Conditions techniques générales

Read this article in: English, Deutsch, Dutch

Vous trouverez ci-dessous les conditions techniques générales pour l'utilisation de nos produits.

Version actuelle : 26 novembre 2024

1 Conditions techniques générales d’utilisation de nos produits

Ce document décrit les conditions techniques générales d'utilisation de nos produits. Pour savoir si un produit est inclus dans vos prestations, veuillez consulter votre Feature Matrix.

Les conditions techniques générales d'utilisation de nos produits peuvent être modifiées. SoSafe se réserve le droit de mettre à jour les conditions techniques générales d'utilisation de nos produits sans préavis. Veuillez-vous assurer que vous utilisez la version actuelle : https://link.sosafe-awareness.com/general-technical_conditions-fr.

2 Navigateurs supportés

SoSafe supporte les navigateurs suivants et leur utilisation constitue une condition préalable à notre prestation de services : Google Chrome, Mozilla Firefox, Apple Safari et Microsoft Edge. 

Depuis avril 2023, nous ne supportons plus Microsoft Internet Explorer 11 pour le Manager et la formation en ligne. Pour le bouton d’alerte phishing, veuillez-vous référer au point 3.2.2 « Navigateurs pris en charge ».

3 Modules de service

Les sections suivantes décrivent les services proposés par SoSafe et définissent les processus et les interfaces organisationnelles nécessaires à la prestation de services.

Lors de l'implémentation de ces modules de services, il existe en principe une obligation de coopération de la part du client afin de garantir la prestation des services par SoSafe.

3.1 Simulation de phishing

Le module de simulation de phishing comprend l’envoi d’un nombre défini d’e-mails (préétablis) aux utilisateurs pendant la période de service. Ces e-mails simulent de vrais e-mails de phishing afin de sensibiliser les utilisateurs aux risques de cybersécurité causés par les attaques de phishing. Lorsqu’un utilisateur clique sur un élément de phishing (image, lien, etc.) dans l’un des e-mails de phishing simulé ou lorsqu’il est redirigé vers une page de renvoi (la page de connexion, par exemple), une page Web est appelée (ci-après dénommée « page d’apprentissage »). Cette page informe l’utilisateur sur la simulation et détaille les indices concrets qui lui auraient permis d’identifier l’e-mail en question comme une tentative de phishing.

3.1.1 Options de Simulation de phishing

• Simulation de phishing basique : les clients peuvent mettre en place une simulation simple en envoyant des e-mails de phishing à tous les utilisateurs finaux de leur organisation. Ils les recevront de manière aléatoire tout au long de la période définie par le client. 

• Simulation de spear phishing : tous les e-mails sont personnalisés pour le destinataire concerné à l’aide d’un système d’espaces réservés (par exemple, « Cher Monsieur Miller, ... ») et dans certains cas, incluent également des détails tels que le nom ou le lieu de résidence du client. 

• Simulation de spear phishing personnalisée : s’ils choisissent cette option, les clients peuvent envoyer 3 e-mails de phishing simulés supplémentaires que nous créons ensemble spécifiquement pour leur organisation (par exemple, une simulation de fraude au président). Les messages personnalisés sont fournis en anglais et en allemand. 

• En plus de la simulation de base, vous pouvez lancer des campagnes de phishing ciblé ou basé sur le comportement : 

  • Phishing ciblé : à travers d’une configuration simple, permet aux clients d’envoyer des modèles contextualisés à des groupes d’utilisateurs spécifiques, comme le service financier, informatique ou les ressources humaines. Pour ce faire, ces groupes cibles doivent être définis.

  • Simulation Studio – IA Sofie - Dans la simulation de phishing ciblé, les clients auront la possibilité de créer leurs propres modèles ainsi que de copier les modèles créés par SoSafe et de les adapter aux besoins de leurs propres cas d'utilisation.

  • Phishing basé sur le comportement : la simulation de phishing sera adaptée au niveau de difficulté et à la cadence appropriés pour chaque utilisateur afin d’améliorer l’engagement et l’efficacité de la formation. Par exemple, un utilisateur final peu sensibilisé aux menaces de phishing recevra des e-mails simulés « faciles ». En revanche, pour une personne plus aguerrie, ces messages seront de niveau « difficile ». Cette approche est selon nous le moyen le plus efficace de réduire les risques pour votre organisation.
    Pour que cette méthode fonctionne, vous devez établir une connexion Entra ID continue et activer le suivi personnalisé. 

3.1.2 Liste d’autorisation

Pour garantir l’envoi de tous les e-mails de phishing simulé à l’ensemble des utilisateurs à entraîner dans le cadre de la formation, le client doit établir une liste d’autorisation. Il s’agit d’une obligation de coopération de la part du client, sans laquelle SoSafe ne peut pas garantir la prestation de services. À ce stade, le client doit donc veiller à ce que les e-mails de phishing simulé parviennent dans leur intégralité aux boîtes de messagerie des utilisateurs et puissent être utilisés dans le cadre de la mesure de formation. Si le client ne peut pas établir lui-même la liste d’autorisation (parce qu’il a chargé un prestataire de services informatiques de gérer ses systèmes informatiques, par exemple), il doit s’assurer que la liste d’autorisation est tout de même constituée.

L’établissement d’une liste d’autorisation requiert la réalisation des étapes suivantes :

• Les serveurs de messagerie de SoSafe doivent figurer sur la liste d’autorisation du système de messagerie destinataire pour éviter le rejet des e-mails entrants.

• Tout système de filtrage existant (par exemple, une passerelle de messagerie sécurisée) doit être configuré de sorte que les e-mails de phishing simulé ne soient pas marqués comme « courrier indésirable » ou « spam », et puissent être livrés aux utilisateurs.

• Tout système existant fourni par le client pour protéger l’accès à Internet depuis les appareils de l’utilisateur (par exemple, les passerelles Web, les proxies, les paramètres de sécurité du système d’exploitation) doit être configuré de manière à garantir l’affichage non déformé des e-mails de phishing simulé dans les programmes de messagerie électronique de l’utilisateur. Ces systèmes doivent également être configurés pour permettre l’affichage des pages d’apprentissage dans un navigateur Web.

