CyberFaith : Action de sensibilisation
« Mieux vaut prévenir que guérir ». C’est dans cette démarche que nous avons mis en place CyberFaith, une action de sensibilisation à la cybersécurité spécialement créée pour les membres de la paroisse de Bayonne. Une paroisse est un regroupement de plusieurs églises. Certains de ces membres ont déjà subi des arnaques sur Internet. À travers cette initiative, notre objectif principal était de rendre accessibles des notions techniques complexes et d’amener les participants à prendre conscience des risques numériques quotidiens. Nous proposerons un temps de parole à la fin de l’action de sensibilisation pour répondre aux interrogations des participants.
Comment le projet c’est t-il imposé auprès de la Paroisse de Bayonne ?
Lors de la Covid la paroisse de Bayonne a décidé de diffuser les messes sur YouTube. Suite à cet évènement, plusieurs personnes de la paroisse de Bayonne se sont vu être victimes de cybercriminels, notamment en étant la cible de phishing. Elle a donc décidé de réagir et de nous proposer de réaliser une action de sensibilisation sur les bases de la sécurité informatique afin de sensibiliser et de protéger les membres de la paroisse à de futurs risques sur Internet. L’objectif était de les amener à comprendre les risques encourus dans des situations concrètes du quotidien, dont tout le monde est confronté, comme l’utilisation de sa carte bancaire sur un site d’e-commerce ou encore l’usage de mot de passe faible sur certains sites. À l’aide de cet évènement, nous souhaitons montrer en partenariat avec la paroisse de Bayonne qu’il est possible d’utiliser les appareils informatiques sans prendre de grands risques à condition que l’on respecte certaines règles essentielles de sécurité.
Quel était le contexte initial du projet ?
Lors de mon bachelor au sein d’INTECH, j’ai eu des projets de formation humaine qui avaient pour objectif de développer nos compétences transversales. Dans ce cadre, la paroisse de Bayonne est venue nous attribuer un projet, suite à plusieurs arnaques dans lesquelles sont tombés certains membres. Par exemple, un des membres de la paroisse avait pris peur avec une publicité intrusive sur une page web qui lui demandait d’installer un antivirus, car son ordinateur était infecté. La réalité est que son ordinateur va très bien et que la publicité lui fait installer un logiciel mal veillant qui a fini par lui compromettre ces données bancaires. Il était, par conséquent, important de sensibiliser les membres de la Paroisse à ce genre d’arnaques très présentes sur Internet.
Lors du projet, nous avons créé une action de sensibilisation sous la forme d’une présentation interactive. Nous l’avons découpé en étapes et après chaque étape, nous faisions un temps de pause et de discussion pour répondre et interagir directement avec le public. Cette approche nous a permis de ne perdre aucun participant durant la présentation, tout en leur fournissant un service personnalisé, étant donné que nous avons adapté nos réponses au niveau de chaque participant pour mieux répondre à leur besoin. Le public était composé de personnes intéressées par le sujet et de personnes ayant déjà subi des arnaques. Nous devions par conséquent nous mettre à leur place sans les juger et nous adapter pour les aider.
Dorénavant, les citoyens doivent avoir un niveau de compréhension suffisant des appareils informatiques, étant donné que leur usage est de plus en plus commun. Malheureusement, leurs niveaux et leurs usages sont décorrélés, bien souvent ils tombent dans les arnaques communes comme le phishing ou encore le social engineering. Dans un monde dans lequel l’informatique prend une part importante et où les menaces ne cessent de croître, il est important de se mobiliser pour sensibiliser et former les personnes qui souhaitent avoir usage de ces outils en limitant un maximum les risques courants.
Dans un premier temps, nous avons répertorié et étudié les protections des plus simples aux plus complexes à mettre en place afin d’avoir des solutions pour tous les profils se trouvant dans le public. Nous avons élaboré la présentation pour trente participants. Nous avons commencé par parler de l’importance d’avoir un mot de passe robuste, puis avons parlé de gestionnaire de mot de passe et nous avons fini par les risques du social engineering. Il s’agit d’une méthode qui permet de manipuler un individu en se faisant passer pour une autre personne afin de l’amener à divulguer des informations sensibles. Pour y parvenir, je me suis formée et j’ai acheté une YubiKey qui est une solution matérielle sous la forme d’une clé USB pour s’authentifier auprès des applications web sensibles comme les banques. Initialement, l’évènement devait avoir lieu le 30 novembre.
