Ça se branche sur notre SSO ?

Oui, SSO SAML 2.0 et OIDC : Azure AD/Entra ID, Google Workspace, Okta. Le compte ROOMCA est créé automatiquement au premier login. Notifications Slack et Teams via webhooks signés HMAC.

Couvrez-vous la sécurité cloud (AWS, GCP) ?

Immersions dédiées sur les fuites IAM, les buckets S3 publics, les clés d’API exposées et les attaques sur les métadonnées EC2.

Secteur, Tech

Sensibilisation cybersécurité pour les équipes tech

La sensibilisation cybersécurité pour la tech forme développeurs, DevOps et IT internes à reconnaître les attaques par supply chain (npm, pip, Docker Hub), phishing recruteur GitHub, OSINT secrets exposés et compromission éditeur. Selon Snyk, plus de 60 % des CVE 2024 viennent de dépendances tierces. ROOMCA combine immersions devs, une preuve de sensibilisation exploitable dans un contexte ISO 27001 et NIS2 pour réduire le risque humain sans casser le flow.

▶ Tester une immersion

SaaSÉditeurs logicielsESNStartupsIT interneMSP / MSSP

Chiffre du secteur

73 %

des développeurs ont déjà committé un secret sensible (GitGuardian 2024)

3 400+

packages npm vérolés détectés en 2024

2,7 M€

coût moyen d’une compromission supply chain tech (IBM 2024)

Anatomie de l’attaque

Comment l'attaquant procède,et où ROOMCA® brise la chaîne.

Quatre étapes types observées sur le terrain tech. Sans entraînement, le taux de clic moyen reste autour de 22 %. ROOMCA agit dès l'étape 2.

~3 jours

Reconnaissance

OSINT sur LinkedIn, site web, organigramme. L'attaquant identifie le bon métier, le bon nom, le bon contexte.

↓ ROOMCA AGIT ICI

Le piège

Hameçonnage ciblé

Email, SMS, QR code ou portail cloné, calibré pour votre métier. Typosquat npm / pip / cargo.

< 5 min

Exécution humaine

Un collaborateur clique, ouvre, saisit ses identifiants ou valide un virement. Sans entraînement, taux de clic moyen 22 %.

Trop tard

Impact

Vol de données, ransomware, fraude financière, blocage de l'activité. Coût moyen au-delà de 4 M€ par incident majeur.

Cas réel, immersion équivalent

Ce qui s'est passé, ce que vos équipes auraient joué.

Cas réel documenté

Juin 2024Snowflake (cascade clients)

Vol identifiants sans MFA

Des identifiants de clients Snowflake sans MFA actif sont volés via infostealers. Plusieurs grandes entreprises (AT&T, Ticketmaster, Santander) voient des centaines de millions de comptes exposés.

Centaines de M de comptes exposés

Mandiant, presse spécialisée 2024

Immersion ROOMCA

8 minJouable sur mobile

Faux recruteur GitHub, take-home piégé

« Un dev reçoit sur LinkedIn une offre attrayante. Le recruteur envoie un repo GitHub privé pour un take-home : « Clone ce repo et lance npm install » »

Décision : Trois choix : npm install direct, audit du package.json avant, refus poli.

Débrief : Indices : recruteur sans historique, repo récent avec script post-install obscur, dépendance typo-squattée. Score, badge supply-chain, immersion rejouable.

↓ 71 % de taux de clic post-formation

Incidents publics du secteur

Cas documentés (CESIN, ANSSI, presse spécialisée). Aucune extrapolation, aucun chiffre inventé.

2026VercelCompromission via tiers (Context.ai)

19 avril 2026 : accès non autorisé chez Vercel via la compromission d’un outil tiers (Context.ai). Effet domino sur les déploiements clients.

1/5Auto

Pourquoi ROOMCA pour ce secteur

Écrit par des techs

Pas de bonhomme en costume qui explique le phishing. Des immersions sur Git, npm, IDE, container.

Secrets et supply chain

Exercices OSINT sur faux recruteurs, détection de typosquats, analyse de dépendances.

Intégration DevSecOps

SSO SAML/OIDC (Azure AD, Google, Okta), API REST publique et webhooks signés HMAC. Compte créé auto au premier login.

Activez ROOMCA pour vos équipes, ou échangeons 20 minutes sur vos enjeux sectoriels.

Ce que vous obtenez

Six modules concretstaillés pour la tech.

Pas de promesse marketing : ce qui se trouve dans la plateforme, ce que ça contient, et le résultat mesurable.

