Sensibilisation à la sécurité 2025 : pourquoi les formations seules ne résolvent pas les risques cyber

Q: À quelle fréquence faut-il réaliser des simulations de phishing ?

Un rythme mensuel est recommandé pour les simulations actives. Plus importante que la fréquence, la variance : différents types de campagnes, différents scénarios d'expéditeurs, différentes cibles. Les simulations prévisibles sont repérées et perdent leur effet pédagogique.

Q: Est-il légal de soumettre les employés à des tests de phishing simulés sans les prévenir ?

En Allemagne : oui, avec des restrictions. Le comité d'entreprise doit être informé et impliqué (obligation de codétermination §87 BetrVG). Un accord d'entreprise sur la sensibilisation à la sécurité est recommandé. Les résultats individuels ne doivent pas être utilisés pour des décisions RH.

Q: Quels sont les meilleurs outils pour la sensibilisation à la sécurité ?

KnowBe4 est le leader du marché (plus grande bibliothèque, bonne gamification). Proofpoint Security Awareness Training excelle dans l'intégration des e-mails. Hoxhunt mise sur une approche gamifiée et comportementale. Mimecast offre une bonne intégration aux passerelles de messagerie.

Q: Comment créer une culture de la sécurité ?

La direction doit montrer l'exemple : le RSSI et les cadres dirigeants participent activement aux formations et communiquent la sécurité comme une valeur. Les signalements sont récompensés, pas sanctionnés. Les erreurs sont traitées comme des opportunités d'apprentissage. La sécurité est intégrée dans l'onboarding, les évaluations de performance et la communication interne.

Q: Comment mesurer le ROI de la sensibilisation à la sécurité ?

Difficile à mesurer directement, mais possible : réduction des attaques de phishing réussies (mesurée par le nombre d'incidents), temps de signalement plus court, moins de tickets d'assistance dus à des pièces jointes ouvertes par erreur, et comparaison des coûts d'assurance avant/après.

Par Alec Chizhik · 10 juillet 2025 · 7 min de lecture

La formation à la sensibilisation à la sécurité représente un marché de plusieurs milliards d’euros – et pourtant, les taux de clics sur les tentatives de phishing restent constamment élevés. Selon Proofpoint, 10 à 15 % des employés cliquent sur le lien dans des simulations de phishing bien conçues. Les formations annuelles obligatoires, oubliées au bout de trois mois, n’y ont rien changé. Ce qui fonctionne réellement est plus complexe et plus intéressant.

Les points clés en bref

Formations annuelles : peu d’effet : La courbe de l’oubli rend les formations ponctuelles inefficaces après 6 semaines.
Simulations de phishing + micro-apprentissage : Un feedback immédiat et contextuel en cas d’erreur de clic est 10 fois plus efficace.
Culture de la sécurité prime sur la conformité : Les entreprises qui récompensent les signalements d’incidents affichent de meilleurs KPI de sécurité.
Conception basée sur le comportement : Le nudge, l’ajout de friction lors d’actions risquées et le renforcement positif fonctionnent.
La mesure est obligatoire : Les taux de clics, les taux de signalement et le délai de déclaration sont les KPI pertinents – et non « a suivi la formation ».

Pourquoi les formations traditionnelles ne fonctionnent pas

La psychologie comportementale est claire : le savoir seul ne change pas les comportements. La courbe de l’oubli d’Ebbinghaus montre que 70 % de ce qui est appris est oublié après 24 heures, et 90 % après une semaine. Une formation de 2 heures en janvier a donc peu d’impact sur le comportement face à une attaque de phishing en octobre.

De plus, les formations traditionnelles manquent de contexte. « Ne cliquez pas sur les liens dans les e-mails » semble simple, mais dans la vie professionnelle, presque tous les liens sont légitimes. Les employés ne peuvent pas évaluer les risques sous stress, lorsqu’ils sont en réunion et doivent réagir rapidement à un e-mail.

Ce qui fonctionne : les approches basées sur le comportement

Formation juste à temps : Lorsqu’un employé clique sur un lien dans une simulation de phishing, une courte unité d’apprentissage (2-3 minutes) apparaît immédiatement, expliquant ce qui a trahi la tentative de phishing. Le contexte est frais, et l’émotion (une légère gêne) renforce l’apprentissage. Fournisseurs : KnowBe4, Proofpoint Security Awareness, Hoxhunt.

Nudge et friction : Mesures techniques aidant au bon comportement : bannières dans les e-mails provenant d’expéditeurs externes, dialogues d’avertissement pour les pièces jointes d’expéditeurs inconnus, blocage automatique du transfert vers des adresses externes. Cela réduit structurellement la probabilité d’erreurs.

