Quand un employé se fait piéger, l'apprentissage se joue dans les secondes qui suivent, pas trois semaines plus tard. C'est le rôle de la remédiation : refermer la boucle au moment où l'erreur est encore fraîche.
1️⃣ Deux remédiations, deux portées
Riot propose deux formats, qu'il est important de ne pas confondre.
👉 La page de remédiation
Une page web composée de quelques diapositives de sensibilisation, affichée immédiatement après le piège. Sa portée est liée à l'attaque : elle referme la boucle sur cette attaque précise, et sur elle seule.
👉 Le cours de remédiation
Un cours conversationnel avec Albert, sur Slack, Teams, Google Chat ou par e-mail — automatiquement acheminé vers le canal habituel de l'employé. Sa portée est liée à l'employé : le terminer marque comme traitées toutes les attaques dans lesquelles il est tombé au cours des 3 derniers mois.
👍 Bon à savoir : le cours de remédiation ne nécessite pas d'abonnement au module Sensibilisation. Si vous n'utilisez que la Simulation, vous pouvez malgré tout faire suivre un cours à vos employés piégés.
⚠️ Important : ces deux remédiations sont indépendantes. Terminer la page ne satisfait que le suivi lié à la campagne ; terminer le cours ne satisfait que la remédiation définie au niveau de l'espace. Si vous activez les deux, l'employé doit faire les deux. C'est la première source d'incompréhension sur ce sujet.
👍 Pour les attaques par rappel téléphonique : la remédiation est diffusée pendant l'appel lui-même. Voir Les attaques par rappel téléphonique.
2️⃣ Le modèle des 3 mois
Le cours de remédiation fonctionne sur une logique de rattrapage groupé : un seul cours suffit à solder les trois derniers mois. L'objectif est le changement de comportement, pas la sanction — et cela vous évite de ré-entraîner sans cesse les mêmes personnes.
⚠️ Important : la liste des attaques concernées est figée au moment où le cours est envoyé. Si l'employé se fait piéger après l'envoi du cours, ce nouveau piège n'est pas couvert par cette complétion : il faudra un nouveau cours.
3️⃣ Par quels canaux la remédiation arrive
Cinq chemins existent, et ils ne se déclenchent pas dans les mêmes conditions.
La redirection dans le navigateur vers la page de remédiation, immédiatement après le piège, si le suivi de formation est activé sur la campagne.
L'e-mail de suivi, avec un lien vers la page de remédiation, si vous avez configuré un rapport de suivi sur la campagne.
Le cours avec Albert, sur le canal habituel de l'employé, si la remédiation est activée au niveau de votre espace.
Le rappel au manager, sur son propre canal, si l'employé a été piégé il y a moins de 3 mois et n'a pas terminé son suivi.
Une tâche dans le portail employé, tant que le cours de remédiation n'a pas été terminé.
💡 La combinaison la plus courante : activer la page de remédiation immédiatement, puis programmer le cours Albert une semaine plus tard. L'employé reçoit l'explication le jour du piège, et l'approfondissement quand il a pris du recul.
4️⃣ Le rapport de suivi : qui le reçoit
Le rapport de suivi d'une campagne peut être configuré de trois façons.
Désactivé : aucun e-mail de débriefing n'est envoyé.
Tous les employés : le débriefing part à l'ensemble de l'audience de la campagne, y compris ceux qui ne se sont pas fait piéger. La campagne devient un moment d'apprentissage collectif, et la transparence sur la démarche installe la confiance.
Employés vulnérables uniquement : le débriefing ne part qu'à ceux qui sont tombés dans le piège. Boucle plus resserrée, moins de bruit.
5️⃣ Qui reçoit le cours Albert
Un réglage de votre espace détermine l'audience du cours :
Tous les employés piégés, même ceux qui ont déjà terminé une page de remédiation ou un cours précédent.
Uniquement ceux qui n'ont pas terminé leur suivi, ce qui écarte les employés déjà à jour dans la fenêtre de 3 mois.
👍 Bon à savoir : si le suivi est activé sur la campagne et que vous choisissez « tous les employés piégés » pour le cours, la redirection et le cours Albert se déclencheront tous les deux. C'est voulu, mais cela fait deux sollicitations : décalez le cours d'une semaine si vous voulez éviter l'effet de doublon.
6️⃣ La priorité des rappels au manager
Un manager reçoit une seule notification par collaborateur, selon cet ordre de priorité :
un cours de sensibilisation en retard ;
un suivi de phishing non terminé ;
un message d'encouragement.
Un collaborateur qui cumule un cours en retard et un suivi de phishing non terminé déclenchera le rappel sur le cours en retard ; la relance phishing attend son tour. C'est utile à savoir quand un manager vous dit ne pas avoir été alerté sur un piège.
7️⃣ Deux limites à connaître
👉 Le contenu de la page de remédiation n'est pas modifiable
Les diapositives sont conçues par nos experts pour maximiser la mémorisation, et ne peuvent pas être éditées. C'est un choix assumé : il garantit une qualité homogène.
👉 Une remédiation commencée mais non terminée ne compte pas
⚠️ Important : seule la complétion est prise en compte. Un employé arrêté à l'avant-dernière diapositive apparaît exactement comme un employé qui n'a jamais ouvert la page : dans vos statistiques, dans les rappels au manager et dans le portail. Il n'existe pas d'indicateur de progression partielle.
C'est un point à garder en tête avant de conclure qu'un collaborateur ignore ses remédiations : il a peut-être commencé sans aller au bout.
À retenir
La page de remédiation traite une attaque ; le cours de remédiation traite l'employé sur 3 mois.
Les deux sont indépendantes : si les deux sont activées, l'employé doit faire les deux.
Le cours ne nécessite pas d'abonnement au module Sensibilisation.
La liste des attaques couvertes est figée à l'envoi du cours.
Seule la complétion compte : aucune progression partielle n'est remontée.