Fonctions et pouvoirs
- qui peut divulguer des informations
- qui valide les dérogations
- où les pouvoirs sont décrits de façon ambiguë
- quelles fonctions supportent une charge de confiance élevée
Mis à jour
01 / ÉVALUATION AUTORISÉE DE L'INGÉNIERIE SOCIALELa sécurité d'une entreprise s'évalue lorsqu'une demande convaincante rencontre un processus réel
BLACKFILE réalise des évaluations contrôlées et autorisées par écrit de la réaction des salariés, des prestataires et des procédures internes aux tentatives d'obtenir des informations, de modifier une action ou de contourner les règles.
Nous évaluons la combinaison du contexte, des pouvoirs, du canal de communication, de la qualité de la procédure et de l'accès à une remontée d'alerte sûre, sans désigner des personnes comme faibles.
L'évaluation ne commence pas avant l'accord sur l'autorisation écrite, les participants, les actions interdites et les conditions d'arrêt immédiat.
- CONTEXTE DE LA FONCTION
- TYPE DE DEMANDE
- SIGNAL DE CONFIANCE
- CONTRÔLE DE LA PROCÉDURE
- PROCÉDURE D'ESCALADE
- ARRÊT SÉCURISÉ
02 / PERSONNE ET PROCESSUS
La plupart des demandes dangereuses paraissent plausibles
Un message peut invoquer l'urgence, l'autorité d'un dirigeant, un processus habituel, le contexte professionnel ou la volonté d'aider un client. Même un spécialiste expérimenté peut prendre une mauvaise décision si la procédure est ambiguë, la confirmation difficile et le circuit de remontée d'alerte mal défini.
Le résultat ne doit donc pas se limiter au pourcentage de personnes ayant commis une erreur. Il faut établir pourquoi la situation a été possible et quelle modification du processus réduira le risque de répétition.
L'évaluation vise à renforcer le système de décision, sans piéger ni sanctionner publiquement un salarié.
- Contexte→
Dans quelle mesure la demande s'inscrit-elle dans une situation de travail habituelle ?
- Pouvoirs→
Le salarié est-il habilité à effectuer cette action sans validation ?
- Vérification→
Existe-t-il un moyen de confirmer la demande indépendamment ?
- Escalade
Le moyen sûr de s'arrêter et de demander une clarification est-il connu ?
03 / SCÉNARIOS
Lorsque l'accès aux informations dépend à la fois de la technologie et d'une décision humaine
- 01
L'entreprise prépare une opération
Les demandes externes augmentent et les salariés échangent avec de nouveaux conseillers, contreparties et plateformes.
- 02
Les assistants traitent des missions sensibles
Calendriers, itinéraires, documents, paiements et contacts personnels passent par un cercle restreint de salariés de confiance.
- 03
Les opérations financières sont validées par des communications
Un changement de coordonnées bancaires, un paiement urgent ou une instruction inhabituelle peut être déclenché par un message convaincant.
- 04
Les prestataires accèdent aux processus internes
Les équipes externes interviennent dans l'informatique, les finances, le recrutement, les communications ou l'administration et intègrent le périmètre de confiance.
- 05
Des courriels ou appels suspects ont été reçus
Il faut vérifier la solidité des réactions du personnel et le fonctionnement du circuit de signalement d'incident.
- 06
L'entreprise se développe ou change de structure
De nouveaux salariés, fonctions et pays créent des écarts temporaires entre la politique officielle et la pratique réelle.
FACTEUR HUMAIN / PROCÉDURE
Les demandes dangereuses paraissent crédibles. Les procédures et la remontée des alertes comptent davantage que la vigilance individuelle.
04 / OBJETS DE L'ÉVALUATION02 03 04 05 06
La réaction du salarié et tout le système entourant sa décision
Canaux de communication
- messagerie professionnelle
- sollicitations vocales
- messageries instantanées
- services internes
- communications avec les prestataires et les conseillers
Signaux de confiance
- nom ou fonction familiers
- urgence
- référence à un dirigeant
- connaissance du contexte professionnel
- ton et format habituels de la demande
Procédures de contrôle
- confirmation indépendante
- principe de double validation
- rappel à un numéro connu
- séparation des accès
- consignation d'une demande inhabituelle
Circuit de remontée d'alerte
- le salarié sait-il à qui s'adresser ?
- peut-il suspendre l'action sans sanction ?
- à quelle vitesse l'aide est-elle accessible ?
- le salarié reçoit-il un retour clair ?
