"I clicked": the manager's first reflex
Complete plan
A team member tells you they clicked, or sent a file to the wrong person. Your reaction matters as much as their mistake: thank them, escalate at once through the usual channel, keep the evidence, don't investigate on your own, don't look for someone to blame.
- 3 min
- 3-question check
- English · Français
- Attestation
You will be able to
- Welcome a team member's report without blame, so the next one comes just as fast
- Escalate immediately through the usual channel (IT, security, the DPO for personal data)
- Keep the evidence and don't run your own investigation: delete nothing, switch nothing off, don't open or spread the message
The module
3 min-
"I clicked": the manager's first reflex 3 min
-
Knowledge check
3 questions, pass mark 80 %. Explanations after each answer; you can try again.
-
Attestation
One per person, with the date, the score and the frameworks covered — anyone can check it online with its code.
Sources
- NCSC (Royaume-Uni), « Phishing attacks: defending your organisation » et « A positive security culture » : ne pas réprimander, « users who fear reprisals will not report mistakes promptly, if at all », « blaming users for clicking on links doesn't work » (lu en extrait de recherche seulement)
- Cybermalveillance.gouv.fr, « Que faire en cas de cyberattaque ? Consignes pour les collaborateurs » et fiche « Hameçonnage » : ne pas éteindre, alerter l'informatique au plus vite, conserver les preuves, dont le message reçu (lu en extrait de recherche seulement)
- RGPD, art. 33(1) : notification à l'autorité dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ; art. 33(5) : documentation de toute violation (texte anglais lu en entier, copie du Journal officiel)
- Directive NIS 2, art. 23(4)(a) : alerte précoce dans les 24 heures après avoir eu connaissance d'un incident important (lu en extrait de recherche seulement)
- Data Protection Commission (Irlande), décision Twitter International du 15 décembre 2020 : une étape de la procédure interne (associer le juridique / DPO au ticket d'incident) n'a pas été suivie, le DPO a été prévenu tard, notification tardive (art. 33(1)) et documentation insuffisante (art. 33(5)), amende de 450 000 € (lu en extrait de recherche seulement ; la voix ne donne aucun chiffre)
Version 1 · updated October 6, 2026