Sujets & concepts
en réponse à vos retours

Les rapports sectoriels de phishing montrent depuis 2024 que la propension à cliquer varie fortement d'une industrie à l'autre. La santé, l'hôtellerie, la production manufacturière et les services publics affichent des taux significativement plus élevés que la finance, l'assurance ou la haute technologie. Le facteur explicatif n'est ni l'intelligence ni la vigilance des collaborateurs, c'est le contexte de travail, la pression temporelle, les outils disponibles et la nature des demandes habituellement reçues.

Le secteur de la santé reste l'une des cibles majeures du cybercrime en France et en Europe. L'ANSSI et l'ENISA documentent régulièrement le rythme d'incidents, dont des attaques de grande ampleur sur des hôpitaux et des établissements médico-sociaux. Pourtant, la sensibilisation proposée à des soignants reprend souvent à l'identique les modules conçus pour le secteur tertiaire, avec les mêmes durées, les mêmes exemples et les mêmes formats, sans tenir compte du contexte d'usage très spécifique des équipes soignantes.

Les collectivités territoriales françaises font partie des secteurs les plus exposés selon les rapports annuels de l'ANSSI, du Clusif et de Cybermalveillance. Elles subissent un mélange spécifique d'attaques : rançongiciels sur des systèmes critiques d'état civil, défacement de sites institutionnels, intrusions sur les portails citoyens, chantage de données sensibles. À l'inverse, une PME industrielle subira plutôt du sabotage logistique, des intrusions sur l'OT, des fuites de brevets ou des fraudes au fournisseur. Deux mondes, deux pédagogies.

La science de la formation adulte distingue depuis longtemps les formats adaptés aux métiers en flux continu, comme la santé ou la logistique, et ceux adaptés aux métiers de bureau. Le module de cinquante-cinq minutes en classe virtuelle, qui fonctionne dans le tertiaire, ne fonctionne plus en milieu hospitalier, en industrie 3x8 ou en grande distribution. La sensibilisation efficace consiste à livrer le bon contenu, au bon format, au bon moment de la journée du métier.

Les rapports d'incidents par secteur publiés annuellement par IBM, Verizon, l'ANSSI et le NCSC documentent clairement que l'angle d'entrée varie selon l'industrie. L'industrie manufacturière est massivement attaquée via ses fournisseurs et ses chaînes logistiques. Le retail est ciblé par fraude au paiement et compromission des terminaux. L'assurance subit la fraude documentaire et la collecte de données médicales. Sensibiliser une banque comme on sensibilise une mairie revient à entraîner ses équipes à reconnaître des menaces qu'elles ne verront jamais.

Dans la quasi-totalité des plateformes de sensibilisation, la mesure principale reste le taux de complétude des modules. C'est une métrique pratique, facile à reporter en comité de direction, et complètement déconnectée de la sécurité réelle. Le modèle Kirkpatrick, référence académique de l'évaluation de la formation depuis les années 1950, distingue quatre niveaux : la réaction immédiate, l'apprentissage acquis, le comportement modifié, et l'impact organisationnel. Le niveau 1 rassure, seuls les niveaux 3 et 4 protègent.

Le taux de clic au phishing simulé reste l'indicateur le plus utilisé du marché. Il est facile à mesurer, parle aux directions, et baisse rapidement après quelques campagnes. Sauf qu'il mesure surtout l'effet immédiat de la peur ou de la méfiance ponctuelle. Une équipe qui ne clique plus n'est pas forcément une équipe qui a compris, c'est parfois juste une équipe qui se méfie de tout pendant deux semaines. La vraie mesure de la maturité d'une organisation cyber, c'est le ratio entre les mails signalés par les équipes et les mails ignorés.

Le modèle Kirkpatrick distingue quatre niveaux d'évaluation d'une formation : la réaction immédiate des apprenants, l'apprentissage acquis mesuré par un quiz, le comportement observé sur le terrain plusieurs semaines après, et l'impact organisationnel mesuré sur les indicateurs métier. La quasi-totalité des programmes de sensibilisation cyber s'arrête entre les niveaux 1 et 2. Or seuls les niveaux 3 et 4 disent quelque chose d'utile sur la sécurité réelle d'une entreprise.

