- Profondeur du contenu propre à chaque territoire. Une « sensibilisation à la vie privée » générique n’équivaut pas à un cours qui explique le seuil du RRPG (risque réel de préjudice grave) de la LPRPDE, l’exigence d’ÉFVP (évaluation des facteurs relatifs à la vie privée) de la loi 25 du Québec, le régime australien des atteintes à la sécurité des données à déclarer ou le délai de 72 heures de déclaration à l’ICO du RGPD du Royaume-Uni.
- Cours par secteur d’activité. Les secteurs de la santé, du droit, des services financiers, du gouvernement et, tout particulièrement, le secteur vulnérable ont des obligations que les cours généraux ne peuvent pas couvrir.
- Qualité et configurabilité des simulations d’hameçonnage. Nombre de modèles, ciblage par service ou par groupe de risque et profondeur des rapports.
- Expérience utilisateur du Phishing Reporter. Le bouton explique-t-il le courriel à l’utilisateur, ou se contente-t-il de le soumettre à une file d’attente d’administrateur?
- Cours sur les cadres de conformité. Plus de 35 cadres, dont l’Essential Eight australien, CMMC, CPCSC, CANAFE, CCPA/CPRA, NYDFS, NIS2 de l’UE, DORA, UK Cyber Essentials et toutes les lois provinciales canadiennes sur la protection des renseignements personnels.
- Prise de connaissance des politiques. Peut-on exiger que les utilisateurs prennent connaissance d’un document de politique GRC précis dans le cadre de la réussite d’un cours?
- Gestion multilocataire. Un seul tableau de bord d’administration pour toutes les entreprises clientes, avec des rapports par entreprise.
- Modèle de tarification. Les plateformes facturées par siège et par année s’additionnent vite à l’échelle d’un FSG.
La couverture par territoire en un coup d’œil
| Territoire | Lavawall® | KnowBe4 | Proofpoint SA | Mimecast SA |
|---|---|---|---|---|
| Canada (LPRPDE, loi 25, LPRPS, LSJPA, NERC CIP) | Incluse | Consultez la documentation du fournisseur | Consultez la documentation du fournisseur | Consultez la documentation du fournisseur |
| États-Unis (HIPAA, FERPA, COPPA, CCPA) | Incluse | Inclus | Inclus | Consultez la documentation du fournisseur |
| Royaume-Uni (RGPD du Royaume-Uni, DPA 2018, RIPA, protection) | Incluse | Consultez la documentation du fournisseur | Consultez la documentation du fournisseur | Consultez la documentation du fournisseur |
| Australie (Privacy Act, Essential Eight, régime NDB) | Inclus | Consultez la documentation du fournisseur | Consultez la documentation du fournisseur | Consultez la documentation du fournisseur |
| Union européenne (RGPD, NIS2, DORA, CRA) | Incluse | Consultez la documentation du fournisseur | Consultez la documentation du fournisseur | Consultez la documentation du fournisseur |
| RGPD de l’UE pour les entreprises hors UE (variantes CA et É.-U.) | Incluse | Consultez la documentation du fournisseur | Consultez la documentation du fournisseur | Consultez la documentation du fournisseur |
Évaluations des plateformes
Lavawall®
Idéal pour les FSG multiterritoires. Cours propres au Canada, aux États-Unis, au Royaume-Uni, à l’Australie et à l’UE. 25 secteurs d’activité. 33 cadres de conformité. Phishing Reporter avec rétroaction en temps réel pour l’utilisateur. Simulations d’hameçonnage. Prise de connaissance des politiques. Aucun coût distinct par siège.
Lavawall® est une plateforme RMM et de soutien à distance multilocataire pour les FSG et les équipes TI, qui intègre l’application des correctifs, la surveillance de la sécurité, la détection des intrusions dans Microsoft 365 et Google Workspace ainsi que la conformité dans le même agent et la même console. La formation de sensibilisation à la sécurité est incluse, sans coût supplémentaire par siège. Les cours sont propres à chacune des cinq régions. Les cours de chaque territoire ne font référence qu’aux lois de ce territoire : les cours australiens citent la Privacy Act 1988, les APP et l’Essential Eight de l’ACSC; les cours canadiens citent la LPRPDE, la loi 25 et la LPRPS de l’Ontario; les cours du Royaume-Uni citent le RGPD du Royaume-Uni, la DPA 2018 et l’ICO; les cours de l’UE citent le RGPD de l’UE, NIS2 et DORA.
