1 min de lecture<\/p>\n
La formation \u00e0 la sensibilisation \u00e0 la s\u00e9curit\u00e9 repr\u00e9sente un march\u00e9 de plusieurs milliards d’euros \u2013 et pourtant, les taux de clics sur les tentatives de phishing restent constamment \u00e9lev\u00e9s. Selon Proofpoint, 10 \u00e0 15 % des employ\u00e9s cliquent sur le lien dans des simulations de phishing bien con\u00e7ues. Les formations annuelles obligatoires, oubli\u00e9es au bout de trois mois, n’y ont rien chang\u00e9. Ce qui fonctionne r\u00e9ellement est plus complexe et plus int\u00e9ressant.<\/strong><\/p>\n La psychologie comportementale est claire : le savoir seul ne change pas les comportements. La courbe de l’oubli d’Ebbinghaus montre que 70 % de ce qui est appris est oubli\u00e9 apr\u00e8s 24 heures, et 90 % apr\u00e8s une semaine. Une formation de 2 heures en janvier a donc peu d’impact sur le comportement face \u00e0 une attaque de phishing en octobre.<\/p>\n De plus, les formations traditionnelles manquent de contexte. \u00ab\u00a0Ne cliquez pas sur les liens dans les e-mails\u00a0\u00bb semble simple, mais dans la vie professionnelle, presque tous les liens sont l\u00e9gitimes. Les employ\u00e9s ne peuvent pas \u00e9valuer les risques sous stress, lorsqu’ils sont en r\u00e9union et doivent r\u00e9agir rapidement \u00e0 un e-mail.<\/p>\n Formation juste \u00e0 temps :<\/strong> Lorsqu’un employ\u00e9 clique sur un lien dans une simulation de phishing, une courte unit\u00e9 d’apprentissage (2-3 minutes) appara\u00eet imm\u00e9diatement, expliquant ce qui a trahi la tentative de phishing. Le contexte est frais, et l’\u00e9motion (une l\u00e9g\u00e8re g\u00eane) renforce l’apprentissage. Fournisseurs : KnowBe4, Proofpoint Security Awareness, Hoxhunt.<\/p>\n Nudge et friction :<\/strong> Mesures techniques aidant au bon comportement : banni\u00e8res dans les e-mails provenant d’exp\u00e9diteurs externes, dialogues d’avertissement pour les pi\u00e8ces jointes d’exp\u00e9diteurs inconnus, blocage automatique du transfert vers des adresses externes. Cela r\u00e9duit structurellement la probabilit\u00e9 d’erreurs.<\/p>\n Renforcement positif :<\/strong> Les entreprises qui r\u00e9compensent activement les signalements d’e-mails suspects (gamification, reconnaissance publique, petites primes) observent des taux de signalement nettement plus \u00e9lev\u00e9s. Des taux de signalement plus \u00e9lev\u00e9s signifient une d\u00e9tection plus rapide des incidents.<\/p>\n La plupart des programmes de sensibilisation mesurent \u00ab\u00a0a suivi la formation\u00a0\u00bb \u2013 ce n’est pas un KPI de s\u00e9curit\u00e9, mais un KPI de conformit\u00e9. Les programmes efficaces mesurent :<\/p>\n Taux de clics sur le phishing :<\/strong> La tendance dans le temps est plus importante que la valeur absolue. Objectif : une r\u00e9duction continue, pas 0 % (irr\u00e9aliste).<\/p>\n Taux de signalement :<\/strong> Quel pourcentage d’employ\u00e9s signalent les e-mails suspects ? Un taux de signalement en hausse est un meilleur indicateur de s\u00e9curit\u00e9 qu’un taux de clics en baisse seul.<\/p>\n D\u00e9lai de d\u00e9claration :<\/strong> \u00c0 quelle vitesse les incidents sont-ils signal\u00e9s ? Un d\u00e9lai plus court signifie une r\u00e9ponse aux incidents plus rapide.<\/p>\n R\u00e9cidivistes :<\/strong> Qui clique de mani\u00e8re r\u00e9p\u00e9t\u00e9e ? Des mesures cibl\u00e9es suppl\u00e9mentaires pour ce groupe sont plus efficaces que des formations de masse suppl\u00e9mentaires.<\/p>\n Taux de clics sur le phishing sans formation :<\/strong> ~25-30 % dans les simulations (Proofpoint 2025)<\/p>\n Taux de clics sur le phishing apr\u00e8s une formation juste \u00e0 temps :<\/strong> R\u00e9duction possible \u00e0 5-10 %<\/p>\n Oubli apr\u00e8s 1 semaine :<\/strong> ~90 % de ce qui est appris en formation (courbe d’Ebbinghaus)<\/p>\n Taille du march\u00e9 de la sensibilisation \u00e0 la s\u00e9curit\u00e9 :<\/strong> Plus de 5 milliards de USD dans le monde (2025)<\/p>\n Cible d’attaque la plus fr\u00e9quente :<\/strong> Les services RH, finance et les nouveaux employ\u00e9s (< 6 mois) sont touch\u00e9s de mani\u00e8re disproportionn\u00e9e<\/p>\n Fait :<\/strong> Selon le rapport IBM Cost of a Data Breach 2025, 95 % de toutes les violations de s\u00e9curit\u00e9 sont caus\u00e9es ou favoris\u00e9es par des erreurs humaines.<\/p>\n Fait :<\/strong> Les entreprises dot\u00e9es de programmes r\u00e9guliers de sensibilisation \u00e0 la s\u00e9curit\u00e9 r\u00e9duisent, selon le SANS Institute, le taux de clics sur les e-mails de phishing de 75 % en moyenne sur 12 mois.<\/p>\n Un rythme mensuel est recommand\u00e9 pour les simulations actives. Plus importante que la fr\u00e9quence, la variance : diff\u00e9rents types de campagnes, diff\u00e9rents sc\u00e9narios d’exp\u00e9diteurs, diff\u00e9rentes cibles. Les simulations pr\u00e9visibles sont rep\u00e9r\u00e9es et perdent leur effet p\u00e9dagogique.