Contexte organisationnel
- charge de travail et urgence
- changements de personnel
- travail à distance
- plusieurs langues et pays
- écart entre politique et processus réel
05 / CARTOGRAPHIE DE L'EXPOSITION AUX ATTAQUES CIBLANT LES PERSONNESFONCTION / 01
Le risque naît à l'intersection de la fonction, de la demande, de la confiance et du processus
Une même demande peut être refusée en toute sécurité dans un service et provoquer une erreur dans un autre. La cartographie montre les conditions récurrentes dans lesquelles le contrôle échoue, sans classer les personnes.
InformationAccèsPaiementDocumentModification du processusInstruction urgente
Contrôle efficaceClarification nécessaireProcédure ambiguëLacune significative
Finances
Paiement et instruction urgente : zone de risque maximal, où le changement de coordonnées bancaires passe sans confirmation indépendante par un canal connu.
- InformationContrôle efficace
- AccèsClarification nécessaire
- PaiementLacune significative
- DocumentContrôle efficace
- Modification du processusProcédure ambiguë
- Instruction urgenteLacune significative
Le rouge signale uniquement une lacune significative du processus. Aucun nom de salarié n'apparaît dans l'interface. Sur mobile, la matrice devient un index vertical des fonctions avec des scénarios dépliables.
06 / SCÉNARIO CONTRÔLÉ
Chaque évaluation commence par une autorisation, des limites et des conditions d'arrêt immédiat
- 01
Autorisation écrite
Le client habilité, les fondements juridiques, les services, les pays et la période d'exécution sont consignés.
→ - 02
Règles d'intervention
Les canaux autorisés, les actions admissibles, les catégories exclues et les personnes à ne pas impliquer sont définis.
→ - 03
Conditions d'arrêt
Les événements entraînant l'arrêt immédiat d'un scénario ou de toute l'évaluation sont fixés.
→ - 04
Conception des scénarios
Les scénarios modélisent le risque sans nécessiter de vrais mots de passe, de coordonnées financières ni de données sensibles.
→ - 05
Exécution contrôlée
Le déroulement est consigné et l'accès aux résultats limité à l'équipe habilitée.
→ - 06
Analyse et amélioration
Les résultats sont traduits en améliorations des procédures, de la formation et des circuits d'alerte, sans humiliation publique des salariés.
BILAN / CORRECTION DES PROCÉDURES
L’objectif du test est de renforcer le système de décision, et non de sanctionner un collaborateur.
07 / RÉSULTATD-01 D-02 D-03 D-04 D-05 D-06
Une cartographie des risques de processus et des changements concrets à mettre en œuvre
Synthèse décisionnelle
Description synthétique des principales conditions de risque, sans classement injustifié des salariés.
Cartographie des fonctions et des scénarios
Combinaisons de pouvoirs, de canaux et de demandes nécessitant un contrôle complémentaire.
Chronologie de l'évaluation
Ce qui a été testé, dans quelles conditions et comment la réaction a évolué.
Matrice des contrôles
Procédures efficaces, ambiguïtés apparues et absence de moyen sûr de confirmation.
Priorités de correction
Changements classés par urgence : immédiats, à court terme et structurels.
Plan de réévaluation
Critères permettant de déterminer si le risque a diminué après les changements.
08 / CLIENTS
Pour les organisations où une demande convaincante peut affecter l'argent, les données ou une décision
- CL-01entreprises et groupes internationaux
- CL-02structures financières et d'investissement
- CL-03Family offices
- CL-04équipes juridiques
- CL-05entreprises technologiques
- CL-06projets avant une opération ou une entrée dans un nouveau pays
- CL-07organisations disposant d'un réseau de prestataires
- CL-08structures privées avec assistants et personnel
09 / SCÉNARIOS TYPESSE-01Exemple composite Chaîne de confirmationSE-02Exemple composite Arbre de décisionSE-03Exemple composite Cartographie de la remontée d'alerte
Comment l'évaluation révèle la cause dans le processus, au-delà du constat d'erreur
Changement de coordonnées bancaires
Vérification de l'exigence d'une confirmation indépendante, par un canal connu à l'avance, pour une instruction financière inhabituelle.
Demande au nom d'un dirigeant
Évaluation de la possibilité de remplacer la procédure de validation par une référence à l'autorité et à l'urgence.
Prestataire externe
Vérification des informations divulguées par un salarié à un tiers connaissant le contexte professionnel sans avoir suivi l'identification prévue.