Dans un second temps, nous avons dû créer la structure de l’action de sensibilisation. Elle devait durer d’une heure trente en présentiel dans une des salles de la paroisse. Nous avons décidé de partir sur une structure dynamique favorisant la participation du public. L’objectif était d’avoir un minimum de dix interactions avec le public. Nous sommes partis sur une présentation avec un diaporama et après chaque étape, nous laissons le temps aux participants de poser leurs questions et de répondre à leurs interrogations. De cette manière, nous avons pu maintenir un niveau de compréhension et d’écoute tout au long de l’évènement, ce qui a été un point important étant donné qu’il s’agit tout de même de sujets techniques et qu’ils auraient pu facilement se décourager ou perdre l’attention. Finalement, nous avons réalisé un grand questionnaire de vingt questions à la fin pour vérifier l’impact que nous avions eu sur le public. Ils ont tous pu répondre facilement à nos questions. Et nous avons terminé avec un petit questionnaire de satisfaction pour améliorer nos futures prestations.
Le plus gros risque que nous avions été de mal nous préparer et par conséquent de mal vulgariser les sujets. Ou d’avoir des exemples non pertinents qui ne parlent pas au public. Ça aurait pu être catastrophique et nous aurions pu passer à côté de l’action de sensibilisation si ça, c’était passé, car l’objectif premier est de les former aux premières approches de la sécurité pour qu’ils puissent se protéger au quotidien et protéger leur proche. Dans ce cadre, il est très important de faire des entraînements pour être sûr d’être impactant le jour du véritable évènement. Pour cela, le corps encadrant de l’INTECH et nos proches nous ont permis de concrétiser et de rendre réalisable ce projet.
Quelles ont été les étapes principales du déroulement de ce projet ?
Préparation du projet
a. Syllabus
Dans un premier temps, nous avons cadré le projet en rédigeant un document qui nous servira de repère tout au long du projet. Il s’agit d’un syllabus de 12 pages où nous avons répertorié les éléments du projet. Nous y retrouvons le trombinoscope de l’équipe, notre mission « Former et sensibiliser 30 apprenants pour qu’ils adoptent les bons réflexes face aux menaces d’Internet », la date et l’horaire de l’évènement « 16 décembre de 19h30 à 20h » ainsi que le lieu de l’évènement qui se déroulera à la maison diocésaine de Bayonne. En plus de ces informations, ce document va nous permettre de définir les objectifs pédagogiques ainsi que le contenu de notre action de sensibilisation.
Pour les principaux objectifs pédagogiques, nous avons défini qu’à la fin de l’action de sensibilisation, ils devraient être capables de comprendre et d’identifier les arnaques les plus communes sur Internet. Ils devront savoir quel comportement adopter dans le cas où ils identifient une arnaque et vers quel organisme se tourner pour signaler ces menaces. Au niveau du contenu, nous avons décidé de l’orienter dans cette direction en définissant les principaux thèmes à aborder. Plusieurs sujets seront abordés. Nous parlerons des attaques de phishing ainsi que des fraudes liées au social engineering. Nous parlerons aussi des mots de passe, des paiements en ligne, des mises à jour ou encore de la gestion de nos données personnelles. Une fois les menaces abordées et identifiées, nous pourrons parler de la manière de les signaler en fonction de leurs provenances. Par exemple, en passant directement sur les réseaux sociaux ou en utilisant des plateformes gouvernementales comme Pharos. Cette plateforme redirige directement aux autorités compétentes en cas « Violence, mise en danger des personnes, menace ou apologie du terrorisme, injure ou diffamation, incitation à la haine raciale ou discrimination, atteintes aux mineurs ».
