Sensibilisation à la cybersécurité : le guide pour réduire le risque humain

En bref : la sensibilisation à la cybersécurité regroupe les actions qui aident les collaborateurs à reconnaître les risques et à adopter les bons gestes au quotidien. Pour réduire le risque humain, il s'agit de construire un programme dans la durée : des formats courts, adaptés aux métiers, des entraînements réalistes et une mesure des comportements. Ce guide présente les définitions utiles, cinq leviers pour bâtir votre programme, les indicateurs à suivre et un plan pour démarrer.

Qu'est-ce que la sensibilisation à la cybersécurité ?

La sensibilisation à la cybersécurité est l'ensemble des actions qui permettent aux collaborateurs de comprendre les risques cyber, de reconnaître une situation suspecte et de savoir quoi faire. Elle vise des comportements concrets, au-delà de la transmission de connaissances.

On distingue généralement deux notions complémentaires. La sensibilisation développe la prise de conscience et les réflexes de tous les collaborateurs. La formation transmet des compétences ciblées à des rôles précis : administrateurs systèmes, développeurs, dirigeants. Un programme complet associe les deux.

Le risque humain désigne la probabilité qu'une action ou une omission d'un collaborateur, comme un clic, le partage d'un mot de passe ou la validation d'un paiement, ouvre la porte à un incident. Il dépend autant de l'environnement de travail (urgence, outils, procédures) que de la personne. Cette lecture invite à agir sur les gestes et sur le contexte, sans chercher de coupable.

Les données publiques confirment la place du facteur humain. Le rapport DBIR 2025 de Verizon, qui analyse 12 195 violations de données confirmées, constate que l'implication humaine reste élevée, avec un fort recoupement entre ingénierie sociale et abus d'identifiants (source : Verizon, 2025).

Pourquoi le rythme et le format comptent autant que le contenu

Une étude publiée en 2025 apporte un éclairage précieux. Des chercheurs de l'université de Californie à San Diego ont mené une expérience randomisée de huit mois auprès de 19 500 salariés d'un système hospitalier, avec dix campagnes de phishing simulées. La formation proposée juste après un clic n'a réduit la probabilité de cliquer que d'environ 2 %, et le suivi de la formation annuelle obligatoire n'était pas significativement lié à la probabilité de se faire piéger (source : UC San Diego, 2025).

Nous en retenons trois enseignements pratiques :

• Le format fait la différence. Une formation annuelle subie, ou un message affiché après un clic, joue un rôle limité. Des contenus courts, utiles et répétés dans l'année donnent davantage d'occasions de pratiquer.
• La sensibilisation s'appuie sur des protections techniques. Les chercheurs recommandent aussi l'authentification à deux facteurs et des gestionnaires de mots de passe. Protections techniques et réflexes des utilisateurs se complètent.
• Une étude a ses limites. Celle-ci porte sur un hôpital universitaire, sur des simulations par e-mail et sur les formats testés. Elle invite à mesurer plus que le seul clic et à ajuster le programme au fil des résultats.

Cinq leviers pour construire un programme de sensibilisation

Le NIST décrit les programmes d'apprentissage en cybersécurité comme un cycle de vie, avec des indicateurs pour les améliorer régulièrement (source : NIST SP 800-50 Rev. 1, 2024). Dans cet esprit, voici cinq leviers à articuler.

1. Cadrer le point de départ. Identifiez les populations, les situations à risque propres à chaque métier et le niveau de chacun. Les équipes finance, RH, direction, support informatique et développement ne rencontrent pas les mêmes scénarios. Un questionnaire de positionnement permet d'orienter chaque collaborateur vers un parcours adapté.
2. Apprendre par petites touches. Des modules courts, renouvelés régulièrement et disponibles dans la langue des équipes s'intègrent dans un agenda chargé. Avec Academy™, plus de 100 modules durent environ 4 minutes en moyenne, de nouveaux contenus arrivent chaque mois et douze langues sont disponibles selon les modules. Les mini-jeux et serious games ancrent les réflexes par la mise en situation.
3. S'entraîner en situation. Les tentatives d'attaque passent par de nombreux canaux : e-mail, SMS, QR code, clé USB, courrier, appel téléphonique, intrusion physique et deepfake. Phishing 360™ simule ces huit canaux dans un cadre contrôlé. Les ateliers Workshop™ complètent le dispositif en présentiel, par exemple avec une démonstration de deepfake en direct. Notre guide sur les deepfakes et arnaques à l'IA détaille les réflexes à pratiquer.
4. Mesurer les comportements. Participation, progression, signalements et évolution dans le temps racontent davantage qu'un taux de clic isolé. Le BlueSecure Risk Index™ réunit les signaux des simulations, de l'apprentissage, du signalement et de la veille sur les identifiants exposés pour suivre l'évolution du niveau de risque par collaborateur, équipe et entité. Smart Report™ aide à restituer ces résultats aux bonnes personnes. L'objectif est d'orienter l'accompagnement et de valoriser les progrès.
5. Entretenir la dynamique. Le soutien de la direction, des retours positifs et une culture du signalement donnent de la continuité au programme. Un collaborateur qui signale un doute rend service à toute l'organisation, et mérite d'être remercié.