10 / FORMAT DU PROJET01 02Le plus demandé 03Plusieurs pays
Le prix dépend du nombre de fonctions, de canaux, de scénarios et de juridictions
Évaluation de base
à partir de 3 000 €
Délai défini selon le périmètre de l'évaluation
Première évaluation de résistance sur un périmètre limité de fonctions et de canaux.
Contenu
- 1-2 scénarios contrôlés
- groupe limité de fonctions
- évaluation d'un ou deux canaux
- première cartographie des risques de processus
- recommandations synthétiques
Vérification approfondie
7 000-14 000 €
Délai défini selon le périmètre de l'évaluation
Évaluation complète du périmètre avec cartographie de l'exposition aux risques et priorités de correction.
Contenu
- plusieurs fonctions et services
- 5-7 scénarios convenus
- comparaison des canaux et des procédures
- Cartographie de l'exposition aux attaques ciblant les personnes
- priorités de correction
- analyse finale avec l'équipe habilitée
Programme international
Devis personnalisé
Exécution par étapes selon le calendrier convenu
Programme d'évaluation d'une structure internationale avec nouvelle évaluation après les changements.
Contenu
- plusieurs pays ou entreprises
- langues et processus différents
- vérification par étapes
- coordination avec les équipes juridiques et informatiques
- réévaluation après les changements
Le périmètre exact, les scénarios admissibles, le budget et les critères d'achèvement sont convenus par écrit avant l'évaluation.
11 / AUTORISATION
Aucune évaluation sans autorisation écrite et limites de sécurité
BLACKFILE ne réalise pas d'évaluations non autorisées de tiers, n'aide pas à obtenir les données ou les accès d'autrui et ne publie pas les résultats individuels des salariés. Les scénarios font l'objet d'un examen juridique adapté au pays et à l'organisation.
- mandat écrit du client
- périmètre et délai précis
- pays et services convenus
- interdiction d'impliquer des mineurs
- interdiction de recueillir de vrais mots de passe, codes, coordonnées bancaires et documents personnels
- absence de pièces jointes malveillantes et de perturbation des systèmes
- interdiction des pressions, menaces, humiliations et discriminations
- conditions d'arrêt définies à l'avance
- accès limité aux résultats
- formation et correction des processus, sans sanction publique
12 / SERVICES CONNEXES
Ce qui renforce l'évaluation du facteur humain
SRV-01
Analyse des vulnérabilités
Évaluation méthodique des facteurs de pression et des faiblesses organisationnelles.
Découvrir ce domaine →SRV-02Réponse à une fuite d'informations
Intervention après une divulgation d'informations.
Découvrir ce domaine →SRV-03Vérification de l'entourage
Vérification des liens et de l'entourage pouvant être confirmés dans une mission légale.
Découvrir ce domaine →SRV-04Vérification des antécédents
Vérification de la biographie, du parcours professionnel et des facteurs de risque pour la fonction convenue.
Découvrir ce domaine →13 / QUESTIONS
Ce qu'il faut comprendre avant la vérification
Cela dépend du cadre juridique, des politiques internes et du scénario convenu. Dans tous les cas, l'évaluation doit être autorisée par écrit par une partie habilitée, posséder des limites claires et être suivie d'une restitution appropriée.
Non. Les scénarios évaluent la décision et la procédure sans recueillir de vrais identifiants de connexion, coordonnées bancaires ou informations sensibles.
Le service vise à évaluer la résistance du système et à améliorer les processus. Les décisions de personnel relèvent du client et doivent respecter le droit du travail applicable. Le résultat d'un seul scénario doit être interprété dans son contexte.
Non. Le périmètre convenu peut couvrir différents processus de communication, fonctions, validations d'instructions et circuits de remontée d'alerte. Les scénarios précis dépendent des risques du client.
Uniquement avec les pouvoirs nécessaires, un fondement contractuel et un accord écrit sur le périmètre de l'évaluation.
Le client reçoit une cartographie des risques de processus, des changements prioritaires et des critères de réévaluation. Le résultat doit conduire à une amélioration du système, au-delà du rapport.
14 / ÉVALUATION PRÉLIMINAIRE
Décrivez les processus à évaluer
À ce stade, n'indiquez ni noms de salariés, ni adresses électroniques, numéros de téléphone, mots de passe ou autres données personnelles.
Évaluez le système de décision avant qu'une demande réelle ne le mette à l'épreuve
Décrivez les processus préoccupants. BLACKFILE conviendra des pouvoirs, des limites et des conditions d'arrêt avant toute évaluation.