b. Créer le diaporama
Une fois le contenu et le périmètre du projet définis, nous nous sommes attaqués à la réalisation du diaporama qui servira de support lors de l’action de sensibilisation. Nous avons utilisé les couleurs bleu et blanc qui sont à la fois les couleurs de Bayonne où nous allions réaliser l’évènement, mais aussi les couleurs qui sont le plus souvent utilisées avec la cybersécurité. C’est une couleur qui est utilisée pour rassurante. Nous sommes partis sur une structure particulière pour améliorer la participation du public et pour faire en sorte qu’ils ne perdent pas l’attention durant l’évènement. Nous présentions une notion et ont enchaîné directement avec un moment où le public pouvait interagir avec nous pour poser leurs questions ou partager leur expérience. Ce furent des moments de partage et d’échange sans jugement qui a permis à tous les participants d’appréhender plus facilement les notions vu durant cet évènement.
Grâce à cette méthodologie et à nos exemples concrets des risques encourue, nous avons réussi à amener tous les participants au bout de l’action de sensibilisation avec des retours très positifs comme nous pourrons le voir plus bas. Pour finir, nous avions organisé un questionnaire de 20 questions directement après l’action de sensibilisation pour mesurer directement notre impact et le niveau de compréhension des participants. Tout le public a participé aux questions avec beaucoup d’enthousiasme. Et tout le monde a répondu correctement aux questions.
c. Création des questions d’enquête de satisfaction
Les participants ont acquis beaucoup de nouvelles notions durant cette action de sensibilisation. Néanmoins, ça ne signifie pas qu’ils sont satisfaits ou qu’ils ont apprécié d’y participer. Pour remédier à nos interrogations, nous avons décidé de réaliser un questionnaire de satisfaction que nous distribuerons en imprimé une fois l’évènement complètement terminé. L’objectif de ce formulaire est d’avoir un retour sous la forme d’un quota de satisfaction et non pas d’une note. Ce qui simplifie et oriente les participants vers l’objectif de ce formulaire. Nous avons défini quatre niveaux de satisfactions, ils n’avaient plus qu’à cocher les cases qui leur semblait les plus justes.
Pour conclure, nous avons essayé de réaliser l’action de sensibilisation la plus ludique et accessible possible. Nous nous sommes adaptés aux attentes et aux besoins de chaque participant. Pour nous assurer que notre mission soit atteinte, nous avons mesuré son impact par l’utilisation de deux formulaires. Le résultat de ce dernier sera analysé plus bas et nous conforte dans l’idée que nous ayons réussi à sensibiliser un groupe de plus de 30 participants vis-à-vis des dangers d’Internet. Sous la demande de certains des participants, nous avons même envoyé les supports utilisés lors de l’évènement pour qu’ils puissent sensibiliser leurs proches.
Réalisation du projet
a. Préparation de notre évènement
Étant donné que nous venons du monde de l’informatique, certains concepts nous semblent évidents, voire innés. Nous nous sommes par conséquent appuyés sur nos proches pour identifier les faiblesses au niveau de la prestation et les points où nous rentrions trop dans la technique sans suffisamment vulgariser. Ça nous a permis de relever plusieurs points qui se trouvaient encore trop techniques et où il y avait un risque de perdre l’attention des participants. Nous avons aussi réalisé un essai durant 1h devant plusieurs encadrants du campus de Dax afin de s’assurer de la pertinence et du professionnalisme de notre prestation. Grâce aux différents retours que nous avons eus, nous avons réussi à peaufiner notre oral pour être prêt le jour de l’action de sensibilisation.
b. Questionnaire de satisfaction
Lors de l’action de sensibilisation, nous avons pu récolter sept feuilles de satisfaction complétées. Malheureusement, nous n’avons pas pu en récolter plus, car l’action de sensibilisation a terminé tard et certaines familles avec des enfants jeunes sont rentrée avant que nous pussions leur distribuer la fiche. Sur les sept réponses que nous avons eues. Nous pouvons noter que nous n’avons que des satisfactions forte et correcte. Le bilan est par conséquent très positif.