Le catalogue de cours comprend 25 cours par secteur d’activité dans chaque territoire (droit, construction, immobilier, assurance, comptabilité, soins dentaires et de santé, automobile, hôtellerie, transport, gestion immobilière, dotation en personnel, maternelle à 12e année, enseignement supérieur, architecture et génie, marketing et médias, énergie, pharmacie et sciences de la vie, agriculture, administration municipale, services sociaux, sports et loisirs, environnement, télécommunications, technologie financière, sécurité et enquêtes), ainsi que 33 cours sur les cadres de conformité, des cours sur le travail à domicile et les voyages d’affaires, et des cours spécialisés pour les organisations du secteur vulnérable et les organismes sans but lucratif.
Le complément Phishing Reporter d’Outlook donne à chaque utilisateur, presque instantanément, une rétroaction en langage clair sur chaque courriel signalé : âge du domaine, authentification SPF/DKIM/DMARC, risque des pièces jointes et destination des liens. Les utilisateurs apprennent à chaque signalement. La prise de connaissance des politiques relie la réussite d’un cours à l’approbation d’un document de politique GRC précis. Les simulations d’hameçonnage sont incluses.
Idéal pour : les FSG qui ont des clients au Canada, au Royaume-Uni, en Australie ou dans l’UE; les organisations des secteurs réglementés qui exigent une formation propre à leur territoire; les équipes qui veulent une formation intégrée à leur plateforme de GRC et de sécurité plutôt qu’un abonnement distinct.
Limites : bibliothèque de contenu général plus restreinte que celle de KnowBe4. Les organisations qui ont besoin de milliers de vidéos courtes sur une très vaste gamme de sujets non propres à un territoire voudront peut-être la compléter.
KnowBe4
KnowBe4 est le chef de file du marché de la formation de sensibilisation à la sécurité selon le nombre de sièges. Sa bibliothèque de contenu est la plus vaste de la catégorie : des milliers de courts modules, de vidéos, de jeux et d’évaluations mis à jour régulièrement. Son moteur de simulation d’hameçonnage est mature, hautement configurable et prend en charge des milliers de modèles de simulation avec un ciblage et des rapports sophistiqués.
Idéal pour : les organisations qui ont besoin d’une très vaste bibliothèque de contenu général, d’une grande configurabilité des simulations d’hameçonnage ou d’une plateforme de formation spécialisée dotée d’une analytique poussée. Excellent pour les clients américains.
À vérifier : le contenu propre au Canada (LPRPDE, loi 25, LPRPS, LSJPA, lois provinciales), à l’Australie (Privacy Act, Essential Eight, régime NDB) et à l’UE (NIS2, DORA), ainsi que ce que PhishAlert montre à l’utilisateur; consultez la documentation de KnowBe4. Fonctionne comme une plateforme distincte de votre pile de sécurité. Tarification par siège.
Proofpoint Security Awareness Training
La plateforme de formation de Proofpoint s’intègre de façon significative à la sécurité du courriel de Proofpoint et alimente le contenu des formations et le ciblage des simulations avec du renseignement réel sur les menaces. Si votre FSG utilise la sécurité du courriel de Proofpoint, cette intégration est précieuse.
Idéal pour : les organisations qui utilisent déjà la sécurité du courriel de Proofpoint et veulent une formation guidée par les menaces réelles qu’elles observent.
À vérifier : la profondeur du contenu canadien, australien et de l’UE, et si le bouton de signalement explique les courriels aux utilisateurs; consultez la documentation de Proofpoint. Tarification par siège. Distinct de votre pile de sécurité.
Mimecast Awareness Training
Mimecast propose du contenu de « microformation » court, axé sur des interventions brèves et fréquentes. Il s’intègre à la sécurité du courriel de Mimecast. Le contenu est produit de façon professionnelle et facile à assimiler en petites doses.
Idéal pour : les organisations qui préfèrent les formats de microapprentissage et qui utilisent déjà Mimecast pour la sécurité du courriel.
