1 min de lecture<\/p>\n
Les entreprises d\u00e9pensent des milliards d\u2019euros pour des formations \u00e0 la sensibilisation \u00e0 la s\u00e9curit\u00e9. Les taux de clics sur les courriels de phishing ne diminuent pourtant pas de mani\u00e8re durable. Le probl\u00e8me n\u2019est pas l\u2019absence de formation, mais le mod\u00e8le : les vid\u00e9os obligatoires annuelles ne modifient pas le comportement. Ce qui fonctionne, ce sont les micro-interventions continues et contextuelles, ainsi que les mesures techniques de protection capables d\u2019intercepter les erreurs humaines.<\/strong><\/p>\n La plupart des programmes de sensibilisation \u00e0 la s\u00e9curit\u00e9 existent avant tout pour r\u00e9pondre aux exigences r\u00e9glementaires – pas pour modifier les comportements. Une fois par an, on clique sur une vid\u00e9o de 30 minutes, on r\u00e9ussit un quiz, on coche une case. Or les \u00e9tudes montrent que cet effet s\u2019estompe au bout de 4 \u00e0 6 semaines. La r\u00e9tention des connaissances est minimale, celle du changement de comportement encore plus faible.<\/p>\n Une \u00e9tude USENIX (2023) confirme qu\u2019entre les entreprises dot\u00e9es ou non d\u2019un programme de sensibilisation, l\u2019\u00e9cart observ\u00e9 dans le taux de clics sur les courriels de phishing reste inf\u00e9rieur \u00e0 un point de pourcentage. L\u2019investissement est donc totalement d\u00e9connect\u00e9 des r\u00e9sultats obtenus.<\/p>\n La recherche en sciences du comportement d\u00e9montre que les individus ne modifient pas leurs habitudes gr\u00e2ce \u00e0 l\u2019acquisition de savoirs, mais via des interventions cibl\u00e9es, contextualis\u00e9es et d\u00e9clench\u00e9es au moment m\u00eame de la prise de d\u00e9cision. Un simple avertissement affich\u00e9 directement dans le client de messagerie – \u00ab Cet e-mail provient d\u2019un nouvel exp\u00e9diteur \u00bb – s\u2019av\u00e8re bien plus efficace que n\u2019importe quelle vid\u00e9o p\u00e9dagogique.<\/p>\n Microsoft a adopt\u00e9 pr\u00e9cis\u00e9ment cette approche avec ses \u00ab Safety Tips \u00bb et ses \u00e9tiquettes identifiant les exp\u00e9diteurs externes. Google, quant \u00e0 lui, affiche des banni\u00e8res d\u2019avertissement pour les liens suspects. Ces \u00ab nudges \u00bb int\u00e9gr\u00e9s au flux de travail r\u00e9duisent de 40 \u00e0 50 % le taux de clics sur les liens malveillants – un gain plusieurs fois sup\u00e9rieur \u00e0 celui obtenu par les formations classiques.<\/p>\n Les simulations de phishing constituent l\u2019outil le plus populaire – et le plus controvers\u00e9. Pour : elles permettent de mesurer concr\u00e8tement le taux de clics r\u00e9el et d\u2019identifier les utilisateurs les plus expos\u00e9s. Contre : elles nourrissent m\u00e9fiance, anxi\u00e9t\u00e9 et ressentiment, surtout lorsqu\u2019elles d\u00e9bouchent sur la mise \u00e0 l\u2019index ou la sanction des \u00ab \u00e9checs \u00bb.<\/p>\n La voie du juste milieu consiste \u00e0 utiliser ces simulations comme outil de mesure – et non comme instrument de punition – \u00e0 valoriser positivement les signalements corrects, et \u00e0 exploiter les donn\u00e9es recueillies pour renforcer les contr\u00f4les techniques, jamais pour stigmatiser les employ\u00e9s.<\/p>\n La mesure la plus efficace de \u00ab sensibilisation \u00bb est en r\u00e9alit\u00e9 technique : l\u2019activation stricte de DMARC (qui bloque l\u2019usurpation de domaine), l\u2019authentification multifacteur (MFA, qui rend inutilisables les mots de passe vol\u00e9s), l\u2019analyse dynamique des URL (qui d\u00e9samorce les liens malveillants) et l\u2019acc\u00e8s conditionnel (qui interdit les connexions depuis des contextes inhabituels).<\/p>\n Ces dispositifs interceptent les erreurs humaines avant qu\u2019elles ne causent des d\u00e9g\u00e2ts. L\u2019humain demeure la derni\u00e8re ligne de d\u00e9fense – pas la seule. Celui qui fonde exclusivement sa strat\u00e9gie sur la vigilance individuelle a d\u00e9j\u00e0 perdu la partie.<\/p>\n Effet de la formation :<\/strong> Moins de 1 point de pourcentage d\u2019\u00e9cart dans le taux de clics sur les courriels de phishing (Proofpoint 2024)<\/p>\n Effet du nudging :<\/strong> R\u00e9duction de 40 \u00e0 50 % gr\u00e2ce aux avertissements contextuels int\u00e9gr\u00e9s aux clients de messagerie<\/p>\n Adoption de DMARC :<\/strong> Seulement 33 % des entreprises allemandes ont activ\u00e9 le mode \u00ab Enforce \u00bb (eco 2024)<\/p>\n Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n Non, mais il faut la repenser : remplacer les vid\u00e9os obligatoires annuelles par des micro-formations courtes et contextualis\u00e9es (5 minutes, une fois par mois), utiliser les simulations de phishing comme outil de mesure – et non de sanction – et faire des contr\u00f4les techniques la premi\u00e8re ligne de d\u00e9fense.<\/p>\n<\/details>\n Dans cet ordre : DMARC en mode \u00ab Enforce \u00bb (protection des domaines), MFA g\u00e9n\u00e9ralis\u00e9 \u00e0 tous les services (protection des identifiants), analyse dynamique des URL au niveau de la passerelle de messagerie (protection des liens), \u00e9tiquetage des exp\u00e9diteurs externes dans le client de messagerie (information contextuelle).<\/p>\n<\/details>\n NIS2 exige des \u00ab mesures de sensibilisation \u00bb, sans imposer un format sp\u00e9cifique. Des micro-interventions tra\u00e7ables, des simulations de phishing document\u00e9es et des mesures techniques de protection rigoureusement mises en \u0153uvre r\u00e9pondent pleinement \u00e0 cette exigence. Ce qui compte, c\u2019est la capacit\u00e9 \u00e0 en apporter la preuve.<\/p>\n<\/details>\n Plus du r\u00e9seau MBF Media<\/p>\nL’essentiel<\/h2>\n
\n
Le th\u00e9\u00e2tre de la conformit\u00e9 : pourquoi les formations annuelles ne servent \u00e0 rien<\/h2>\n
Ce qui fonctionne \u00e0 la place : le nudging plut\u00f4t que la formation<\/h2>\n
Simulations de phishing : utiles ou toxiques ?<\/h2>\n
D\u00e9fense en profondeur : les contr\u00f4les techniques comme filet de s\u00e9curit\u00e9<\/h2>\n
Faits cl\u00e9s<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Dois-je abolir compl\u00e8tement la formation \u00e0 la sensibilisation \u00e0 la s\u00e9curit\u00e9 ?<\/strong><\/summary>\n
Quelles mesures techniques ont le plus grand effet ?<\/strong><\/summary>\n
Sommes-nous tout de m\u00eame conformes \u00e0 NIS2 sans formation classique ?<\/strong><\/summary>\n
Articles connexes<\/h2>\n
\n