Si on se penche sur les zones où il y a le moins de satisfaction, on relève deux points. Le premier concerne la qualité de l’oral et de la compréhension. Malgré notre travail vis-à-vis de la vulgarisation, il y a encore des moments où certaines notions étaient complexes à comprendre. Pour améliorer ce point, nous pourrions potentiellement ajouter plus de schéma animé pour simplifier les concepts les plus techniques. Pour le second point, l’accueil serait à améliorer. Effectivement, lors de l’action de sensibilisation, c’est déroulé, il n’y avait personne pour accueillir les retardataires surtout que là, elle n’était pas simple à trouver étant donné qu’elle se trouvait dans un grand bâtiment. Nous aurions pu éviter ce problème, en mettant un organisateur au niveau de la porte et en le faisant tourner tout au long de l’évènement afin de s’assurer que tous les participants soient bien guidés. Nous aurions aussi pu prévoir des gourmandises et des boissons pour améliorer le confort lors de l’évènement qui a duré 1h30 et deux heures supplémentaires pour ceux qui sont restés pour parler de leur cas plus en profondeurs.
c. Prestation finale
Finalement, cette action de sensibilisation était le premier évènement de ce type que nous réalisions. Nous avons acquis beaucoup d’expérience humaine et technique au niveau de la vulgarisation. À l’avenir, si nous sommes amenés à refaire une action similaire, nous prêterons plus d’attention à l’accueil général des participants. L’évènement a tout de même eu un fort impacte positif comme nous l’avons vu précédemment. Et nos objectifs ont bien été atteints, nous avons eu plus de trente participants dont sept qui ont participé au test de satisfaction et qui souhaitait en parler avec leurs proches. La paroisse de Bayonne a aussi fait part d’une volonté de réorganiser des évènements similaire pour venir en aide aux personnes ayant besoin d’aide dans leur utilisation quotidienne des appareils informatiques.
Qui sont les parties prenantes impliquées dans ce projet ?
Ce projet s’est déroulé dans le cadre des projets de formations humaines au sein du bachelor réalisé à INTECH. J’ai travaillé avec une équipe composée de quatre membres en collaboration avec la paroisse de Bayonne. La paroisse a participé à la communication autour de l’évènement. Ils nous ont aussi mis à disposition une salle ainsi qu’à l’invitation des participants. Nous étions en contact avec Mr Larroquet qui en est le directeur de la communication. Nous avons aussi pu bénéficier des retours d’expérience du personnel de la paroisse, qui nous a aidés à ajuster les thématiques à aborder durant l’action de sensibilisation. Enfin, nos encadrants pédagogiques à INTECH nous ont accompagnés tout au long du projet et ont assisté à nos sessions d’action de sensibilisation blanc de manière à nous améliorer pour être prêts le jour de l’évènement.
Quels bénéfices l’action de sensibilisation nous a-t-elle apporté ?
Je suis fier d’avoir participé à ce projet, puisque l’action de sensibilisation que nous avons menée a eu un réel impact sur la façon dont les participants utilisent Internet dans leur quotidien. De plus, ce projet nous a permis de transmettre des connaissances à un public parfois peu familier avec le numérique en vulgarisant nos propos et en les illustrant avec des exemples du quotidien. Nous avons également pu remplir notre objectif principal qui était de leur apprendre à mieux se protéger en ligne. À titre d’exemple, plusieurs des participants ont changé leurs mots de passe pour en utiliser un plus sécurisé, tandis que certains ont envisagé d’utiliser un gestionnaire de mots de passe. Cela prouve que notre action de sensibilisation a eu l’effet escompté et qu’à travers cette action de sensibilisation, nous avons réussi à vulgariser des concepts techniques.
Personnellement, cette expérience m’a permis de confirmer mes affinités pour vulgariser et pour transmettre des connaissances. Je vois cette expérience comme une opportunité pour renforcer mes connaissances. La vulgarisation qui nous oblige à maîtriser parfaitement notre sujet. J’ai dû m’adapter en temps réel aux niveaux des participants qui étaient plutôt variés. Cela m’a également permis d’améliorer ma prise de parole en public et de comprendre à quel point l’écoute active et la bienveillance sont essentielles dans ce type d’évènement. Les échanges avec les participants ainsi que leurs retours positifs m’ont donnés envie d’aller plus loin. Je souhaite continuer à m’investir dans la cybersécurité. Je souhaite continuer dans le domaine technique et dans le domaine humain en continuant à réaliser des actions de sensibilisation.
