Formation interne à la cybersécurité : cinq erreurs à ne plus commettre
Pourquoi les entreprises doivent réexaminer leurs programmes de sensibilisation à la cybersécurité, afin de s’assurer qu’ils délivrent les bonnes informations aux bons collaborateurs.
L’humain est responsable de la plupart des incidents de sécurité : c’est la conclusion à laquelle aboutissent de nombreux rapports, enquêtes et études.
« Les éléments sont accablants : menaces internes, usage abusif d’identifiants et erreurs commises par les utilisateurs sont à l’origine de la majorité des incidents de sécurité », écrivent les auteurs du rapport « The State of Human Risk 2026 », publié par l’éditeur de la plateforme de cybersécurité Mimecast.
D’autres données apportent des conclusions plus précises. Le « 2026 Data Breach Investigations Report » de Verizon impute ainsi 62 % des fuites de données à des défaillances humaines : erreurs, abus de privilèges ou ingénierie sociale.
Or si la plupart des organisations disposent d’un programme de sensibilisation à la cybersécurité pour parer à ces risques humains, ces programmes sont loin d’être aussi efficaces qu’ils pourraient l’être.
Selon le « SANS 2026 Security Awareness and Culture Report », seul un tiers des organisations disposent ainsi d’un programme de sensibilisation mature. Pour le SANS, un programme mature est un programme qui fait évoluer durablement la culture de l’entreprise (21 % des répondants) ou qui se concentre sur l’optimisation et la résilience (12 %). Les 67 % restants n’atteignent pas ce niveau de maturité, et 3 % déclarent même que leur organisation n’a aucun programme de sensibilisation à la sécurité.
« Beaucoup d’organisations prennent la sensibilisation au sérieux, mais elles lui demandent davantage que ce que son mode de diffusion permet d’obtenir, observe Rick Gamache, directeur senior des normes et pratiques de l’ISC2, association à but non lucratif de professionnels de la sécurité. Un collaborateur peut terminer un module, réussir un quiz et ne toujours pas savoir quoi faire face à une demande inattendue au beau milieu d’une journée chargée. »
Pourquoi ces programmes échouent-ils ? Passons en revue les cinq erreurs les plus courantes.
1. Traiter la formation comme un exercice de conformité
Lorsque les dirigeants voient la formation comme une case à cocher, limitée au strict minimum (par exemple un nombre imposé de sessions), les collaborateurs y participent, mais ne changent rien à leurs pratiques, explique Tom Gould, directeur de la cybersécurité du cabinet de conseil West Monroe. « Une vidéo peut bien donner aux salariés les bonnes informations sur la conduite à tenir, elle ne change pas les comportements. Ce n’est pas parce qu’on dit aux gens de faire quelque chose qu’ils le font. »
D’après le rapport du SANS, 19 % des organisations interrogées ont d’ailleurs conçu leur programme de formation avant tout pour répondre à des exigences précises de conformité ou d’audit. Les formations imposées par un contrat ou par la réglementation restent nécessaires, souligne Tom Gould, mais elles ne peuvent constituer l’intégralité de l’effort de sensibilisation.
Rick Gamache partage cet avis. « Pour qu’une formation de sensibilisation à la cybersécurité soit jugée vraiment efficace, je veux voir les collaborateurs repérer une situation préoccupante dans le cours normal de leur travail, adopter la bonne réaction et se sentir à l’aise pour demander de l’aide, explique-t-il. Ils doivent savoir vérifier une demande inhabituelle sans se fier aux coordonnées figurant dans la demande elle-même. S’ils commettent une erreur, ils doivent savoir la signaler rapidement. Ce sont des comportements observables, et ils en disent plus long que la capacité de quelqu’un à se souvenir d’une réponse au quiz annuel. »
2. Se focaliser sur les menaces passées
Le paysage des menaces évolue vite. Pour être efficaces, les programmes de formation doivent évoluer tout aussi rapidement, estime Mike Baker, vice-président et RSSI groupe du cabinet de conseil DXC Technology. Il ne s’agit pas de faire l’impasse sur les fondamentaux, mais de ne pas s’appuyer sur des exemples de techniques d’attaque dépassées.
