Mesurer une campagne de sensibilisation phishing avec le seul taux de clic est devenu insuffisant. Les organisations qui font progresser leur posture mesurent 4 indicateurs convergents et regardent le funnel complet — du mail envoyé à l’incident évité. Voici la grille que nous utilisons en mission, avec des seuils de référence sectoriels.
Ce qu’une campagne doit vraiment mesurer
Une campagne de sensibilisation n’a pas pour objectif de faire baisser le taux de clic à 0 %. C’est mathématiquement impossible et opérationnellement contre-productif (incitation au reporting fictif). Les vrais objectifs :
- Faire baisser le taux de saisie de credentials (l’étape qui compromet vraiment)
- Faire monter le taux de reporting (mails douteux signalés au SOC)
- Faire baisser le délai moyen de détection d’une vraie campagne (TTD)
- Identifier les populations à risque pour les former en priorité
Le funnel phishing en 5 étages
Lecture : sur 100 mails envoyés, 95 passent le SEG, 60 sont ouverts, 15 déclenchent un clic, 3 conduisent à une saisie de credentials. C’est l’étage 5 qui compte pour la sécurité réelle. C’est l’étage 4 qu’on suit pour ne pas avoir l’air bête face au COMEX.
Les 4 KPI à suivre dans le temps
| KPI | Définition | Sens de progression | Cible 12 mois |
|---|---|---|---|
| Taux de clic | Clics / délivrés | ↓ | < 8 % en moyenne |
| Taux de saisie | Saisies / clics | ↓ | < 10 % |
| Taux de signalement | Signalements / délivrés | ↑ | > 35 % |
| TTD interne | Délai du 1er signalement après envoi | ↓ | < 8 minutes |
Benchmarks par secteur
| Secteur | Clic moyen | Saisie moyenne | Signalement moyen |
|---|---|---|---|
| Banque / Finance | 6 % | 1 % | 42 % |
| Industrie | 14 % | 5 % | 18 % |
| Santé / Hôpitaux | 22 % | 9 % | 11 % |
| Collectivités | 17 % | 7 % | 14 % |
| Recherche / Universités | 20 % | 8 % | 13 % |
| Tech / Logiciel | 8 % | 2 % | 38 % |
Source : agrégation Hoxhunt, KnowBe4 et retours missions Galea 2023-2025, sur environ 480 000 envois cumulés.
Les biais qui faussent les chiffres
1. Difficulté incohérente entre campagnes
Un scénario « faux mail HR avec bouton fluo » donne 4 % de clic. Un scénario « confirmation Microsoft Teams urgente » donne 25 %. Comparer leurs résultats n’a pas de sens. Calibrer la difficulté sur une échelle stable.
2. Annonce préalable de la campagne
« On va lancer une campagne phishing la semaine prochaine » → résultats artificiellement bons, puis baisse de vigilance les autres semaines. Ne jamais annoncer.
3. Exclusion du COMEX et des admins
Les directeurs et les admins systèmes refusent souvent d’être testés. Ce sont pourtant les cibles les plus rentables pour un attaquant. Sans test sur ces populations, on a une vision incomplète.
4. Punition après clic
Sanctionner les cliqueurs casse le reporting (« si je signale c’est que j’ai cliqué donc je vais être grondé »). Recommandation : approche pédagogique systématique, formation ciblée, jamais de sanction publique.
5. Périodicité irrégulière
Une campagne par an n’apprend rien. Le bon rythme : 6 à 10 campagnes par an, ciblées par groupe (intégration, hauts privilèges, mobiles, etc.).
Une campagne sensibilisation phishing n’est pas un test, c’est un programme. Les chiffres comptent moins que la tendance sur 18 mois, et la tendance compte moins que le réflexe de signalement.
Recommandation
Démarrez avec un cycle court (3 campagnes en 6 mois), un panel large (toute l’entreprise sauf cas particuliers), un dispositif de reporting unifié (bouton « Signaler » dans Outlook/Gmail) et une boucle de feedback rapide. Mesurez les 4 KPI ci-dessus. Au bout de 12 mois, vous saurez si votre programme tient.
