Arrêtez de former les gens. Commencez à réparer la technologie.

Pourquoi la formation à la sensibilisation à la sécurité est un mensonge réconfortant, et ce que nous devrions faire à la place

La semaine dernière, lors de l’ESET Cyber Defence Summit, la Prof. Bibi van den Berg, professeure de gouvernance de la cybersécurité à l’université de Leiden et membre du Conseil néerlandais de cybersécurité, a dit quelque chose que la plupart des personnes présentes soupçonnaient déjà mais que peu osaient formuler à voix haute : la recherche montre de façon constante que la formation à la sensibilisation à la sécurité fait à peine bouger l’aiguille en matière de comportement réellement sécurisé. La salle est restée silencieuse un instant. Puis, lentement, les têtes ont commencé à acquiescer.

J’étais l’une de ces têtes qui acquiesçaient. Non pas parce que j’aime être contrariant, mais parce que cela correspond à tout ce que j’ai observé en plus d’une décennie de travail dans la sécurité de l’information. Nous avons dépensé des milliards en programmes de sensibilisation, simulations de phishing et modules d’e-learning. Et pourtant, les incidents continuent de se produire. Les taux de clic bougent à peine. Les humains continuent d’être humains.

La recherche est là, et elle est accablante

Van den Berg ne se contente pas de présenter des opinions depuis la scène. Elle et ses collègues de l’université de Leiden ont produit la recherche qui étaye ce constat. En 2024, Prümmer, Van Steen et Van den Berg ont publié une méta-analyse portant sur 69 études consacrées à l’efficacité de la formation en cybersécurité. Leur conclusion est frappante : si la formation améliore effectivement les connaissances et la sensibilisation, si les personnes apprennent à identifier les menaces en théorie, l’effet sur le comportement réel est une tout autre histoire. Lorsque les études utilisaient des groupes indépendants pour mesurer le changement de comportement réel, elles ne trouvaient qu’un effet faible et statistiquement non significatif. En langage simple : « les gens savent ce qu’ils devraient faire, mais ils ne le font pas de manière fiable ».

Ce constat n’est pas apparu de nulle part. Un an plus tôt, la même équipe de recherche avait publié, dans la même revue, une revue systématique des méthodes actuelles de formation en cybersécurité. Cette revue avait constaté que le simple fait de fournir de l’information a un effet limité sur le changement de comportement, que les programmes de formation sont souvent trop restreints dans leur portée, et que les employés manquent fréquemment d’enthousiasme pour le contenu. La traduction de la formation en comportement au travail est, selon les termes mêmes des auteurs, une entreprise difficile. Lorsqu’on utilise des méthodes à l’efficacité limitée, on gaspille des efforts et des ressources.

Ce qui rend ces constats particulièrement accablants, c’est l’analyse des modérateurs : la méta-analyse a testé si le type de méthode de formation, la plateforme, le cadre social, ou l’utilisation de plusieurs méthodes faisait une différence significative. Aucun de ces facteurs n’en faisait. Ce n’est pas que nous n’avons pas encore trouvé la bonne méthode de formation. C’est tout le paradigme de la formation en tant que réduction du risque qui est fondamentalement limité.

La certitude mathématique de l’échec

Voici la vérité inconfortable que notre secteur refuse d’accepter : même si vous formez chaque employé à un taux de précision de 99 % (ce qui constituerait déjà un exploit extraordinaire, bien au-delà de ce que la recherche montre comme possible), les mathématiques jouent quand même contre vous. Dans une organisation de 1 000 employés, chacun prenant chaque jour des dizaines de décisions relevant de la sécurité, vous êtes face à des dizaines de milliers d’occasions d’erreur. Chaque jour. La probabilité qu’au moins une personne fasse la mauvaise chose au mauvais moment est, en pratique, de cent pour cent.

Ce n’est pas un problème de formation. C’est un problème de conception des systèmes. Et on ne résout pas des problèmes de conception des systèmes en faisant la leçon aux personnes piégées à l’intérieur d’un système mal conçu.

Le secteur des simulations de phishing vend des placebos

Chez Guardian360, nous avons cessé de proposer des tests de phishing il y a plusieurs années. Ce n’était pas une décision commerciale populaire, car les simulations de phishing constituent un marché lucratif. Mais nous avons arrêté parce que nous ne pouvions pas, en toute bonne conscience, continuer à vendre un service dont nous savions qu’il ne réduisait pas véritablement le risque.

Les simulations de phishing mesurent un instant unique. Elles vous disent que Janet, du service comptable, a cliqué sur un faux lien un mardi après-midi. Elles ne vous disent pas pourquoi. Était-elle pressée ? L’e-mail était-il indiscernable d’un e-mail légitime ? Était-elle sur son téléphone en marchant vers une réunion ? Le test crée des données, mais pas de la compréhension. Et la réponse organisationnelle typique, dans ce cas, davantage de formation pour Janet, traite le symptôme en ignorant la maladie.