• En outre, les clients peuvent inscrire les éléments suivants sur la liste d’autorisation :

  • Adresses des expéditeurs

  • Liste des domaines utilisés

  • Serveur d’images

SoSafe fournit des instructions pour l’exécution de ces étapes avec les outils sélectionnés. Ces instructions détaillent également toutes les informations techniques nécessaires telles que les adresses IP et les noms des serveurs de messagerie, les URL à publier pour les systèmes de filtrage et les systèmes de protection des accès. Notez que l’assistance de tiers est nécessaire pour certains services externes.

3.2 Bouton d’alerte phishing

Le module de service Bouton d’alerte phishing est une fonctionnalité qui permet aux utilisateurs de signaler les e-mails qu’ils considèrent comme des tentatives potentielle de phishing. L’alerte est envoyée à une adresse électronique définie par le client simplement en transférant l’e-mail suspect. Les e-mails de phishing simulé de SoSafe ne sont pas transférés à SoSafe, mais seulement signalés. Le client doit préciser l’adresse électronique vers laquelle le transfert doit s’effectuer.

La fonctionnalité se présente sous la forme d’un complément de Microsoft Office. Pour que le complément Outlook se charge et fonctionne correctement, les serveurs et les clients doivent satisfaire à plusieurs conditions. Le bouton d’alerte phishing peut également être utilisé avec Google Workspace, avec certaines restrictions.

3.2.1 Configuration requise du client

• Le client doit utiliser l’une des applications prises en char ge pour les compléments Outlook : Les clients suivants prennent en charge les compléments :

  • Outlook 2013 ou version supérieure sous Windows

  • Outlook 2016 ou version supérieure sous Mac

  • Outlook pour iOS

  • Outlook pour Android

  • Outlook sur le web pour Exchange 2016 ou version supérieure, et Office 365

  • http://outlook.com

• Le client doit être connecté directement à un serveur Exchange ou à Office 365. Lors de la configuration du client, l’utilisateur doit sélectionner un type de compte Exchange, Office 365 ou http://outlook.com. Si une connexion POP3 ou IMAP est configurée pour le client, les compléments ne sont pas chargés.

• Alternative : Google Workspace

3.2.2 Navigateurs Web pris en charge

• Microsoft Edge v1

• Microsoft Edge v2

• Chrome

• Safari

• Firefox

• Internet Explorer 11

  • Depuis le 15 juin 2022, l’application Internet Explorer 11 (IE11) n’est plus prise en charge. Ce changement touche principalement les utilisateurs des versions 2013 et 2016 de MS Outlook. Depuis le 16 novembre 2023, les clients qui utilisent IE11 ne recevront plus les nouvelles mises à jour concernant le bouton d’alerte phishing, mais seulement les correctifs des bugs critiques. Les clients qui utilisent des versions modernes d’Outlook bénéficieront de mises à jour accélérées et de nouvelles fonctionnalités. Nous conseillons aux clients qui utilisent encore IE11 de passer à des navigateurs pris en charge pour une expérience et une assistance optimales.

3.2.3 Outlook a besoin d’un moteur de navigateur spécifique pour exécuter les compléments

Le navigateur utilisé par Outlook (en interne) est déterminé par la configuration système. Certaines versions d’Outlook avec certaines configurations système requièrent l’installation et l’activation de navigateurs spécifiques. Veuillez nous contacter pour obtenir une explication détaillée et un tableau de compatibilité.

3.2.4 Configuration requise pour le serveur de messagerie

Si l’utilisateur est connecté à Google Workspace, Office 365 ou http://outlook.com, il remplit déjà toutes les conditions requises pour le serveur de messagerie. Toutefois, pour les utilisateurs connectés à une installation de Exchange Server sur site, les conditions suivantes s’appliquent :

• Le serveur doit être Exchange 2016 ou une version ultérieure.

• Les services Web Exchange (EWS) doivent être activés et accessibles sur Internet. De nombreux compléments ont besoin d’EWS pour fonctionner correctement.

• Le serveur doit disposer d’un certificat d’authentification valide pour émettre des jetons d’identité valides. Les nouvelles installations d’Exchange Server incluent un certificat d’authentification par défaut.

• Les serveurs d’accès du client doivent être en mesure de communiquer avec AppSource pour accéder aux compléments depuis Microsoft AppSource.

• Les « expériences connectées » doivent être activées sur le serveur M365.

• Les clients doivent pouvoir se connecter à certaines adresses Web :

  • https://reporter.sosafe.de/

  • https://api.sosafe.de/

  • https://sentry.sosafe.de/

  • https://appsforoffice.microsoft.com/

  • https://ajax.aspnetcdn.com/

La réussite de l’installation et le bon déroulement du déploiement du complément ne peuvent être garantis que si le client utilise les paramètres standard du programme concerné et si aucune application tierce affectant la fonctionnalité du complément n’est en cours d’utilisation. L’assistance individuelle fournie par SoSafe lors de l’installation du complément dans une infrastructure non standard est explicitement exclue. À titre facultatif, il est possible de faire appel à des ressources disposant de l’expertise nécessaire. Pour cela, les parties concernées doivent établir un accord distinct et explicite.

3.2.5 Compatibilité des API client/serveur

Le complément Outlook utilise les services Web Exchange (EWS) ou l’API REST Outlook pour récupérer les données dans la boîte de messagerie Outlook de l’utilisateur. Les sections ci-après indiquent la disponibilité d’EWS, de l’API REST et de l’API Graph pour toutes les combinaisons Exchange Server/Client Outlook prises en charge et leur effet sur le transfert.

Microsoft Exchange sur site

Pour tous les serveurs Microsoft Exchange sur site (aucun déploiement hybride), nous pouvons seulement prendre en charge EWS.

Exchange Online/déploiements hybrides de serveurs Exchange

Pour Exchange Online et les déploiements hybrides de serveurs Exchange, nous prenons en charge la disponibilité d’EWS, de l’API REST et de l’API Graph pour les combinaisons client/serveur correspondantes :

• REST : API REST uniquement

• EWS : EWS uniquement

• Graph : API Graph uniquement

• Tous : EWS + API REST+ API Graph

Windows

macOS

Autres

¹ Abonnement à Microsoft Office 365
² Connecté à Exchange Online (déploiement hybride)
Fenêtre contextuelle Graph MSAL : chaque fois qu’un utilisateur active le bouton d’alerte phishing, il voit clignoter une fenêtre contextuelle MSAL pour connecter l’utilisateur via Graph.