Les attaques d’ingénierie sociale optimisées par l’IA en sont la parfaite illustration. Quelque 40 % des répondants à l’« ISC2 Cybersecurity Workforce Study 2025 » déclarent avoir été confrontés à une attaque d’ingénierie sociale pilotée par l’IA au cours de l’année écoulée. Les collaborateurs doivent toujours être formés au phishing, insiste Mike Baker, mais ils doivent désormais aussi savoir le repérer à l’ère de l’IA. Les fautes d’orthographe et la syntaxe approximative, qui trahissaient une tentative d’hameçonnage il y a dix ans, ne signalent plus qu’une attaque d’ingénierie sociale est en cours.
3. Enseigner la sécurité sur un environnement technique dépassé
Les programmes qui apprennent aux collaborateurs à se protéger par rapport à des technologies anciennes sont inefficaces, poursuit Mike Baker. Cela peut sembler évident, mais au rythme où évoluent les technologies, et l’IA en particulier, il est difficile de suivre.
Un programme qui détaille comment utiliser l’IA générative en toute sécurité, mais qui fait l’impasse sur l’IA agentique, n’aidera pas les collaborateurs à comprendre les exigences de sécurité actuelles. Selon Mike Baker, les responsables de la sécurité doivent passer en revue leurs programmes de sensibilisation avec la même rigueur que leurs dispositifs techniques et leurs outils, afin de les faire évoluer autant que nécessaire.
4. Adopter une approche uniforme
Certains contenus de sensibilisation s’adressent à tous les collaborateurs, à tous les niveaux, mais une approche uniforme ne suffit pas. Les entreprises qui s’en contentent risquent de ne pas donner à leurs salariés les informations dont ils ont besoin pour se défendre, et défendre l’organisation, contre les menaces auxquelles ils sont le plus susceptibles d’être exposés, prévient Tom Gould.
Prenons l’attaque subie par Caesars Entertainment en 2023. Elle a commencé lorsqu’un acteur malveillant s’est fait passer par téléphone pour un salarié de Caesars et a convaincu un prestataire de support externalisé d’émettre un nouveau mot de passe et de réinitialiser l’authentification multifacteur (MFA) d’un compte à privilèges. Ce type d’attaque peut viser n’importe quel service d’assistance : tous les techniciens du support doivent savoir repérer de telles tentatives. En revanche, former les équipes financières à reconnaître ce scénario ne réduirait pas le risque. Mieux vaut leur apprendre à détecter les deepfakes et les fausses factures, c’est-à-dire les attaques auxquelles elles sont le plus susceptibles d’être confrontées.
Mike Baker indique appliquer cette approche chez DXC. Le programme de sensibilisation au phishing de l’entreprise s’appuie sur l’IA pour envoyer à chaque collaborateur des e-mails personnalisés, conçus en fonction de son poste et de sa localisation. La réaction des salariés – qu’ils tombent ou non dans le piège de la simulation – permet à DXC de cibler plus précisément les formations de remise à niveau et de suivre les progrès dans le temps.
5. Fournir trop peu d’informations
« La formation devient plus utile lorsque les gens se sont exercés à ces réflexes et savent les appliquer sous pression. »
Rick GamacheDirecteur senior des normes et pratiques de l’ISC2
Certaines erreurs tiennent à des programmes au périmètre trop étroit, relève Tom Gould. Une entreprise peut par exemple mener des campagnes qui apprennent aux collaborateurs à repérer les attaques de phishing, en expliquent la dangerosité et indiquent comment les signaler, sans aborder la manière dont les QR codes ou les appels de vishing peuvent, eux aussi, servir de point de départ à une attaque.
De même, Rick Gamache dit avoir vu des programmes dépourvus d’un suivi suffisant pour permettre aux collaborateurs de tester leurs connaissances, de s’exercer à réagir et de tirer les leçons de leurs erreurs.
« Un salarié peut savoir que le phishing existe et répondre malgré tout à une demande qui semble émaner d’un collègue ayant besoin de quelque chose en urgence, explique-t-il. Je m’intéresserais à ce qui entoure cette décision. Le salarié sait-il vérifier la demande par un canal de confiance ? Existe-t-il un moyen simple de la signaler ? Se sentira-t-il à l’aise pour demander de l’aide ? La formation devient plus utile lorsque les gens se sont exercés à ces réflexes et savent les appliquer sous pression. »
Ce conseil est initialement paru en anglais sur Techtarget.com, une publication sœur du MagIT.