La science cognitive distingue depuis Ebbinghaus en 1885 deux types de tests : le test à chaud, juste après la formation, qui mesure surtout la mémoire immédiate, et le test à froid, plusieurs semaines ou mois plus tard, qui mesure la rétention réelle. Les travaux de Roediger et Karpicke en 2006 et de Cepeda et collègues sur l'apprentissage espacé confirment qu'une équipe qui réussit un quiz juste après une formation ne dit rien de sa compétence réelle six mois plus tard. La sensibilisation cyber qui mesure son impact uniquement à chaud reste donc structurellement aveugle à son propre effet.

Le RSSI est devenu un poste exposé politiquement face au comité de direction. Chaque budget cyber doit être défendu avec un retour sur investissement, et la plupart des plateformes de sensibilisation ne lui fournissent que des taux de complétude et des taux de clic. Or ces deux indicateurs ne convainquent jamais durablement une direction financière. Ce qui change la conversation, c'est un chiffre de transfert de compétences mesuré sur le terrain, à six mois, comparé à une mesure de départ. C'est cela qui transforme le RSSI d'empêcheur en stratège.

Le rapport annuel Data Breach Investigations Report de Verizon, référence mondiale, confirme depuis plusieurs années que la grande majorité des incidents de sécurité ont une cause humaine, qu'il s'agisse d'un clic, d'une erreur de configuration, d'une compromission par ingénierie sociale ou d'une faute de manipulation. L'IBM Cost of Data Breach Report et le rapport du World Economic Forum sur les risques cyber convergent vers le même constat. La technologie défensive reste indispensable, mais ne suffit plus à protéger durablement une entreprise contre des attaques qui ciblent désormais le maillon humain en priorité.

Les études récentes de Forrester et de l'ISACA sur la maturité cyber des ETI européennes documentent les mêmes trois freins partout : le temps, qui s'oppose toujours à la production ; le budget, qui se retire à la première crise économique ; et la conviction profonde, partagée par une partie des directions, qu'une formation cyber annuelle n'a jamais changé un comportement. Les trois sont des freins solides en apparence et fragiles dès qu'on les confronte aux données réelles. Aucune équipe n'a manqué de temps quand elle a vu, mesurée, l'efficacité d'une session courte. Aucun budget n'a tenu face à la facture d'un incident humain. Et aucune direction ne réaffirme la même conviction après avoir vu un transfert de compétences chiffré.

Le Cost of a Data Breach Report d'IBM, publié chaque année depuis près de vingt ans, suit le coût moyen des incidents de cybersécurité sur plusieurs milliers d'entreprises dans le monde. Les éditions récentes documentent un écart significatif entre les organisations qui ont déployé un programme de sensibilisation et celles qui ne l'ont pas fait, de l'ordre de 1,5 million de dollars par incident sur plusieurs années. Ce n'est pas un chiffre théorique, c'est une mesure de terrain qui transforme le débat sur le retour sur investissement de la sensibilisation.

La phrase "nos équipes connaissent déjà les bases" revient dans la quasi-totalité des entretiens avec des directions générales et des directions des ressources humaines avant un projet de sensibilisation. Or les mesures de connaissance à froid, publiées chaque année par Verizon, KnowBe4 et plusieurs études académiques européennes, montrent que la connaissance d'une règle de sécurité et son application réelle sont deux choses très différentes. Sous pression, le mardi à seize heures, après une journée chargée, le réflexe de vérification disparaît même chez ceux qui connaissent parfaitement la règle.

La courbe d'oubli d'Ebbinghaus, validée et reproduite des centaines de fois depuis 1885, montre qu'environ 70 pourcents d'un contenu appris est oublié en quarante-huit heures sans rappel. Cepeda et collègues en 2006 ont confirmé que la rétention durable exige un apprentissage espacé, avec plusieurs réactivations courtes au fil de l'année. C'est précisément le contraire de ce que propose la majorité des plateformes de sensibilisation cyber, qui concentrent encore la formation sur une session annuelle, parfois renforcée par un mois d'octobre dédié, puis silence pendant onze mois.