Différences entre le transfert via EWS et le transfert via l’API REST/Graph

Le transfert peut être effectué en mode « .eml » ou en mode « split ». Les différences entre les deux modes sont exposées dans le tableau ci-après. En fonction de l’API disponible et du mode de transfert configuré, les fichiers suivants sont transférés aux adresses électroniques du client :

³ Si l’e-mail contient des pièces jointes

3.2.6 Phishing Feedback

Phishing Feedback est un mécanisme automatisé de feedback pour les e-mails signalés à l’aide de notre bouton d’alerte phishing (PRB). Cette fonctionnalité partage automatiquement le résultat de l’analyse d’un e-mail signalé avec l’utilisateur à l’origine du signalement. Actuellement, elle ne permet pas d’analyse automatisée. 

Cette fonctionnalité peut être utilisée avec ou sans intégration à un système de billetterie. 

Il est possible d’intégrer Phishing Feedback à Jira Service Management et à ServiceNow. SoSafe transmettra les instructions pour cette implémentation. 

Avis de non-responsabilité : l’équipe interne du client est chargée de classer les rapports d’e-mails avec le bouton d’alerte de phishing (PRB). Les résultats de ces évaluations, tels que fournis par le client, seront incorporés par SoSafe aux e-mails de feedback envoyés à l’utilisateur final (à l’origine du signalement). SoSafe ne garantit pas l’exhaustivité ou l’exactitude des résultats de l’analyse du client. Par conséquent, le client reconnaît et accepte que SoSafe n’est pas responsable de l’exhaustivité ou de l’exactitude des résultats d’analyse incorporés par SoSafe dans l’e-mail de feedback à l’utilisateur final ni de tout dommage potentiel qui pourrait en résulter. 

3.3 Reporting Nudges

Reporting Nudges est une fonctionnalité du bouton d’alerte phishing, conçue pour aider les utilisateurs à identifier les e-mails potentiellement malveillants. Son principal objectif est de sensibiliser les utilisateurs aux facteurs critiques à prendre en compte au moment d’évaluer le niveau de menace des e-mails.

3.3.1 Critères d’évaluation de Reporting Nudges

Reporting Nudges utilise une évaluation basée sur cinq facteurs clés pour déterminer le risque potentiel d’un e-mail :

• Authentification de l’e-mail : des contrôles sont effectués à l’aide des protocoles SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) et DMARC (Domain-based Message Authentication, Reporting & Conformance) pour authentifier la source de l’e-mail. Notez que ce facteur de risque, bien qu’essentiel à notre évaluation, n’est pas explicitement affiché pour les utilisateurs dans l’interface utilisateur.

• Informations sur l’expéditeur : le domaine et le nom de l’expéditeur sont vérifiés pour confirmer leur légitimité.

• Pièces jointes de l’e-mail : Reporting Nudges examine les types de pièces jointes incluses dans l’e-mail et envoie une notification s’il détecte des types de pièces jointes qui sont généralement associés à des risques de sécurité.

• Liens intégrés : tous les liens intégrés sont analysés à la recherche des caractéristiques types des tentatives de phishing.

• Contenu de l’e-mail : le contenu de l’e-mail est examiné pour vérifier la présence de termes souvent utilisés dans les communications de phishing.

Reporting Nudges est intégralement implémenté dans le client de messagerie de l’utilisateur. Cela garantit qu’aucune donnée d’email n’est transmise à des tiers et permet à Reporting Nudges de respecter implicitement les exigences du RGPD (Règlement général sur la protection des données).

3.3.2 Zoom sur la fonctionnalité Reporting Nudges

Reporting Nudges est un outil principalement conçu pour renforcer la sensibilisation et la vigilance des utilisateurs lors de l’identification d’e-mails potentiellement dangereux. Il est essentiel de comprendre que Reporting Nudges ne classe pas et ne classera pas définitivement un e-mail comme 100 % sûr ou comme tentative de phishing confirmée. Il a plutôt vocation à aider les utilisateurs à identifier les signes révélateurs souvent associés aux e-mails malveillants.

Dans le cadre du processus d’évaluation, Reporting Nudges analyse les liens contenus dans l’e-mail, en particulier leurs attributs, sans les ouvrir ni les activer. Cette approche permet d’identifier les caractéristiques généralement associées aux tentatives de phishing.

De même, l’évaluation des pièces jointes des e-mails s’appuie uniquement sur le type du fichier. Le contenu des pièces jointes n’est pas ouvert ou analysé dans un environnement de test pour déterminer son caractère potentiellement malveillant.

3.3.3 Compatibilité des API client/serveur avec Reporting Nudges

Remarque : ce tableau contient des informations sur la compatibilité de Reporting Nudges avec les différents systèmes d’exploitation, la version d’Office et l’installation ou non d’Edge WebView2 (basé sur Chromium). Les mentions « Sans objet » et « Sans importance » indiquent qu’un critère particulier n’est pas pertinent pour une combinaison spécifique de système d’exploitation et de version d’Office.

3.3.4 Clause de non-responsabilité

SoSafe décline expressément toute responsabilité découlant d’incidents pour lesquels les données d’évaluation générées par Reporting Nudges sont utilisées comme seule base pour les décisions relatives à la sécurité des e-mails, et pour lesquels un événement de cybersécurité se produit par la suite. Reporting Nudges est conçu comme un outil pédagogique qui permet de renforcer la sensibilisation et le discernement des utilisateurs, plutôt que de garantir à 100 % la sécurité des e-mails.

3.4 Bouton d’alerte phishing assisté par l’IA Sofie

Le bouton d’alerte phishing (PRB) assisté par l’IA Sofie est un outil avancé anti-phishing alimenté par l'IA, conçu pour sensibiliser à la sécurité en fournissant une assistance contextuelle par courrier électronique directement dans votre client Microsoft Outlook.

Limites et compatibilité

• Le PRB alimenté par l’IA Sofie est disponible exclusivement pour les versions 7.1.0 et ultérieures de Microsoft Outlook.

• Cette fonctionnalité n'est pas compatible avec les environnements Outlook Legacy qui utilisent Internet Explorer 11 (IE11) ou la version d’origine de Microsoft Edge (Edge v1). La prise en charge de ces plateformes ne sera pas implémentée.

• Actuellement, l’activation du PRB alimenté par l’IA Sofie se fait à l'échelle de l'organisation. Il ne peut pas être limité à des groupes spécifiques ou à des sous-ensembles d'utilisateurs au sein d'une organisation.