<\/p>\n En Allemagne : oui, avec des restrictions. Le comit\u00e9 d’entreprise doit \u00eatre inform\u00e9 et impliqu\u00e9 (obligation de cod\u00e9termination \u00a787 BetrVG). Un accord d’entreprise sur la sensibilisation \u00e0 la s\u00e9curit\u00e9 est recommand\u00e9. Les r\u00e9sultats individuels ne doivent pas \u00eatre utilis\u00e9s pour des d\u00e9cisions RH.<\/p>\n KnowBe4 est le leader du march\u00e9 (plus grande biblioth\u00e8que, bonne gamification). Proofpoint Security Awareness Training excelle dans l’int\u00e9gration des e-mails. Hoxhunt mise sur une approche gamifi\u00e9e et comportementale. Mimecast offre une bonne int\u00e9gration aux passerelles de messagerie.<\/p>\n La direction doit montrer l’exemple : le RSSI et les cadres dirigeants participent activement aux formations et communiquent la s\u00e9curit\u00e9 comme une valeur. Les signalements sont r\u00e9compens\u00e9s, pas sanctionn\u00e9s. Les erreurs sont trait\u00e9es comme des opportunit\u00e9s d’apprentissage. La s\u00e9curit\u00e9 est int\u00e9gr\u00e9e dans l’onboarding, les \u00e9valuations de performance et la communication interne.<\/p>\n Difficile \u00e0 mesurer directement, mais possible : r\u00e9duction des attaques de phishing r\u00e9ussies (mesur\u00e9e par le nombre d’incidents), temps de signalement plus court, moins de tickets d’assistance dus \u00e0 des pi\u00e8ces jointes ouvertes par erreur, et comparaison des co\u00fbts d’assurance avant\/apr\u00e8s.<\/p>\n \u2192 Simulations de phishing en pratique<\/p>\n \u2192 Ing\u00e9nierie sociale 2024 : l’IA rend les attaques plus dangereuses<\/p>\n RH et culture d’entreprise : mybusinessfuture.com<\/a><\/p>\n S\u00e9curit\u00e9 pour les cadres dirigeants : digital-chiefs.de<\/a><\/p>\n cloudmagazin<\/a> | MyBusinessFuture<\/a> | Digital Chiefs<\/a><\/p>\n Source de l’image \u00e0 la une : Pexels \/ Bombeiros MT<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"La formation \u00e0 la sensibilisation \u00e0 la s\u00e9curit\u00e9 repr\u00e9sente un march\u00e9 de plusieurs milliards d’euros \u2013 et pourtant, les taux de clics sur les tentatives de phishing restent constamment \u00e9lev\u00e9s. Selon Proofpoint, 10 \u00e0 15 % des employ\u00e9s cliquent sur le lien dans des simulations de phishing bien con\u00e7ues. Les formations […]","protected":false},"author":10,"featured_media":3604,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"s\u00e9curit\u00e9","_yoast_wpseo_title":"Sensibilisation \u00e0 la s\u00e9curit\u00e9 2025 : pourquoi les formations seules ne r\u00e9solvent","_yoast_wpseo_metadesc":"S\u00e9curit\u00e9 2025 : formez votre \u00e9quipe et r\u00e9duisez les risques cyber avec des actions concr\u00e8tes. D\u00e9couvrez les solutions efficaces d\u00e8s maintenant !","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["post_id-3605"],"footnotes":""},"categories":[260],"tags":[237],"class_list":["post-7683","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-fr","tag-phishing"],"evm_reading_time_minutes":7,"wpml_language":"fr","wpml_translation_of":3605,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7683","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=7683"}],"version-history":[{"count":5,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7683\/revisions"}],"predecessor-version":[{"id":22363,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/7683\/revisions\/22363"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/3604"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=7683"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=7683"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=7683"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Les points cl\u00e9s en bref<\/h2>\n
\n
Pourquoi les formations traditionnelles ne fonctionnent pas<\/h2>\n
Ce qui fonctionne : les approches bas\u00e9es sur le comportement<\/h2>\n
KPI pour un programme de sensibilisation efficace<\/h2>\n
Faits cl\u00e9s en un coup d’\u0153il<\/h2>\n
Foire aux questions<\/h2>\n
\u00c0 quelle fr\u00e9quence faut-il r\u00e9aliser des simulations de phishing ?<\/h3>\n
Est-il l\u00e9gal de soumettre les employ\u00e9s \u00e0 des tests de phishing simul\u00e9s sans les pr\u00e9venir ?<\/h3>\n
Quels sont les meilleurs outils pour la sensibilisation \u00e0 la s\u00e9curit\u00e9 ?<\/h3>\n
Comment cr\u00e9er une culture de la s\u00e9curit\u00e9 ?<\/h3>\n
Comment mesurer le ROI de la sensibilisation \u00e0 la s\u00e9curit\u00e9 ?<\/h3>\n
Autres articles sur le sujet<\/h2>\n
Lectures compl\u00e9mentaires sur le r\u00e9seau<\/h2>\n
Articles connexes<\/h2>\n
\n
Plus d’articles du r\u00e9seau MBF Media<\/h2>\n