Formations en cybersécurité et IT : choisir la bonne formation pour les salariés, la direction, le responsable informatique et le chef de projet

Que recouvre le domaine Cybersécurité et IT, et pourquoi ne tient-il pas en une seule formation ?

Dans une PME, l'informatique n'est presque jamais un service. C'est une suite de décisions prises au fil de l'eau : un neveu qui installe le réseau, un prestataire qui crée la messagerie, une comptable qui garde la clé USB des sauvegardes dans son sac, un hébergeur choisi parce qu'il était le moins cher l'année de la création du site. Tant que rien ne casse, personne ne regarde l'ensemble. Le jour où un compte est volé ou un serveur s'arrête, on découvre que chacun croyait que quelqu'un d'autre s'en occupait.

Les risques de ce domaine se jouent à quatre niveaux différents. Au poste de travail, un salarié clique, saisit un mot de passe, valide une connexion ou exécute un virement. À la direction, quelqu'un décide ce qui est sauvegardé, qui a accès à quoi et quel prestataire tient les clés. Au moment de choisir un hébergement ou un cloud, l'entreprise fixe pour des années où vivent ses données, ce qu'elles coûtent et si elle pourra partir. Et chaque projet numérique, site, application ou ERP, réussit ou dérape selon la façon dont le client le pilote.

Ces quatre niveaux ne concernent ni les mêmes personnes, ni les mêmes gestes, ni le même vocabulaire. Une journée qui mélange la double authentification, la politique de sauvegarde, les frais de sortie d'un cloud et la tenue d'un backlog perd la moitié de la salle à chaque changement de sujet. D'où quatre formations courtes, chacune pour un public précis, qui se combinent quand l'organisation veut traiter l'ensemble.

Ce domaine forme des utilisateurs et des décideurs, pas des techniciens de la sécurité. Il ne prépare à aucune certification professionnelle, ne remplace pas un test d'intrusion et n'apprend pas à administrer un pare-feu. Il donne à chacun ce qu'il doit savoir faire ou décider à sa place. Pour la partie technique, l'entretien des outils relève de la maintenance et du support, et l'examen d'un existant ou d'un projet d'une mission d'audit et d'étude de projet.

Ces formations peuvent-elles être financées par un fonds de formation ?

Elles peuvent l'être, mais aucune prise en charge n'est automatique, et la réponse appartient au fonds. En Côte d'Ivoire, la page du FDFP sur le plan de formation, consultée le 5 octobre 2026, ouvre le dépôt d'un plan à toute entreprise qui justifie du paiement régulier des deux taxes, et distingue les formations internes, intra, interentreprises et à l'étranger. Le fonds ne règle qu'après son propre suivi et son contrôle, puis l'approbation de sa Commission permanente : la trésorerie doit pouvoir attendre.

Au Bénin, l'article 5 des statuts du FODEFCA, approuvés par le décret n° 2022-286 du 11 mai 2022, le présente comme le principal guichet de financement de la formation professionnelle continue ; son article 35 mentionne une contribution des bénéficiaires comprise, selon les cas, entre 10 et 30 % du coût total. Au Sénégal, le 3FPT dispose d'un guichet pour le personnel des entreprises et des organisations professionnelles, avec des demandes déposées sur sa plateforme en ligne.

En France, France Compétences indique que, depuis le 1er janvier 2022, un prestataire doit être certifié Qualiopi pour accéder aux fonds publics ou mutualisés, dont ceux des OPCO. Richard SALANON ne détient pas cette certification et n'est agréé par aucun fonds africain. Prévoyez donc le budget sans aide, et interrogez votre fonds par écrit avec le programme et le devis ; les feuilles de présence et les attestations vous sont remises dans tous les cas.

Que montrent les histoires de Maersk et de British Airways pour choisir sa formation ?

L'histoire de British Airways se lit à trois étages. Selon l'avis de sanction de l'ICO, l'autorité britannique de protection des données, daté du 16 octobre 2020, l'attaquant est entré avec l'identifiant d'un salarié de Swissport, prestataire de fret de la compagnie, sur un accès à distance que ne protégeait aucune authentification à plusieurs facteurs. Le geste individuel relève de la formation des employés. La règle imposant ce second facteur aux prestataires, et le contrôle de son application, relèvent de la formation des dirigeants. L'étendue des droits accordés à ce compte concerne le responsable informatique.

L'histoire de Maersk parle surtout de reprise. En juin 2017, NotPetya a effacé en quelques heures une grande partie de l'informatique de l'armateur, et, d'après l'enquête publiée par Wired en août 2018, la remise en route n'a tenu qu'à un contrôleur de domaine resté éteint au Ghana à cause d'une coupure de courant. Aucun salarié formé n'aurait arrêté cette attaque. Ce qui manquait, c'était une copie hors ligne prévue et testée : une décision de direction, au cœur de la formation sur la sécurité des données et les sauvegardes.

Deux autres histoires du site éclairent les deux dernières formations du domaine. La bascule de TSB vers une nouvelle plateforme en un seul week-end, sans retour possible, montre ce que coûte un changement d'infrastructure mal préparé, et prépare la formation sur le cloud et l'hébergement. Le projet de Hertz confié à Accenture, payé sans qu'aucun site ne soit mis en ligne, illustre ce que la gestion de projet par livraisons courtes cherche à éviter côté client.

Pourquoi la gestion de projet agile fait-elle partie de ce domaine ?