• Les aides à l’identification et les fonctionnalités de l’IA Sofie ne peuvent pas être activées simultanément. Les organisations doivent choisir une seule de ces fonctions à la fois.

3.5 Formation en ligne

Le module de formation en ligne inclut la possibilité pour tous les utilisateurs autorisés d’un client d’accéder au nombre convenu de cours de formation dans le cadre de la prestation de services. Les cours transmettent des connaissances dans le domaine de la cybersécurité et couvrent un large éventail de sous-thèmes et de sujets apparentés.. Les cours réservés sont accessibles depuis la plateforme de formation de SoSafe ou peuvent être intégrés au Learning Management System (LMS) existant du client via le streaming SCORM. Les cours sont composés de vidéos pédagogiques et de modules interactifs.

Les vidéos pédagogiques peuvent être utilisées avec ou sans sortie acoustique (celle-ci peut être contrôlée localement au moyen du système d’exploitation ou du navigateur de l’utilisateur). Toutes les versions linguistiques (voir la section « Pack multilingue ») des vidéos pédagogiques sont dotées d’une piste audio et de sous-titres. Pour une expérience d'apprentissage optimale, nous recommandons de suivre les leçons en mode plein écran. Certains cours ne sont pas optimisés pour les appareils mobiles.

3.5.1 Accès depuis la plateforme de formation

La plateforme de formation propriétaire de SoSafe est disponible à l’adresse suivante : https://elearning.sosafe.de. Les utilisateurs peuvent s’inscrire avec leur adresse électronique professionnelle. Il est également possible d’utiliser un code d’accès anonyme.

• Personnalisation de base : personnalisation de base des parcours utilisateur en fonction de facteurs tels que la définition d’objectifs, la durée, les jalons de réalisation, les préférences linguistiques, les cours sélectionnés et les informations fournies par le Survey Hub. Les paramètres de personnalisation à venir dépendront du pack choisi. Les fonctionnalités Enquête d'évaluation des risques et Évaluations du degré de sensibilisation sont exclusivement compatibles avec la personnalisation de base.

Certaines fonctionnalités supplémentaires de formation en ligne ne sont actuellement pas compatibles avec la personnalisation de base (gestion des politiques, escalade des managers).

• Pour la formationen ligne, le nombre convenu de leçons et de vidéos pédagogiques peut être activé pour tous les utilisateurs du client à partir des leçons interactives disponibles sur la cybersécurité. Une fonction de rappel envoie un e-mail de rappel aux utilisateurs qui ne sont pas encore inscrits ou qui n’ont pas encore terminé les cours individuels

• Une fonction de rappel envoie un e-mail de rappel aux utilisateurs qui ne sont pas encore inscrits ou qui n’ont pas encore terminé les cours individuels.

• Lorsqu’ils utilisent la plateforme de formation de SoSafe, les utilisateurs reçoivent un certificat pour tous les cours validés.

• Gamification : sur la plateforme de formation de SoSafe, les utilisateurs passent des niveaux, collectent des badges et peuvent visualiser leurs progrès dans une synthèse de leur réussite personnelle.

• Gestion du contenu :

  • Moteur de personnalisation : grâce à l’utilisation des espaces réservés, le contenu disponible sur la plateforme de formation peut être personnalisé pour répondre aux besoins et aux règlements de votre entreprise.

  • Gestion des politiques : téléchargez des politiques, présentez-les à vos collaborateurs et suivez leur acceptation à l’aide de rapports téléchargeables.

  • Modules personnalisés : téléchargez et diffusez votre contenu de cybersécurité SCORM 1.2 sur notre plateforme de formation. Les conditions techniques sont les suivantes :

    • Certains outils de création sont compatibles

    • Limites de téléchargement  : 150 Mo pour les cours, 10 Mo pour les images

    • Le questionnaire doit être réussi avec >75%.

    • Catégorisation limitée des cours et regroupement des langues

    • Nous prenons en charge les cours statiques SCORM1.2.

• Escalade des managers : programmez des mises à jour par e-mail pour les responsables du personnel et tenez-les informés des progrès de leur équipe dans le cadre de la formation en ligne.

Escalade des managers est actuellement disponible aux conditions suivantes :

• Pas de personnalisation de base active

• Personnalisation de base et Sofie Copilot actifs.

• Pour s’inscrire sur la plateforme de formation de SoSafe, il est également possible d’utiliser l’authentification unique via Microsoft Entra ID, Google ou Okta. Pour permettre à la plateforme de formation de s’authentifier auprès du fournisseur d’identités, un fournisseur d’identités dans le Cloud est requis (configuration hybride possible). Le protocole utilisé est OAuth 2.0 ou SAML 2.0. Il convient parfaitement aux applications Web. Seule une autorisation unique de notre application Web délivrée par l’administrateur du client est requise. Les exigences techniques pour l’authentification unique sont consultables sur le site http://support.sosafe.de.

3.5.2 Accès depuis le LMS du client

Les courssont fournis au format SCORM 1.2 sous forme de fichiers conteneurs. Ces fichiers conteneurs peuvent être intégrés au LMS. Le contenu des cours est ensuite mis à disposition par un serveur de streaming de SoSafe au moment de l’accès. Pour cela, l’accès au serveur de streaming à l’adresse lms.sosafe.de doit être garanti. Pour les installations plus anciennes, l’accès à lms0.sosafe.de peut être nécessaire.

L'assistance individuelle de SoSafe lors de l'installation des cours dans un LMS est explicitement exclue et explicitement exclue et il est renvoyé à l'assistance du LMS.

SoSafe Manager

Le client peut utiliser l’adresse https://manager.sosafe.de pour accéder à SoSafe Manager, qui est uniquement disponible en anglais et en allemand. SoSafe Manager est le portail d’administration des mesures de sensibilisation. Dans le tableau de bord avec rapports disponible sur le portail, le client peut consulter les différents chiffres clés concernant les composants de service commandés, par exemple les taux de clic des e-mails de phishing simulé, les progrès de la formation en ligne de manière générale et, en fonction de l’accord de service, les résultats de la formation en ligne de chaque collaborateur. Les données exactes pouvant être consultées et traitées sont régies par un accord distinct sur le traitement des données. À titre facultatif, il est possible de sécuriser l’accès par une authentification multifacteur (AMF).