Pire encore, les tests de phishing créent un faux sentiment de sécurité. « Notre taux de clic est passé de 25 % à 12 % », dit le RSSI au conseil d’administration, et tout le monde applaudit. Mais 12 % de mille employés, c’est encore 120 portes ouvertes. Et l’attaquant n’a besoin que d’une seule. La méta-analyse de Leiden confirme cette intuition : même dans les études les plus favorables, l’effet comportemental est au mieux modeste et au pire non significatif.

La technologie doit porter le poids

Ma conviction, renforcée par des années d’expérience et désormais étayée par les travaux de Van den Berg et de ses collègues, est simple : c’est la technologie qui doit résoudre ce problème. Non pas en complément de la formation. En tant que première ligne de défense.

Qu’est-ce que cela signifie en pratique ? Cela signifie que nous cessons de demander aux humains d’être la dernière ligne de défense et commençons à construire des systèmes où les humains ne peuvent pas facilement commettre d’erreurs catastrophiques. Réfléchissez-y : nous ne formons pas les passagers aériens à inspecter les rivets des ailes avant le décollage. Nous construisons des avions sûrs par conception, entretenus par des ingénieurs certifiés, et surveillés par des systèmes automatisés. Nous devrions exiger la même philosophie de notre infrastructure numérique.

Concrètement, cela signifie investir dans des technologies qui rendent la sécurité invisible et inévitable. L’authentification sans mot de passe supprime toute la catégorie du vol d’identifiants. Les clés de sécurité matérielles rendent le phishing techniquement impossible, et pas seulement improbable. La détection et la réponse aux points de terminaison interceptent le logiciel malveillant que quelqu’un finit inévitablement par télécharger. Le filtrage des e-mails arrête le message malveillant avant qu’il n’atteigne la boîte de réception. Les architectures zero-trust limitent le rayon d’action lorsque, et non si, quelqu’un commet une erreur.

Faire de la sécurité le chemin de moindre résistance

L’erreur fondamentale du paradigme de la formation à la sensibilisation est qu’il présente la sécurité comme quelque chose que les gens doivent choisir activement, encore et encore, des milliers de fois par jour, contre l’attrait de la commodité, de l’urgence et de l’habitude. Ce n’est pas une attente réaliste vis-à-vis des êtres humains. Cela ne l’a jamais été.

Le paradigme dont nous avons besoin est différent. La sécurité devrait être le réglage par défaut. Le chemin facile et le chemin sécurisé devraient être le même chemin. Lorsqu’ils divergent, lorsque l’option sécurisée demande plus d’étapes, plus de friction, plus de charge cognitive, c’est le système qui est défaillant, pas l’utilisateur.

Ce n’est pas une idée radicale. C’est ainsi que nous pensons la sécurité dans pratiquement tous les autres domaines. Les ingénieurs routiers ne comptent pas uniquement sur la formation des conducteurs pour prévenir les accidents ; ils installent des glissières de sécurité, conçoivent des zones de déformation et imposent des airbags. Les architectes hospitaliers ne comptent pas sur des affiches de lavage des mains ; ils installent des distributeurs automatiques à chaque porte. Et pourtant, en cybersécurité, nous continuons d’afficher des posters et de nous demander pourquoi les gens passent devant sans les regarder.

Le courage de changer la conversation

Je sais que cette position met certaines personnes mal à l’aise. Le secteur de la sensibilisation à la sécurité vaut des milliards. Des carrières entières s’y sont construites. Les référentiels de conformité l’exigent. Et oui, je ne dis pas qu’il faudrait ne rien dire du tout aux employés sur la sécurité. Une hygiène de base, comme comprendre pourquoi il ne faut pas partager son mot de passe et reconnaître que les menaces existent, est un minimum indispensable. La recherche de Leiden confirme que les connaissances et la sensibilisation s’améliorent bien avec la formation. Mais des connaissances sans changement de comportement constituent une illusion de sécurité coûteuse.

Il est temps d’avoir le courage de rediriger ces budgets, cette énergie et cette attention de la direction, des programmes de formation vers des investissements technologiques qui font réellement bouger l’aiguille. Non pas parce que la technologie est parfaite (elle ne l’est pas), mais parce qu’elle est évolutive, cohérente, et qu’elle ne passe jamais une mauvaise journée un mardi après-midi.

Arrêtez de former les gens. Commencez à réparer la technologie. Vos utilisateurs ne sont pas le maillon le plus faible, vos systèmes le sont.

Références

Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). Assessing the effect of cybersecurity training on end-users: A meta-analysis. Computers & Security, 150, 104206.

Prümmer, J., Van Steen, T., & Van den Berg, B. (2024). A systematic review of current cybersecurity training methods. Computers & Security, 136, 103585.

Van den Berg, B. (2026). Round table discussion at the ESET Cyber Defence Summit.