Parce que, dans une PME, la personne qui pilote le site, l'application ou l'ERP est souvent la même que celle qui gère les accès, les sauvegardes et l'hébergement. Et parce qu'un projet mal conduit crée lui-même des risques : comptes d'administration jamais transmis, données de test laissées en ligne, mise en service précipitée sans recette. Former le pilote côté client à découper, prioriser et vérifier fait donc partie de la maîtrise de son informatique.

La démarche s'appuie sur des textes publics. Le Manifeste pour le développement agile de logiciels, publié en 2001, place notamment des logiciels opérationnels avant une documentation exhaustive, et l'adaptation au changement avant le suivi d'un plan. Le Scrum Guide, dans sa version de novembre 2020, fixe des cycles de livraison d'un mois au plus et confie au Product Owner l'ordre des éléments du backlog. La formation n'en fait pas une religion : elle retient ce qu'un client peut appliquer face à un prestataire, quelle que soit la méthode de ce dernier.

Concrètement, le chef de projet apprend à écrire un besoin sous forme de cas d'usage vérifiables, à classer ce qui doit sortir en premier, à préparer une recette, à refuser une livraison incomplète sans rompre la relation, et à lire un devis découpé en lots. Ces compétences ne demandent aucun bagage technique. Elles évitent surtout de découvrir à la fin, comme dans l'histoire de Hertz, que des mois de travail n'ont rien produit d'utilisable.

Que changent les lois du Bénin, de l'Afrique de l'Ouest et de l'Europe pour ces formations ?

Au Bénin, la loi n° 2017-20 du 20 avril 2018 portant code du numérique fait des sauvegardes une obligation de fait. Son article 426, consacré à la sécurité des données personnelles, cite parmi les mesures attendues des moyens de rétablir la disponibilité des données et l'accès à celles-ci dans des délais appropriés en cas d'incident physique ou technique, et une procédure pour tester et évaluer régulièrement l'efficacité des mesures prises. Il soumet aussi le choix du sous-traitant et son contrat aux règles de la loi. C'est la matière exacte de la formation des dirigeants.

L'article 427 de la même loi oblige le responsable du traitement à notifier sans délai à l'Autorité de protection et à la personne concernée toute violation ayant affecté ses données, et le sous-traitant à prévenir le responsable sans délai. L'article 391 n'autorise un transfert de données personnelles vers un État tiers que si l'Autorité constate un niveau de protection équivalent. Or héberger ses fichiers chez un fournisseur de cloud installé hors du Bénin revient souvent à les transférer : la question se pose avant de signer, dans la formation sur le cloud et l'hébergement.

En Europe, la CNIL rappelle que la violation de données présentant un risque doit lui être notifiée dans les meilleurs délais, si possible sous 72 heures, et que toute violation se documente en interne. Le règlement européen sur les données, applicable depuis le 12 septembre 2025, encadre le changement de fournisseur de cloud et en supprime entièrement les frais à partir du 12 janvier 2027, selon la Commission européenne. Pour une entreprise installée en France, en Belgique ou au Luxembourg, la réversibilité devient un droit à faire valoir, encore faut-il l'avoir préparée.

À l'échelle du continent, le rapport 2026 d'INTERPOL sur l'Afrique relève que 17 pays ont adopté ou modifié leur législation sur la cybercriminalité en 2025. Les règles évoluent vite, et chaque session commence par celles du pays où travaillent les participants : textes sur les données personnelles, autorité de contrôle, interlocuteurs en cas d'incident. Les équipes réparties entre plusieurs pays, ce qui est fréquent dans les ONG et les groupes régionaux, travaillent sur la règle la plus exigeante de leur périmètre.

Pourquoi choisir Richard SALANON pour former vos équipes à la sécurité et à l'informatique ?

Richard SALANON est consultant en digitalisation et développeur logiciel, basé à Cotonou, au Bénin. Il crée des sites, des applications web et mobiles, des automatisations et des intégrations d'intelligence artificielle, déploie Odoo et Dolibarr, et forme les équipes à ces outils, pour des entreprises d'Afrique francophone, d'Europe et du Canada.

Les sujets de ce domaine font partie de son travail quotidien. Les sites, applications et ERP qu'il construit et maintient vivent d'hébergements, de comptes d'administration, de sauvegardes et de mises à jour ; il pilote aussi des projets avec des clients qui découvrent souvent la recette en même temps que leur premier logiciel. Il a créé Wapy, un assistant WhatsApp à intelligence artificielle pour les entreprises d'Afrique francophone, et il est co-fondateur d'Audyxa.

Formé à EPITECH (2022), il compte 6 ans d'expérience dans le numérique, déclare avoir formé plus de 200 personnes et a travaillé dans 14 pays, du Bénin au Togo, du Sénégal à la RD Congo, de la France à la Suisse et au Canada. Il n'est ni auditeur de sécurité certifié ni partenaire d'un éditeur ou d'un hébergeur, ce qui lui laisse la liberté de recommander la solution la plus simple, gratuite comprise, ou de dire qu'un audit par un prestataire qualifié s'impose.

Sa façon de former repose sur quelques engagements vérifiables : réponse sous 24 heures, programme écrit avant la session, exercices sur vos comptes, vos contrats ou votre projet, aucun mot de passe vu, supports qui restent à l'entreprise. Son parcours est présenté sur la page Richard SALANON, les pays où il intervient sur la page des zones d'intervention, et l'organisation commune des formations sur la page formation en entreprise. Les autres domaines figurent dans le catalogue des formations.