• Charte graphique : le logo du client est affiché en haut des pages d’apprentissage associées à la simulation de phishing, ainsi que sur la plateforme de formation de SoSafe. Les boutons et les éléments graphiques colorés des pages d’apprentissage et de la plateforme de formation peuvent être adaptés à l’identité visuelle du client. En outre, le texte informatif (général, indépendant de l’e-mail) figurant sur les pages d’apprentissage peut être créé ou adapté selon les besoins du client. Si le logo et la palette de couleurs sont disponibles gratuitement, SoSafe peut se charger de la disposition. Dans le cas contraire, les données correspondantes seront fournies par le client. Pour l’intégration, le client garantit qu’il détient les droits d’utilisation du logo et est responsable de toute violation des droits des tiers.

• Support d’appui à la sensibilisation : vous recevez des supports numériques pour votre campagne de sensibilisation, tel que des affiches, des économiseurs d’écran, des dépliants et des modèles de communication.

• Pack multilingue : une sélection d’e-mails de phishing, de pages d’apprentissage et de contenus d’apprentissage sont disponibles dans d’autres langues. Actuellement, jusqu’à 30 langues sont disponibles. Une liste actualisée sera communiquée sur demande.

• Gérer les administrateurs : en fonction du pack réservé, vous pouvez ajouter un certain nombre d'utilisateurs avec des droits d'administration. Ces utilisateurs doivent avoir une messagerie dont le nom de domaine fait partie de votre organisation.

3.6.1 Attribution des autorisations d’accès aux utilisateurs 

Il existe deux façons de transférer les données des utilisateurs : via une liste d'utilisateurs ou de manière automatisée via une connexion SCIM. Le client doit s'assurer que seules les adresses e-mail dont le domaine appartient au client sont transférées.

• Avec la Gestion des utilisateurs, les clients peuvent simplement télécharger une liste d’utilisateurs pour la simulation de phishing et/ou la formation en ligne. Un modèle (fichier Excel) est fourni à cet effet. La transmission de la liste des utilisateurs à SoSafe s’effectue au moyen d’une connexion de données sécurisée. Pour cela, le client se verra attribuer un compte utilisateur. Le nombre réel d’utilisateurs disponibles dans le système ne doit pas dépasser le nombre d’utilisateurs sous licence (limite supérieure prévue au contrat).

• Le client peut à tout moment mettre à jour la liste des utilisateurs en utilisant l’adresse du portail SoSafe Manager susmentionnée, en cas de changement dû à des variations, etc.

• Automatic user provisioning : Approvisionnement automatique des accès aux utilisateurs : Nous prenons en charge cette attribution à l’aide d’une intégration directe ou par connexion SCIM. Les intégrations directes sont prises en charge pour Google Workspace. Les intégrations par les connexions SCIM sont prises en charge pour Microsoft Entra, Okta et Jumpcloud. Le sous-processeur Kombo supporte plus de 30 intégrations qui sont listées dans l'article correspondant sur http://support.sosafe.de.

  • La connexion SCIM à SoSafe Manager supporte uniquement les transferts de données à partir de Microsoft Entra ID. Aucun Active Directories on-premise n’est pris en charge. 

  • La connexion SCIM ne permet de connecter qu’un seul AD source. Toutes les données utilisateur à transférer doivent être gérées par le client dans un seul tenant. La connexion à plusieurs tenants n’est pas prise en charge. 

  • Si une connexion à SoSafe Manager est établie pour le provisionnement des utilisateurs, la gestion des utilisateurs s’effectue exclusivement avec l’outil source côté client ; il n’est pas possible de combiner différents modes de provisionnement et/ou le téléchargement manuel d’utilisateurs.

  • Aucun groupe imbriqué n’est pris en charge.

  • Chaque personne ne peut appartenir qu’à un seul groupe d’utilisateurs à la fois.

  • Les exigences techniques pour le provisionnement des utilisateurs sont consultables sur le site http://support.sosafe.de .

• Groupes d'utilisateurs : la fonctionnalité permettant de combiner de nouveaux groupes d'utilisateurs en fonction des profils offre une approche plus dynamique de la diffusion ciblée et de l'analyse. Ces groupes peuvent actuellement être utilisés pour la diffusion ciblée de simulations de phishing et pour la formation en ligne.

  • Les groupes d'utilisateurs basés sur les profils ne sont actuellement pas visibles dans l’analyse des données.

  • Les groupes d'utilisateurs basés sur les profils sont uniquement disponibles pour les données utilisateurs fournies automatiquement, et non pour les données utilisateurs ajoutées manuellement.

3.6.2 Analyse des données

Un tableau de bord d'analyse avec les principales métriques comportementales, y compris les progrès en matière de phishing et de formation en ligne.

• Avis des utilisateurs : vous pouvez consulter les avis des utilisateurs.

• L’évaluation contient des points de référence sur tous les chiffres clés qui sont comparés à la moyenne des clients.

• Rapports ISO 27001 : les données sont évaluées conformément à la norme ISO 27001.

• Évaluation par des experts : outre les dispositions relatives à la liste des utilisateurs, la liste peut être enrichie de classifications supplémentaires. Il peut s’agir, par exemple, de groupes d’utilisateurs basés sur les entités organisationnelles ou les sites du client. Les évaluations figurant dans le tableau de bord sont ensuite différenciées selon cette classification. Lorsque le client définit la classification, les dispositions de l’accord sur le traitement des données doivent toujours être respectées : par exemple, la taille minimale d’un groupe d’utilisateurs ne doit pas être inférieure à 5 personnes pour des raisons liées à la protection des données.

• Étude comparative par des experts : l’évaluation inclut des points de référence supplémentaires, tels que le secteur d’activité du client et la taille de l’entreprise. Cela peut être demandé par le Responsable Relations Clients concerné.

• Export de données : vous pouvez télécharger les données d’évaluation au format Excel ou CSV.

• Intégrations des analyses des données: Nous offrons la possibilité d’exporter automatiquement vos fichiers vers OneDrive. Vous pourrez ensuite les importer dans n’importe quel outil interne prenant en charge les documents OneDrive. Nous travaillons à prendre en charge d’autres solutions, telles que Power BI.  
  Avis de non-responsabilité : l’équipe interne du client est seule responsable de l’utilisation de SoSafe avec une automatisation élaborée à partir de l’intégration des analyses des données. Le client reconnaît et accepte que SoSafe n’est pas responsable de cette automatisation, ni de l’exhaustivité ou de l’exactitude des données analytiques contenues dans le fichier pendant la durée de l’accord, ni de tout dommage potentiel qui pourrait en résulter. 