Adapter la sensibilisation aux métiers

Un socle commun donne un langage partagé : reconnaître un message suspect, protéger ses accès, savoir signaler. Au-dessus de ce socle, chaque population gagne à travailler ses propres situations.

• Dirigeants et comités de direction. Leur image, leur voix et leur autorité sont des leviers pour les fraudes au président et les deepfakes. Une démonstration en direct et un protocole de vérification des demandes sensibles les placent en position d'exemple.
• Finance et comptabilité. Faux ordres de virement, changements d'IBAN de fournisseurs et demandes urgentes constituent leur quotidien : la règle des deux personnes et la vérification par un second canal y prennent tout leur sens.
• Ressources humaines. Candidatures, pièces jointes et entretiens à distance exposent à des faux candidats et à des documents piégés. Une vérification d'identité en plusieurs étapes aide à sécuriser le recrutement.
• Support informatique, administrateurs et développeurs. Leurs accès élevés justifient des contenus techniques : bonnes pratiques de développement sécurisé, usage maîtrisé des outils d'IA, gestion des secrets.
• Assistants de direction et accueil. Premiers interlocuteurs de nombreux appels, visiteurs et courriers, ils gagnent à s'entraîner sur l'appel téléphonique, le courrier et l'intrusion physique.
• Nouveaux arrivants et prestataires. Un parcours d'accueil court, dès la première semaine, installe les réflexes de base avant les premières habitudes de travail.

Les Workshop™ et les simulations par canal permettent de personnaliser ces situations, pour que chaque équipe reconnaisse son propre quotidien dans les scénarios.

Embarquer les collaborateurs : le rôle de la communication

Un programme de sensibilisation s'adresse à des personnes, et sa réception dépend beaucoup de la façon dont il est présenté. Quelques principes aident à créer de l'adhésion :

• Annoncer le sens. Expliquer pourquoi le programme existe, ce qu'il apporte à chacun (protéger son travail, ses données, ses proches) et comment les résultats seront utilisés.
• Partager le cadre. Préciser que les résultats servent à orienter l'accompagnement et à améliorer le dispositif. Cette transparence installe la confiance.
• Célébrer les progrès. Mettre en avant les signalements, les parcours terminés et les équipes qui avancent. Les badges, les certificats et les temps d'échange donnent de la visibilité aux efforts.
• Écouter le terrain. Recueillir les retours, adapter les scénarios aux réalités des métiers et répondre aux questions posées.
• Montrer l'exemple. Un dirigeant qui suit un module ou signale un doute donne le ton à toute l'organisation.

Quels indicateurs suivre pour mesurer le risque humain ?

Un tableau de bord utile combine plusieurs familles d'indicateurs :

• La participation et la progression dans les parcours, par équipe et par métier.
• Les signalements de messages ou de situations suspectes : leur nombre, et la rapidité avec laquelle ils remontent.
• L'évolution des résultats de simulation dans le temps, par canal et par population, plutôt qu'un clic pris isolément.
• La récurrence : repérer les collaborateurs ou les équipes à accompagner en priorité.
• L'exposition externe, par exemple des adresses professionnelles présentes dans des fuites de données, à lire séparément du comportement.
• Les retours du terrain : incidents réels évités, questions posées, demandes de nouveaux contenus.

Un clic isolé est un point de donnée. La trajectoire sur plusieurs campagnes dit si le programme progresse.

Ce que disent les référentiels

La directive européenne NIS 2 (UE) 2022/2555 cite, parmi les mesures de gestion des risques, des pratiques de base de cyberhygiène et la formation à la cybersécurité (article 21, paragraphe 2, point g). Son article 20 prévoit que les membres des organes de direction suivent une formation, et invite les États membres à encourager les entités à proposer des formations similaires à leurs employés (texte de la directive). Les mesures s'apprécient de façon proportionnée : exposition de l'entité, taille, probabilité et gravité des incidents.

Les obligations applicables à votre organisation dépendent de votre secteur et du texte national de transposition : un échange avec votre service juridique les précise. Notre page dédiée présente les parcours de sensibilisation autour de NIS 2.

Cinq pistes pour éviter les écueils fréquents

• Un rythme régulier remplace la session unique annuelle.
• Des contenus adaptés aux métiers remplacent le même module pour tous.
• Une mesure sur la durée complète le taux de clic.
• Un ton bienveillant valorise les signalements et les progrès, sans pointer les personnes.
• Un sponsor de direction donne du poids au programme et un exemple à suivre.

Par où commencer ? Un premier trimestre en trois temps

1. Mois 1 : cadrer et mesurer le point de départ. Identifiez les populations et les deux ou trois risques prioritaires, puis lancez un questionnaire de positionnement et une première simulation pour connaître le niveau de départ.
2. Mois 2 : apprendre et s'entraîner. Déployez des modules courts sur les risques prioritaires, planifiez les premières simulations multicanales et prévoyez un temps d'échange avec les équipes les plus exposées.
3. Mois 3 : mesurer, partager et ajuster. Présentez les résultats à la direction, valorisez les signalements, ajustez les contenus et construisez le plan des douze mois suivants.

Questions fréquentes

Prochaine étape

Vous souhaitez construire un programme de sensibilisation adapté à vos équipes ? Découvrez Academy™ et ses modules courts, puis échangez avec nos experts pour définir un premier trimestre sur mesure.

Les réflexes qui protègent.