Kantyra
Kantyra
Alain Rees · 10-07-2026 · 9 min leestijd
Presque toutes les organisations proposent une formation de sensibilisation annuelle, une simulation de phishing trimestrielle et une affiche près de la machine à café. La question que l'on pose rarement à cette occasion est de savoir si le comportement change réellement. Ces dernières années, cette question a enfin été étudiée à grande échelle, auprès de dizaines de milliers de collaborateurs dans de vraies organisations, et la réponse est déconcertante. Pour l'approche courante, la formation annuelle obligatoire assortie d'une leçon après chaque mauvais clic, la recherche ne trouve quasiment aucun effet. Pour quelques autres approches, elle en trouve bel et bien un. Fait notable, une grande partie de ces recherches provient d'universités néerlandaises.
Cet article relève de la phase Résoudre du modèle qui sous-tend Kantyra. Le comportement est une mesure et, comme toute mesure, il ne doit pas seulement exister, mais aussi fonctionner.
Le problème fondamental porte un nom : l'écart entre la connaissance et le comportement. Maria Bada, Angela Sasse et Jason Nurse ont analysé pourquoi les campagnes de sensibilisation échouent et sont parvenus à un diagnostic simple : savoir ce qui est sûr ne se traduit pas automatiquement par un comportement sûr, et les campagnes qui misent surtout sur la peur ont plutôt tendance à produire l'effet inverse. La recherche de validation australienne autour du HAIS-Q, un questionnaire très utilisé qui mesure séparément la connaissance, l'attitude et le comportement, confirme ce constat : la connaissance de la politique est plus fortement corrélée à l'attitude qu'au comportement. Celui qui ne teste que la connaissance après la formation mesure donc la mauvaise chose.
Tommy van Steen, de l'université de Leyde, a mis le doigt sur la cause avec ses collègues. Ils ont analysé dix-sept campagnes de sensibilisation menées par des pouvoirs publics à l'aide des outils des sciences comportementales et ont constaté que ces campagnes reposent presque entièrement sur la transmission d'informations, tout en n'exploitant guère les techniques éprouvées de changement de comportement. La plupart des actions de sensibilisation, en somme, ne sont pas conçues pour modifier le comportement. Il n'est alors pas surprenant qu'elles ne le fassent pas.
Deux études récentes, toutes deux menées dans de vraies organisations sur de nombreux mois, ont attisé le débat. Des chercheurs de l'ETH Zurich ont suivi pendant quinze mois plus de quatorze mille collaborateurs d'une grande entreprise et ont testé l'approche que presque tous les fournisseurs vendent : celui qui clique sur un e-mail de phishing simulé reçoit sur-le-champ une page de leçon. Résultat : ces leçons n'ont pas rendu les cliqueurs meilleurs et pouvaient même les rendre plus vulnérables. Une étude de suivi de la même équipe en a démêlé la raison. Le peu d'effet de telles simulations provient du rappel périodique que le phishing existe, et non du contenu de la leçon, que les collaborateurs lisent à peine faute de temps. Les récompenses pour bon comportement n'ont pas davantage aidé.
La seconde étude est peut-être encore plus directe. Grant Ho et ses collègues ont mené, dans une grande organisation de santé américaine, une expérience randomisée de huit mois auprès de plus de dix-neuf mille collaborateurs et n'ont trouvé aucun lien significatif entre le fait d'avoir récemment terminé la formation de sensibilisation annuelle et la probabilité de se laisser prendre à une simulation de phishing. Leur conclusion laisse peu de marge : la formation anti-phishing courante n'offre probablement, dans la pratique, que peu de valeur protectrice.
Il y a eu, dans la recherche zurichoise, une constatation nettement positive, et elle est instructive. Un bouton de signalement permettant aux collaborateurs de transférer les e-mails suspects fonctionnait, lui, bel et bien. Le collectif des collaborateurs s'est révélé être un mécanisme de détection rapide et évolutif pour les nouvelles campagnes de phishing, avec une charge de travail maîtrisable pour l'équipe de sécurité. Le gain ne résidait pas dans la prévention de chaque clic, mais dans la détection précoce de l'attaque. Cela rejoint parfaitement ce que j'ai écrit précédemment à propos du comportement de signalement.