• Intégrations des analyses de données : nous offrons la possibilité d'exporter automatiquement vos fichiers vers OneDrive, Power BI, Vanta ou tout autre outil auquel vous pouvez connecter l'API SoSafe.

  • OneDrive : exportez vos données en toute transparence vers un fichier Excel grâce à notre intégration Microsoft OneDrive. Bénéficiez d'un accès sécurisé et instantané à vos fichiers, à tout moment et en
    tout lieu. Simplifiez votre flux de travail grâce à la synchronisation et au stockage quotidiens. Prérequis :

    • Données : l'intégration de OneDrive peut synchroniser les simulations d'apprentissage en ligne et les simulations de phishing dans un dossier de votre choix en vue d'un traitement ultérieur.

    • Accès à la page d'intégration de SoSafe Manager et à OneDrive

    • Accès aux privilèges administrateurs sur Microsoft Entra ID ou en attente de l'approbation par un administrateur informatique.

o  PowerBI : connectez-vous à votre compte Power BI pour gérer vos ensembles de données, vos flux de données et vos rapports dans Power BI. Augmentez la productivité de votre équipe en maintenant votre compte Power BI à jour – sans saisie manuelle de données. Prérequis :

Données : l'intégration de Power BI peut implémenter des données de formation en ligne et de simulation de phishing sur votre compte Power BI.

Licence Power BI Pro ou supérieure

Accès aux privilèges administrateurs sur Microsoft Entra ID ou en attente de l'approbation par un administrateur informatique.

Le compte utilisé dans SoSafe doit pouvoir créer des ensembles de données dans l'espace de travail Power BI.

o  Vanta : cette intégration automatise la collecte des preuves de réalisation des formations à la cybersécurité et à la sensibilisation des employés dans l'outil de GRC Vanta. Prérequis :

Données : l'intégration de Vanta peut implémenter les données de réalisation de la formation en ligne dans votre tableau de bord Vanta pour suivre les progrès en matière de conformité.

Licence Vanta

La formation en ligne est mise en place dans le moteur de formation personnalisé.

Le suivi personnalisé est activé.

o  API SoSafe : l'API SoSafe permet aux entreprises d'obtenir des informations importantes sur leurs formations en ligne en matière de cybersécurité directement à partir de SoSafe, sans avoir à se connecter et à télécharger des rapports manuellement sur SoSafe Manager. Prérequis :

Données : le point de terminaison de la formation en ligne permet de récupérer les progrès des utilisateurs quant aux modules et campagnes de formation qui leur ont été attribués. Une fois les données renvoyées, elles peuvent être filtrées pour en extraire des informations spécifiques, selon les besoins.

Accès à la page de gestion des clés API de SoSafe Manager

Compétence technique sur la manière de travailler avec l'API

Avis de non-responsabilité : l’équipe interne du client est seule responsable de l’utilisation de SoSafe avec une automatisation élaborée à partir de l’intégration des analyses des données. Le client reconnaît et accepte que SoSafe n’est pas responsable de cette automatisation, ni de l’exhaustivité ou de l’exactitude des données analytiques contenues dans le fichier pendant la durée de l’accord, ni de tout dommage potentiel qui pourrait en résulter.

3.6.3 Multi-location 

Notre pack Multi-location offre la possibilité d’utiliser plusieurs instances d’application (locataires) par compte client. Les données de chaque locataire sont isolées et demeurent invisibles pour les autres locataires. La configuration des différentes propriétés de plateforme est également personnalisée pour chaque locataire, y compris, mais sans s’y limiter, les droits d’administration, les listes d’utilisateurs, les espaces réservés, la charte graphique, les modèles de simulation de phishing, le streaming SCORM, le bouton d’alerte phishing, et bien plus encore.

3.7 Sofie Copilot

3.7.1 Rapid Awareness 

Les membres de l’équipe sécurité peuvent envoyer directement des alertes en temps réel via le bot Sofie de MS Teams, ciblant chaque collaborateur individuellement et assurant une sensibilisation permanente. 

Après avoir fourni la configuration du bot Microsoft via le Manager SoSafe, les administrateurs du client pourront créer des ébauches ou programmer des alertes à envoyer au groupe d’utilisateurs sélectionné. Rapid Awareness est un moyen pratique de communiquer des messages importants à vos collaborateurs ou de partager des informations pertinentes concernant vos pratiques ou vos avancées en matière de cybersécurité. 

3.7.2 Support virtuel préalable

Transformez votre assistance de sécurité avec l’IA conversationnelle. Au préalable, les administrateurs du client doivent déployer la configuration du bot Microsoft via le Manager SoSafe. Ensuite, ils pourront définir, configurer et entraîner Sofie. Le copilote utilisera cette configuration de gestion des connaissances pour interagir avec vos utilisateurs. 

Questions courantes : les 10 questions les plus courantes sont disponibles sur le gestionnaire de l’assistance de niveau zéro et révèlent les lacunes en matière de connaissances au sein d'une organisation.

Sofie est désormais l'un des canaux de communication utilisés par le Human Risk OS pour faciliter le changement de comportement. Plus d'informations à ce sujet dans la section HROS.

Pour des instructions plus détaillées sur la configuration et la gestion de l’application Microsoft Teams, consultez notre Guide d’installation. https://support.sosafe.de/ADOCFR/how-to-install-the-ms-teams-app-sofie-rapid-awaren 

Avis de non-responsabilité : utilisation à des fins d’information uniquement. En utilisant le niveau de support zéro de Sofie, le client reconnaît et accepte que les réponses du bot sont fournies à titre informatif seulement et ne constituent ni ne remplacent une opinion professionnelle. Les utilisateurs doivent faire preuve de discernement lorsqu’ils agissent sur la base des conseils du bot et demander un avis de spécialiste si nécessaire. 

4. Contenu supplémentaire

4.1 Contenu complémentaire 

Outre les cours sur la cybersécurité, le contenu complémentaire couvre un large éventail de sujets liés à la conformité. Pour la liste des cours et des langues disponibles, consultez les documents « Aperçu des fonctionnalités » et « Aperçu contenu et langues ». 