À vérifier : la taille de la bibliothèque, le contenu propre à l’Australie, au Canada et à l’UE, et si les rapports expliquent les courriels aux utilisateurs; consultez la documentation de Mimecast. Tarification par siège. Distinct de votre pile de sécurité.
Cofense PhishMe / Triage
Cofense est avant tout une plateforme de simulation d’hameçonnage et de renseignement sur les menaces. Son moteur de simulation est de grande qualité. Triage offre une analyse de niveau SOC des courriels d’hameçonnage signalés. Elle s’adresse surtout aux grandes entreprises.
Idéal pour : les grandes entreprises dotées d’équipes dédiées aux opérations de sécurité qui veulent une infrastructure d’analyse poussée de l’hameçonnage.
À vérifier : la prise en charge multilocataire pour les FSG, les prix, le contenu propre au Canada, au Royaume-Uni, à l’Australie et à l’UE, et si les rapports expliquent les courriels aux utilisateurs; consultez la documentation de Cofense. Le contenu de formation est secondaire par rapport au moteur de simulation.
Foire aux questions
- Quels cadres de conformité exigent une formation de sensibilisation à la sécurité?
- La plupart des grands cadres. La LPRPDE et la plupart des lois provinciales canadiennes sur la protection des renseignements personnels (implicitement, par le principe de responsabilité), la HIPAA Security Rule §164.308(a)(5), l’exigence 12.6 de PCI DSS v4, le domaine AT de CMMC 2.0, l’Essential Eight australien (les niveaux de maturité 2 et supérieurs exigent une formation de sensibilisation à la sécurité pour le personnel), le RGPD du Royaume-Uni (la formation du personnel est une mesure de protection reconnue), l’article 39(1)(b) du RGPD de l’UE (pour les délégués à la protection des données), SOC 2 CC1.4/CC2.2, ISO 27001:2022 A.6.3, NIST CSF PR.AT et la mesure de protection 14.1 à 14.9 de CIS Controls v8 exigent tous une formation de sensibilisation à la sécurité sous une forme ou une autre.
- Le contenu de la formation doit-il être propre à chaque territoire pour satisfaire aux exigences de conformité?
- En pratique, oui. Pour la plupart des cadres, l’exigence porte sur une formation « appropriée ». Pour les organisations canadiennes assujetties à la LPRPDE, à la loi 25 ou à la LPRPS de l’Ontario (PHIPA), un cours générique centré sur les États-Unis qui ne mentionne pas le droit canadien risque fort de ne pas satisfaire un enquêteur du Commissariat à la protection de la vie privée du Canada ni un audit interne qui cherche des preuves de sensibilisation adéquate. Pour les organisations australiennes, un cours qui mentionne la HIPAA, mais pas la Privacy Act 1988 ni l’Essential Eight, est tout aussi insuffisant. Les organismes de réglementation du Royaume-Uni et l’ICO s’attendent à ce que la formation couvre précisément le RGPD du Royaume-Uni.
- En quoi le Phishing Reporter diffère-t-il de KnowBe4 PhishAlert?
- Il explique le courriel à l’utilisateur, et pas seulement à un administrateur. Pour savoir comment KnowBe4 PhishAlert, le bouton de signalement de Proofpoint et l’équivalent de Mimecast traitent un signalement, consultez la documentation de chaque fournisseur. Le Phishing Reporter de Lavawall® montre à l’utilisateur, dans le volet de tâches d’Outlook et en moins de trois secondes, les raisons précises pour lesquelles le courriel est digne ou non de confiance, en langage clair. Les utilisateurs apprennent à chaque signalement. Cela compte pour les résultats de la formation : comprendre pourquoi un courriel est suspect renforce l’habitude.
- À quoi sert la prise de connaissance des politiques?
- Il relie la réussite d’un cours à l’approbation d’un document de politique GRC précis. Lorsque vous créez une affectation de formation, vous pouvez exiger que les utilisateurs prennent connaissance d’un document de politique précis de votre bibliothèque GRC dans le cadre de la réussite du cours. L’accusé de réception est horodaté, lié au dossier d’inscription et visible dans le tableau de bord de l’administrateur avec la date et, au besoin, le nom complet saisi par l’utilisateur à titre de signature. Cela crée une trace vérifiable qui convient aux fins de la réglementation et de la conformité.