1 / 6

Immersions devs

Supply chain (npm, pip, Docker Hub)
Phishing recruteur GitHub / LinkedIn
OSINT secrets Git exposés
Compromission CI/CD
Vishing helpdesk dev

Résultat

Vos devs jouent les angles dev, pas un quiz « cliquez prudemment »

2 / 6

Quishing tech

Templates Slack admin, GitHub Actions, AWS support
Posters QR code Wi-Fi salles de réu / cafétéria
Variants A/B par équipe (back, front, SRE)
Add-in Outlook + Slack signalement

Résultat

Comparez les équipes back / front / SRE sur des templates équivalents.

3 / 6

Cadres réglementaires tech

ISO 27001 (recouvre les Trust Services Criteria de SOC 2)
RGPD données clients
NIS2 fournisseur de service numérique
CRA (produits avec éléments numériques)

Résultat

Une preuve d’actions de sensibilisation, datée et nominative, à verser à votre dossier pour votre auditeur.

4 / 6

Affiches dev

Affiches A4 anti-secrets-Git en open space
Pack « 5 réflexes pull-request »
Affiches MFA et SSH key hygiene

Résultat

Le mur fait passer les bons réflexes en revue de code.

5 / 6

Veille cyber tech

Alertes CVE filtrées par stack
Supply-chain attacks live feed
Breach timeline éditeurs
Rapport mensuel CTO

Résultat

Le CTO ne lit que ce qui touche votre stack et vos dépendances.

6 / 6

Pilotage CTO / RSSI

Score risque par équipe
Tableau de bord par tech stack
Export PDF Executive
Comparaison cohortes
API REST + webhooks GitHub

Résultat

Vous prouvez à votre Comex que la formation réduit le rayon d'impact.

Le verdict secteur

ROOMCA coche5/6 critères secteur.

Côte à côte avec les outils génériques. ROOMCA est taillé pour la tech, pas adapté après coup.

ROOMCA

5/6

Taillé pour la tech

Immersions supply-chain dev (npm, pip, Docker, CI/CD)
Bibliothèque dédiée dev
Preuve d’actions de sensibilisation dans un contexte ISO 27001 (recouvre les Trust Services Criteria de SOC 2)
Rapport de sensibilisation exportable, par équipe et dans le temps
Audit ISO 27001 / SOC 2 propre de l’éditeur
Audit propre prévu 2027, hébergeur ISO 27001
API REST + webhooks pour CI/CD et observabilité
API + webhooks GitHub possibles
SSO Okta / Entra ID + SCIM provisioning
SAML / OIDC + SCIM
Variant A/B phishing par équipe (back / front / SRE)
Natifs et data-driven

Outils génériques

2/6

Pensés tous secteurs, pas pour la tech

Immersions supply-chain dev (npm, pip, Docker, CI/CD)
Bureautique générique
Preuve d’actions de sensibilisation dans un contexte ISO 27001 (recouvre les Trust Services Criteria de SOC 2)
Template seul ou partiel
Audit ISO 27001 / SOC 2 propre de l’éditeur
Acteurs établis avec ISO 27001 + SOC 2 propres
API REST + webhooks pour CI/CD et observabilité
Souvent fermé ou limité
SSO Okta / Entra ID + SCIM provisioning
Maturité chez les acteurs établis
Variant A/B phishing par équipe (back / front / SRE)
Limité ou non mis en avant

La méthode Cybervécu

Cinq étapes,et vous êtes autonome.

Plateforme self-serve, calibrée pour les contraintes tech : SOC 2, ISO 27001, vélocité produit, intégration GitHub, sensibilité face aux interruptions.

Étape 1

Provisionnez via SSO SAML/OIDC

SSO Okta / Azure AD ou SSO. Provisioning auto par équipe (back, front, SRE, IT). Webhook GitHub possible.

Étape 2

Choisissez vos immersions devs

Bibliothèque tech : supply chain, recruteur GitHub, secrets Git, CI/CD. Vous assignez par équipe sans réécrire.

Étape 3

Planifiez en évitant les sprints critiques

Étalement automatique. Apprenants jouent en 5 à 15 min, mobile ou navigateur, sans casser le flow.

Étape 4

Pilotez par tech stack

Tableau de bord live : score 30-100 par dev, taux de clic par équipe, comparaison stacks.

Étape 5

Sortez votre rapport de sensibilisation

Participation, taux de réussite et progression par équipe. Export PDF qui documente vos actions de sensibilisation, à verser à votre dossier ISO 27001 et NIS2.

Questions fréquentes du secteur

Les immersions tech sont des puzzles : repérer un typosquat dans un package.json, analyser un faux recruteur sur LinkedIn, débusquer une clé AWS leakée. Pas de slides.

Référentiels couverts

RGPD, NIS2, ISO 27001, SOC 2, secure SDLC.

Prêt à former vos équipes ?

Essai gratuit, sans carte bancaire. Tarifs publics sur la page Offres.