4.2 Contenu basé sur les rôles 

Nous fournissons un contenu spécialisé adapté aux différents rôles au sein d’une entreprise. Consultez notre aperçu des langues pour connaître les dernières disponibilités linguistiques. Le déploiement dépend des groupes d’utilisateurs du client et est actuellement possible sans la fonction de personnalisation. 

Du contenu spécifique est disponible pour les rôles suivants :  

• Membres de la DSI : il est possible d’activer pour tous les utilisateurs le nombre convenu de cours interactifs sur la cybersécurité destinés aux spécialistes en informatique. 

• Responsables : il est possible d’activer pour tous les utilisateurs le nombre convenu de cours interactifs sur la cybersécurité destinés aux responsables.

• Membres du service financier : il est possible d’activer pour tous les utilisateurs le nombre convenu de modules interactifs sur la cybersécurité destinés aux membres du service financier.

• Opérateurs manuels : cette formation spécifique est proposée sous la forme d’un kit PDF imprimable. Il contient des instructions détaillées pour aider les responsables à communiquer sur les pratiques de cybersécurité, ainsi que des documents pour les travailleurs couvrant des points essentiels à ce sujet.  

• Développeurs : une vidéo SoSafe de sensibilisation générale à la cybersécurité est disponible dans la catégorie « Spécialistes informatiques ». En collaboration avec nos partenaires SecureFlag, nous proposons également une formation détaillée complémentaire et une expérience pratique. Les contenus partenaires seront diffusés en dehors de notre plateforme.

5 Niveaux de service

SoSafe propose différents types de services en fonction du niveau de service réservé. Veuillez vous référer à votre Matrice des Fonctionnalités pour voir quelles fonctionnalités s'appliquent à votre plan d'abonnement.

5.1 Implémentation

• Implémentation rapide : Vous recevrez des services de mise en œuvre non personnalisables basés sur nos recommandations de meilleures pratiques. Des documents supplémentaires vous seront fournis pour vous guider tout au long du processus.

• Implémentation de la solution tout inclus : votre Responsable Intégration de projet attitré vous aide et vous conseille sur la configuration avancée de votre plateforme de sensibilisation : approches fondées sur les meilleures pratiques, liste d’autorisation, recommandations en matière de communication incluant des modèles et une gestion des utilisateurs garantissant la qualité des données.

  • Planification détaillée : nous sommes en mesure d’adapter les délais d’envoi aux exigences de chaque client, par exemple les périodes de vacances et les fuseaux horaires.

  • Analyses détaillées : elles incluent les mêmes indicateurs de performance clés que la fonction Analyse des données classique, mais permet également de les regrouper en fonction des groupes d’utilisateurs ou des données étendues. Les clients disposant de la fonctionnalité Analyses détaillées peuvent utiliser les champs Données étendues dans leurs adresses utilisateur. Les données étendues peuvent être des régions ou des départements supplémentaires que les clients souhaitent filtrer et voir apparaître dans les analyses des données. Les données étendues dans les analyses des données ne sont visibles que si des analyses de données personnalisées ont été décidées avant le lancement des mesures de sensibilisation.

5.2 Assistance

Les délais d'assistance sont soumis aux délais de réponse généraux indiqués dans nos accords de niveau de service (SLA). Dans le cadre de ces accords, la priorité est définie par le service que vous avez réservé.

• Accès à la base de connaissances : vous aurez accès aux articles de notre base de connaissances.

• Assistance prioritaire : Vos demandes d’assistance de manière sont traites prioritaire pendant les horaires d’assistance.

5.3 Customer Success

Nous proposons une assistance à la clientèle soit par email, soit par customer success qui peut vous conseiller sur la stratégie de sensibilisation à la sécurité et vous aider à utiliser SoSafe en permanence.

6 Human Risk OS™

Notre plateforme est une solution des plus complètes qui réunit une fonctionnalité de détection des risques en temps réel, des connaissances comportementales améliorées et un ensemble d’interventions ciblées, tout en s’intégrant aux outils que vous utilisez et auxquels vous faites confiance. En favorisant une culture de la sécurité proactive et positive, Human Risk OS™ renforce la résilience face aux risques liés à l’humain et à l’ingénierie sociale. 

Pour assurer le bon fonctionnement de la plateforme, vous devez établir une connexion Entra ID continue et activer le suivi personnalisé.  

Human Risk OS™ compte trois composants principaux : 

• Capteurs/signaux de comportement humain – mesurer les activités numériques, les comportements et la culture de la sécurité d’une organisation. Il peut s’agir de détecteurs internes (par exemple, dans le cadre du produit SoSafe CSAT) ou tiers (dans le cadre de l’écosystème élargi du client, tel que Microsoft Entra), ce qui permet de créer des profils d’événements personnalisés ou à l’échelle du groupe.   

• Human Security Index : traite les données du détecteur d’évolution du comportement et des informations contextuelles supplémentaires pour créer un indice unique qui permet de suivre les performances des groupes et des organisations en matière de cybersécurité. Il donne aux entreprises les moyens de repérer rapidement les domaines préoccupants et de surveiller les progrès et l’évolution au fil du temps, ainsi que l’impact des différents types d’interventions.  

• Hub/fil d'interventions  : centralise toutes les interventions effectuées à l’intérieur ou à l’extérieur de la plateforme SoSafe. À partir d’un groupe d’utilisateurs finaux, le hub proposera des stratégies pour atténuer le risque correspondant. Ces interventions peuvent être automatisées (ajustement des parcours de formation, rappel automatisé du Sofie Copilot, etc.) ou semi-automatisées (lancement d’un programme de gestion du changement). Elles peuvent contribuer à modifier des comportements spécifiques et à influencer positivement le Human Security Index au fil du temps.

• Intégrations :

  • Signaux actuellement pris en charge par Human Risk OS :

    • Formation personnalisée SoSafe

    • Simulation de phishing SoSafe

    • SoSafe Sofie

    • Enquête sur la culture SoSafe

    • Microsoft Entra ID

7 Plateforme de sensibilisation en libre-service

• Ce Pack n’est disponible que pour les clients comptabilisant entre 5 et 250 utilisateurs.

• Pour le Pack, tous les utilisateurs doivent être inscrits avec le MÊME nom de domaine de messagerie (domaine unique seulement).