La recherche néerlandaise donne davantage de relief à la réponse. Jan-Willem Bullee et Marianne Junger, de l'université de Twente, ont mené une méta-analyse portant sur dix-neuf études réunissant plus de vingt-trois mille participants et ont trouvé de grandes différences entre les interventions : certaines fonctionnent bien, d'autres ne font rien du tout. Le schéma était toujours le même : les interventions intensives l'emportent sur les légères, et un objectif étroit l'emporte sur un récit large. Des recherches de terrain antérieures menées à Twente avaient déjà montré que les moyens éphémères échouent : les avertissements et le fait de pointer les dangers juste avant le moment à risque ne réduisaient pas la divulgation de données personnelles, et pouvaient même l'accroître. Et une expérience twentoise d'enseignement anti-phishing dans des écoles primaires a mis en évidence le problème de durabilité : juste après la formation, la reconnaissance augmentait nettement, mais après quatre semaines l'effet avait déjà disparu. Former une fois par an relève dès lors davantage du rituel que de la mesure.
Ce qui fonctionne, en revanche, est actif et répété. Van Steen et Deeleman ont montré qu'un serious game améliorait non seulement l'attitude, mais aussi le comportement autodéclaré, là où les brochures d'information ne le faisaient pas. Une recherche américaine y a ajouté un facteur surprenant : celui qui délivre le message compte. Les conseils factuels passaient le mieux lorsqu'ils venaient d'un expert en sécurité, tandis que les récits d'incidents fonctionnaient le plus fortement lorsque des collègues les racontaient, des personnes comme vous. Le fil rouge qui traverse tout cela est la répétition. De courtes impulsions ciblées, avec une certaine régularité, l'emportent sur la séance annuelle d'une heure.
La conclusion de vingt ans de recherche n'est pas que vous devriez cesser toute sensibilisation, mais que vous devriez cesser de traiter la sensibilisation comme une obligation isolée. Van Steen a récemment publié à cet effet un cadre en cinq étapes utile : partez du comportement que vous voulez changer, et non du matériel pédagogique dont vous disposez par hasard, choisissez des interventions dont le mécanisme d'action est prouvé, et mesurez le comportement plutôt que la participation. C'est aussi ainsi que je vois les choses chez Kantyra. Dans le registre, la sensibilisation est une mesure comme une autre, avec un responsable, un test d'efficacité et une date de test. La question de ce test n'est pas de savoir si tout le monde a terminé le e-learning, mais si le comportement évolue : le nombre de tentatives de phishing réussies diminue-t-il, le nombre de signalements augmente-t-il, et à quelle vitesse le premier signalement d'une nouvelle campagne parvient-il ? Celui qui travaille avec un partenaire de formation, comme nous le faisons avec 2LRN4, peut aussi tout simplement poser ces questions au partenaire ; un bon partenaire veut être jugé là-dessus.
Si vous ne retenez qu'une chose de cet article, que ce soit celle-ci : jugez la sensibilisation au comportement, et non à la participation. Posez-vous trois questions. Après la formation, mesurez-vous autre chose que la présence et un quiz de connaissances ? Le nombre d'e-mails suspects signalés augmente-t-il, et à quelle vitesse une nouvelle campagne de phishing est-elle repérée par vos propres collaborateurs ? Et si une activité de sensibilisation ne montre aucun effet comportemental mesurable depuis deux ans, quelle est la raison de la reconduire ? Les mêmes euros peuvent aller à des interventions courtes, ciblées et répétées, à un bouton de signalement avec un retour rapide, et à des mesures techniques qui rendent le clic moins grave. La recherche est unanime à ce sujet : mieux vaut un petit effet réellement présent qu'un grand programme qui rassure avant tout.
Cet article est une synthèse étayée de recherches scientifiques existantes et non une recherche indépendante évaluée par des pairs. Là où je propose une lecture ou une interprétation, cette interprétation relève de ma responsabilité.
In een demo van 30 minuten lopen we het model door aan de hand van jouw situatie.
Plan een demoUn exercice réussi n'est pas une meilleure organisation : ce que la science révèle sur l'apprentissage tiré des exercices de crise.
Comment passer du plan de traitement à une couverture opérationnelle : des mesures avec dates de test, des politiques dotées d'un cycle de vie et des exceptions formelles.