Quelles difficultés j’ai rencontrées et comment puis-je les surmonter à l’avenir ?
L’une des principales difficultés que j’ai rencontrées a été de trouver le bon niveau de vulgarisation. Effectivement, certains participants découvraient totalement le vocabulaire numérique, tandis que d’autres avaient déjà quelques réflexes de sécurité. Par conséquent, j’ai dû adapter mon discours lors de l’évènement. Cette expérience a renforcé ma capacité à vulgariser des concepts techniques. J’ai aussi pu travailler ma posture pédagogique, étant donné que ce type d’évènement repose sur la confiance et l’écoute. Il était important de ne jamais être dans le jugement. Il faut toujours être dans l’accompagnement et l’empathie. Les retours ont été extrêmement positifs. À la fin de l’action de sensibilisation, nous avions prévu un temps de 30 minutes pour répondre aux questions. Nous avons finalement continué à discuter avec les participants pendant deux heures. Plusieurs participants ont pris conscience des risques encourus, certains ont modifié immédiatement leurs mots de passe ou se sont tournés vers des clés de sécurité ou des gestionnaires de mots de passe. Dans mon cas, ce projet m’a permis d’améliorer mes compétences en vulgarisation et en prise de parole face à un public. Il m’a aussi rappelé que la cybersécurité n’est pas réservée aux experts, mais qu’elle doit être partagée avec tous, quel que soit le niveau technique. Une autre grosse difficulté que nous avons rencontrée a été la Covid, effectivemment nous avons dû reporter à plusieurs reprises l’évènement en raison des confinements. Finalement, nous avons réussi à la réaliser le 16 décembre à 18h30.
Il n’y a pas eu d’axe majeur d’amélioration qui ait été relevé. Néanmoins, nous avons tout de même identifié deux points d’améliorations. Le premier est l’amélioration de la gestion du temps. Si nous avions su que la partie pour répondre aux questions des participants allait durer deux semaines, nous aurions organisé l’action de sensibilisation différemment en réduisant notre présentation ou en proposant des temps de paroles plus longs entre chaque grande étape de la présentation. Le second point que nous avions relevé est l’amélioration des supports fournis aux participants à la fin de l’évènement. L’intérêt était qu’ils n’aient pas besoin de prendre des notes pour se concentrer sur les informations et l’interaction qu’il y avait durant l’évènement. La problématique a été que les supports étaient encore un peu trop techniques. Nous aurions dû ajouter plus d’images et de schémas sur ces supports pour faciliter leur compréhension une fois rentrés chez eux. Malgré ce point, nous leur avions donné un email sur lequel nous contacter en cas de questions, ce qui a été une très bonne initiative, étant donné que deux d’entre eux nous ont recontactés dans le mois qui a suivi. Grâce à cette action de sensibilisation, nous avons pu conseiller et accompagner des personnes ayant ressenti le besoin d’améliorer leur compréhension au niveau de la sécurité des appareils informatiques.
CyberFaith a été une action de sensibilisation humaine. Elle m’a permis de mettre en pratique mes compétences de base en sécurité. Elle m’a aussi permis de renforcer mon engagement dans la transmission des bonnes pratiques numériques. À l’aide de cette initiative, j’ai pu contribuer concrètement à protéger des personnes vulnérables face aux dangers du numérique. Leurs retours m’ont particulièrement touché tant ils étaient bienveillants. Ce type de projet me conforte dans l’idée que je souhaite développer mes compétences en cybersécurité pour participer à la diminution des risques numériques. À l’avenir, j’aimerais continuer à organiser ce type d’action, à plus grande échelle et dans des contextes toujours plus variés, pour rendre la cybersécurité accessible à tous.