• Le client reçoit des instructions (fichier PDF téléchargeable) sur la plateforme en self-service (https://app.sosafe.de) qui expliquent toutes les étapes requises telles que l’établissement d’une liste d’autorisation, d’une manière compréhensible pour l’utilisateur moyen.

• Toutes les informations pertinentes (données de base du client, données de facturation, etc.) doivent être saisies par le client depuis la plateforme.

• Un modèle (fichier Excel) est fourni pour la transmission de la liste des utilisateurs, dont la disposition doit être respectée afin d’assurer le bon téléchargement des données sur la plateforme en self-service. Cette liste d’utilisateurs peut être mise à jour par le client. Le nombre réel d’utilisateurs dans le système ne doit pas dépasser le nombre d’utilisateurs sous licence (limite supérieure prévue au contrat).

• Un accord type sur le traitement des données est fourni, il doit être signé et téléchargé par le client.

• Analyse des données : comprend l’accès au portail SoSafe Manager, y compris le tableau de bord analytique pour analyser les indicateurs de performance clés (tels que les taux de clic et de complétude).

• Les modules de formation interactifs et les vidéos pédagogiques dans le cadre de la formation en ligne sont fixes et ne peuvent pas être modifiés. Un pack pertinent pour le secteur peut être sélectionné pour la simulation de phishing.

8 Plateforme des partenaires

• Les partenaires qui gèrent des clients comptant jusqu'à 250 utilisateurs ont accès à la plateforme des partenaires SoSafe à l'adresse https://app.sosafe.de/ .

• Configuration du client

o  Le partenaire configure le nouveau client sur la plateforme. Il saisit, pour le compte du client, toutes les données nécessaires, telles que le nom du client, la durée du contrat, le nombre de licences, le domaine, la langue de l'application, l'adresse, le numéro de téléphone et le logo du client.

• Gestion des utilisateurs

  • Le partenaire ajoute les utilisateurs pour le compte du client, soit manuellement, soit en utilisant le modèle Excel fourni pour la transmission de la liste des utilisateurs, dont le plan doit être respecté afin de garantir le bon téléchargement des données vers la plateforme des partenaires.

  • Cette liste d’utilisateurs peut être mise à jour par le partenaire. Le nombre réel d’utilisateurs dans le système ne peut pas dépasser le nombre d’utilisateurs sous licence (limite supérieure prévue au contrat).

  • Le partenaire doit s'assurer que toutes les exigences légales sont respectées lors du téléchargement et de l'utilisation des données utilisateurs du client final pour le compte de ce dernier. Cela comprend notamment la conclusion d'un accord de traitement des données entre le partenaire et le client final.

• Simulation

  • Le module de simulation de phishing comprend l’envoi d’un nombre défini d’e-mails (préétablis) aux utilisateurs pendant la période de service. Ces e-mails simulent de vrais e-mails de phishing afin de sensibiliser les utilisateurs aux risques de cybersécurité causés par les attaques de phishing. Lorsqu’un utilisateur clique sur un élément de phishing (image, lien, etc.) dans l’un des e-mails de phishing simulé ou lorsqu’il est redirigé vers une page de renvoi (la page de connexion, par exemple), une page Web est appelée (ci-après dénommée « page d’apprentissage »). Cette page informe l’utilisateur sur la simulation et détaille les indices concrets qui lui auraient permis d’identifier l’e-mail en question comme une tentative de phishing.

  • Le partenaire définit la date de début de la campagne de simulation pour le compte du client.

    • La simulation de phishing de référence comprend 3 modèles d'e-mails envoyés sur une période d'une semaine.

    • La simulation de phishing en continu comprend 12 modèles d'e-mails (différents contextes et niveaux de difficulté) envoyés de manière aléatoire tout au long de la période de simulation, au cours des 11 prochains mois.

• Liste blanche

  • Pour garantir l’envoi de tous les e-mails de phishing simulé à l’ensemble des utilisateurs à former, une liste blanche doit être établie. Il s’agit d’une obligation de coopération de la part du partenaire et du client final, sans laquelle SoSafe ne peut pas garantir la fourniture des services.

  • Le partenaire peut choisir, pour le compte du client, l'une des deux méthodes d'inscription sur la liste blanche :

    • Liste blanche de serveurs de messagerie et de domaines d’envoi

    • Liste blanche d'en-têtes d'e-mails personnalisés

  • SoSafe fournit, sur la plateforme des partenaires, des instructions de création de liste blanche qui doivent être suivies par le partenaire. Ces instructions détaillent également toutes les informations techniques nécessaires telles que les adresses IP et les noms des serveurs de messagerie, les URL à publier pour les systèmes de filtrage et les systèmes de protection des accès.

  • Une fois la liste blanche testée, le partenaire doit mettre à jour le statut de la liste blanche et le faire passer à « confirmé » pour activer la campagne de simulation.

• Formation en ligne

  • Le module de formation en ligne inclut la possibilité pour tous les utilisateurs autorisés d’un client d’accéder au nombre convenu de leçons dans le cadre de la prestation de services. Les leçons apportent des connaissances dans le domaine de la cybersécurité et couvrent un large éventail de sous-thèmes. Les leçons sont composées de vidéos pédagogiques et de modules interactifs. Les vidéos pédagogiques peuvent être utilisées avec ou sans sortie acoustique (celle-ci peut être contrôlée localement au moyen du système d’exploitation ou du navigateur de l’utilisateur). Toutes les versions linguistiques des vidéos pédagogiques sont dotées d’une piste audio et de sous-titres. Pour une expérience d'apprentissage optimale, nous recommandons de suivre les leçons en mode plein écran. Certaines leçons ne sont pas optimisées pour les appareils mobiles.

  • La plateforme de formation propriétaire de SoSafe est disponible à l’adresse suivante : https://elearning.sosafe.de . Les utilisateurs peuvent s’inscrire avec leur adresse électronique professionnelle.

  • Le partenaire définit la date de début de la campagne de formation en ligne pour le compte du client.

    • La campagne de formation continue en ligne comprend 16 leçons (14 obligatoires et 2 facultatives) avec des échéances automatiquement attribuées pour deux leçons mensuelles afin d'encourager un apprentissage durable.

• Analyse des données

  • Comprend l'accès au tableau de bord analytique du client, aux indicateurs de performance de la simulation, aux indicateurs de performance de la formation en ligne et aux rapports ISO.