PhishTrainer génère des rapports détaillés après chaque campagne : taux d'ouverture, taux de clic, taux de saisie de données — par équipe, service et collaborateur. En multipliant les campagnes sur 6 à 12 mois, vous observez la progression : les entreprises qui simulent régulièrement réduisent de 60 à 70 % leur taux de clic moyen (Proofpoint 2024). Ces rapports documentent l'évolution de la maturité cybersécurité de votre organisation et peuvent être présentés lors d'audits internes ou de contrôles PFPDT.

L'efficacité d'une formation cybersécurité se mesure concrètement avec des indicateurs comportementaux :

• Taux de clics sur phishing simulé — avant/après formation. Un bon programme réduit ce taux de plus de 70 % en 6 mois.
• Taux de signalement — nombre de collaborateurs qui signalent activement une tentative de phishing suspecte.
• Score de complétion Academy — pourcentage de modules terminés et résultats aux quiz.
• Évolution dans le temps — tableau de bord PhishTrainer avec historique sur 12 mois.

Ces métriques sont disponibles dans le tableau de bord Bexxo et exportables pour les rapports de conformité nLPD.

Deux options : accès direct à la plateforme en ligne (academy.bexxo.ch) avec création de comptes pour vos collaborateurs et tableau de bord de suivi ; ou formation sur mesure en présentiel dans nos locaux à Ins (BE) ou directement dans votre entreprise. Contactez-nous via le formulaire de cette page pour un entretien gratuit sans engagement — nous définissons ensemble le programme adapté à votre taille et vos objectifs.

Trois mesures essentielles : des sauvegardes hors-ligne testées régulièrement, l'authentification multi-facteurs (MFA) sur tous les accès critiques, et la formation anti-phishing de vos collaborateurs. Bexxo propose ces trois services dans ses forfaits d'audit.

Les principaux signaux d'alerte sont : une adresse d'expéditeur légèrement différente de l'original (ex. support@rnazonl.com au lieu de @amazon.com), un sentiment d'urgence ou de menace poussant à agir vite, une demande de mot de passe ou d'informations bancaires, une URL de lien qui ne correspond pas au site attendu (survolez avant de cliquer), des fautes d'orthographe ou de mise en page. Attention : les emails générés par IA sont désormais parfaitement rédigés — la grammaire seule ne suffit plus à les détecter.

Notre processus se déroule en 4 étapes : écoute de vos besoins, analyse approfondie de vos systèmes, correction et renforcement des failles détectées, puis surveillance continue pour anticiper les nouvelles menaces.

91 % des cyberattaques commencent par un email de phishing (Deloitte). Notre livre blanc sur le phishing en Suisse romande fournit des cas concrets et des recommandations pratiques. Pour une formation continue, notre plateforme PhishTrainer simule des attaques réalistes et réduit le taux de clic de 75 % en moyenne.

Notre service CVE Find permet de filtrer et trier les vulnérabilités selon plusieurs critères clés : score CVSS, score EPSS, appartenance à la liste KEV, niveau de sévérité, date de publication, etc. Ces indicateurs combinés permettent d’identifier rapidement les failles les plus graves et les plus susceptibles d’être exploitées.

Une fois les filtres appliqués, l’utilisateur peut s’abonner aux alertes ou exporter les données pour intégration dans des outils internes. Il est ainsi possible de maintenir une veille active, focalisée sur les vulnérabilités réellement dangereuses, tout en évitant le bruit d’informations peu pertinentes.

Lorsque vous faites face à un conflit (par exemple avec un fournisseur) ou à un ransomware exigeant le versement d’une rançon. Le service de négociation permet d’explorer les options légales et opérationnelles.

Un pentest peut parfois révéler une zero-day, mais ce n’est pas garanti. Les pentesters s’appuient principalement sur des failles connues (CVE, mauvaises configurations, pratiques risquées), mais il peut arriver qu’un test manuel, une logique d’attaque particulière ou une intuition permette de découvrir une vulnérabilité inédite.

Cependant, la découverte de zero-day dans le cadre d’un pentest reste rare et dépend du niveau de profondeur de l’analyse, de l’expérience des testeurs et de la complexité du système testé. Pour cette raison, certains pentests très avancés incluent des phases de fuzzing ou d’audit de code spécifiques à la recherche de zero-day, notamment dans les contextes à forts enjeux (secteur défense, finance, infrastructures critiques).

Oui, un test d’intrusion peut potentiellement perturber la production, mais cela dépend fortement de la méthodologie utilisée, du niveau d'agressivité autorisé, et de la maturité de l’infrastructure testée. Par exemple, l’exploitation de certaines failles peut provoquer des redémarrages de services, des blocages d’accès ou une dégradation des performances.

C’est pourquoi il est essentiel de définir un cadre clair avant tout test, incluant les plages horaires autorisées, les systèmes à exclure (ou à dupliquer en environnement de test), et les mesures de sauvegarde. Les pentesters professionnels appliquent des techniques non destructives, mais une communication étroite avec l’équipe IT reste indispensable pour anticiper et gérer les impacts éventuels.

Oui, plusieurs zero-day célèbres ont marqué l’histoire de la cybersécurité. L’un des plus connus est Stuxnet, un malware découvert en 2010, conçu pour saboter des centrifugeuses nucléaires en Iran. Il exploitait plusieurs zero-day dans Windows, révélant le niveau de sophistication de certaines opérations cyber offensives.

Autre exemple : WannaCry, un ransomware qui a frappé des centaines de milliers d’ordinateurs en 2017, exploitait une faille Windows révélée par le groupe Shadow Brokers. Bien qu’un correctif ait été publié juste avant l’attaque, beaucoup de systèmes n’étaient pas à jour, montrant que la gestion des correctifs reste un maillon faible. Ces exemples rappellent l’impact dévastateur que peuvent avoir des failles non corrigées.

Non. Les parcours de Bexxo Academy sont conçus pour être accessibles à tous les niveaux, du collaborateur sans formation informatique au responsable IT. Chaque parcours s'adapte au profil du participant. Les modules courts (10 à 20 minutes) s'intègrent facilement dans une journée de travail sans perturbation.

Dans la majorité des cas, non. Payer la rançon ne garantit pas la récupération : 56 % des organisations qui ont payé n'ont récupéré leurs données que partiellement (Sophos 2024), et 80 % sont réattaquées dans l'année. Bexxo évalue d'abord toutes les options techniques — déchiffrement, sauvegardes, extraction forensique — avant d'envisager toute négociation, qui reste un dernier recours.

Pour une PME suisse, externaliser la fonction RSSI (vCISO — Virtual CISO) est souvent plus rentable qu'un recrutement à temps plein. Bexxo peut assurer ce rôle : définition de la politique de sécurité, participation aux réunions de direction, gestion des incidents et reporting — à un coût adapté à votre taille.