Renforcement positif : Les entreprises qui récompensent activement les signalements d’e-mails suspects (gamification, reconnaissance publique, petites primes) observent des taux de signalement nettement plus élevés. Des taux de signalement plus élevés signifient une détection plus rapide des incidents.

KPI pour un programme de sensibilisation efficace

La plupart des programmes de sensibilisation mesurent « a suivi la formation » – ce n’est pas un KPI de sécurité, mais un KPI de conformité. Les programmes efficaces mesurent :

Taux de clics sur le phishing : La tendance dans le temps est plus importante que la valeur absolue. Objectif : une réduction continue, pas 0 % (irréaliste).

Taux de signalement : Quel pourcentage d’employés signalent les e-mails suspects ? Un taux de signalement en hausse est un meilleur indicateur de sécurité qu’un taux de clics en baisse seul.

Délai de déclaration : À quelle vitesse les incidents sont-ils signalés ? Un délai plus court signifie une réponse aux incidents plus rapide.

Récidivistes : Qui clique de manière répétée ? Des mesures ciblées supplémentaires pour ce groupe sont plus efficaces que des formations de masse supplémentaires.

Faits clés en un coup d’œil

Taux de clics sur le phishing sans formation : ~25-30 % dans les simulations (Proofpoint 2025)

Taux de clics sur le phishing après une formation juste à temps : Réduction possible à 5-10 %

Oubli après 1 semaine : ~90 % de ce qui est appris en formation (courbe d’Ebbinghaus)

Taille du marché de la sensibilisation à la sécurité : Plus de 5 milliards de USD dans le monde (2025)

Cible d’attaque la plus fréquente : Les services RH, finance et les nouveaux employés (< 6 mois) sont touchés de manière disproportionnée

Fait : Selon le rapport IBM Cost of a Data Breach 2025, 95 % de toutes les violations de sécurité sont causées ou favorisées par des erreurs humaines.

Fait : Les entreprises dotées de programmes réguliers de sensibilisation à la sécurité réduisent, selon le SANS Institute, le taux de clics sur les e-mails de phishing de 75 % en moyenne sur 12 mois.

Foire aux questions

À quelle fréquence faut-il réaliser des simulations de phishing ?

Un rythme mensuel est recommandé pour les simulations actives. Plus importante que la fréquence, la variance : différents types de campagnes, différents scénarios d’expéditeurs, différentes cibles. Les simulations prévisibles sont repérées et perdent leur effet pédagogique.

Est-il légal de soumettre les employés à des tests de phishing simulés sans les prévenir ?

En Allemagne : oui, avec des restrictions. Le comité d’entreprise doit être informé et impliqué (obligation de codétermination §87 BetrVG). Un accord d’entreprise sur la sensibilisation à la sécurité est recommandé. Les résultats individuels ne doivent pas être utilisés pour des décisions RH.

Quels sont les meilleurs outils pour la sensibilisation à la sécurité ?

KnowBe4 est le leader du marché (plus grande bibliothèque, bonne gamification). Proofpoint Security Awareness Training excelle dans l’intégration des e-mails. Hoxhunt mise sur une approche gamifiée et comportementale. Mimecast offre une bonne intégration aux passerelles de messagerie.

Comment créer une culture de la sécurité ?

La direction doit montrer l’exemple : le RSSI et les cadres dirigeants participent activement aux formations et communiquent la sécurité comme une valeur. Les signalements sont récompensés, pas sanctionnés. Les erreurs sont traitées comme des opportunités d’apprentissage. La sécurité est intégrée dans l’onboarding, les évaluations de performance et la communication interne.

Comment mesurer le ROI de la sensibilisation à la sécurité ?

Difficile à mesurer directement, mais possible : réduction des attaques de phishing réussies (mesurée par le nombre d’incidents), temps de signalement plus court, moins de tickets d’assistance dus à des pièces jointes ouvertes par erreur, et comparaison des coûts d’assurance avant/après.

Autres articles sur le sujet

→ Simulations de phishing en pratique

→ Ingénierie sociale 2024 : l’IA rend les attaques plus dangereuses

Lectures complémentaires sur le réseau

RH et culture d’entreprise : mybusinessfuture.com

Sécurité pour les cadres dirigeants : digital-chiefs.de

Plus d’articles du réseau MBF Media

cloudmagazin | MyBusinessFuture | Digital Chiefs

Source de l’image à la une : Pexels / Bombeiros MT

Traduit de l’original allemand par intelligence artificielle. La version allemande fait foi.