Alors que les employ\u00e9s continuent d’adopter un mode travail hybride et que les attaquants commencent \u00e0 tirer parti de l’IA pour lancer des escroqueries de plus en plus sophistiqu\u00e9es, le choix d’une solution de sensibilisation \u00e0 la cybers\u00e9curit\u00e9 n’est plus une d\u00e9cision que vous pouvez ignorer. <\/em><\/p>\n\n\n\n Assurez-vous de faire le bon choix!<\/em><\/p>\n\n\n\n Aujourd’hui, l’apprentissage en ligne est une pratique bien \u00e9tablie au sein des entreprises et de nombreuses aptitudes et comp\u00e9tences sont d\u00e9velopp\u00e9es \u00e0 l’aide de plateformes et de m\u00e9dias num\u00e9riques. Cependant, il n’est pas rare que les entreprises insistent sur le fait que les m\u00e9dias sont \u00ab consomm\u00e9s \u00bb dans le cadre d’un processus d’int\u00e9gration ou de progression de carri\u00e8re et se concentrent sur les taux de visionnage et les performances des r\u00e9ponses aux questionnaires. Ce sont des KPI importants, mais le sentiment de \u00ab mission accomplie \u00bb devrait provenir d’un changement de comportement observable parmi les populations cibl\u00e9es. L’efficacit\u00e9 de la formation n\u00e9cessite des supports de formation clairement articul\u00e9s con\u00e7us pour maximiser la compr\u00e9hension et l’assimilation profonde en combinant des m\u00e9canismes d’apprentissage cognitifs, inductifs et exp\u00e9rientiels.<\/p>\n\n\n\n L’un des principes fondamentaux de l’andragogie (la version adulte de la p\u00e9dagogie) est la gestion minutieuse de la capacit\u00e9 d’attention. Les apprenants adultes ont souvent une dur\u00e9e d’attention tr\u00e8s courte, exprimant souvent cela comme \u00ab je suis trop occup\u00e9 \u00bb. Par cons\u00e9quent, il est crucial d’utiliser cette ressource pr\u00e9cieuse \u00e0 bon escient en faisant attention \u00e0 :<\/p>\n\n\n\n L’utilisation d’un contenu de formation divertissant est un moyen facile de capter l’attention de l’apprenant. Cependant, cette approche peut \u00eatre contre-productive, cr\u00e9ant une distance par rapport \u00e0 la r\u00e9alit\u00e9 et faisant en sorte que le r\u00e9cit soit per\u00e7u comme fictif ou non pertinent. Les dessins anim\u00e9s sont un excellent exemple de ce ph\u00e9nom\u00e8ne, souvent utilis\u00e9 par les fournisseurs pour leur rentabilit\u00e9. Une pratique plus efficace consiste \u00e0 combiner un contenu qui explique les concepts et la dynamique avec un contenu qui raconte des r\u00e9cits plausibles avec des \u00ab accroches \u00bb \u00e9motionnelles qui favorisent l’autoidentification.<\/p>\n\n\n\n Par exemple, les pratiques de gestion des appareils mobiles peuvent \u00eatre expliqu\u00e9es pour g\u00e9rer le chevauchement des utilisations personnelles et professionnelles du m\u00eame appareil. Compl\u00e9ter cela par des histoires r\u00e9elles o\u00f9 un tel chevauchement entra\u00eene de graves cons\u00e9quences peut mieux atteindre les objectifs de sensibilisation.<\/p>\n\n\n\n Les termes \u00ab Syst\u00e8me 1 \u00bb et \u00ab Syst\u00e8me 2 \u00bb ont \u00e9t\u00e9 invent\u00e9s par le psychologue Daniel Kahneman dans son livre \u00ab Thinking, Fast and Slow \u00bb. Il d\u00e9crit deux modes de pens\u00e9e distincts : le \u00ab syst\u00e8me 1 \u00bb est rapide, instinctif et \u00e9motionnel, tandis que le \u00ab syst\u00e8me 2 \u00bb est plus lent, plus d\u00e9lib\u00e9ratif et logique. Par exemple, un ma\u00eetre d’\u00e9checs jouant rapidement plusieurs parties simultan\u00e9ment ou un musicien de jazz improvisant sur sc\u00e8ne s’appuie principalement sur la pens\u00e9e du syst\u00e8me 1.<\/p>\n\n\n\n Dans le domaine de la cybers\u00e9curit\u00e9, id\u00e9alement, le traitement des sollicitations num\u00e9riques entrantes devrait faire appel au syst\u00e8me 1 comme m\u00e9canisme de filtrage pour d\u00e9tecter les contenus malveillants. Les utilisateurs doivent d\u00e9velopper des r\u00e9actions automatiques pour reconna\u00eetre et r\u00e9pondre aux situations dangereuses. Des programmes de sensibilisation efficaces visent \u00e0 cultiver ce comportement par la pers\u00e9v\u00e9rance et le renforcement de la r\u00e9troaction.<\/p>\n\n\n\n Les programmes de sensibilisation \u00e0 la cybers\u00e9curit\u00e9 sont souvent trait\u00e9s comme un processus ponctuel que les employ\u00e9s doivent suivre et approuver, comme la formation anti-harc\u00e8lement sur le lieu de travail par exemple. Bien que cette approche r\u00e9ponde aux exigences de conformit\u00e9, elle produit rarement des r\u00e9sultats ad\u00e9quats, en particulier lorsqu’elle est \u00e9valu\u00e9e par des tests de phishing et d’autres \u00e9valuations pratiques.<\/p>\n\n\n\n Pour \u00eatre vraiment efficace, l’hygi\u00e8ne de la cybers\u00e9curit\u00e9 doit rester une pr\u00e9occupation visible et permanente sur le lieu de travail. Cependant, il est crucial d’\u00e9viter les r\u00e9p\u00e9titions monotones qui peuvent entra\u00eener une surcharge cognitive et un d\u00e9sengagement. Au lieu de cela, les employ\u00e9s doivent \u00eatre r\u00e9guli\u00e8rement expos\u00e9s \u00e0 un contenu frais et attrayant qui non seulement renforce les comp\u00e9tences acquises pr\u00e9c\u00e9demment, mais les initie \u00e9galement aux menaces \u00e9mergentes et aux nouvelles strat\u00e9gies d\u00e9fensives.<\/p>\n\n\n\n Certains DSI, RSSI et responsables RH pr\u00e9sentent aux employ\u00e9s un \u00ab contrat \u00bb \u00e0 signer, d\u00e9crivant leur obligation de se conformer \u00e0 un comportement appropri\u00e9, avec des cons\u00e9quences implicites en cas de non-conformit\u00e9. Cette approche peut cr\u00e9er des tensions, car les employ\u00e9s peuvent la percevoir comme un pi\u00e8ge qui les positionne comme la \u00ab personne \u00e0 bl\u00e2mer \u00bb en cas de cyberattaque r\u00e9ussie. Cette perception peut d\u00e9clencher des instincts de protection visant davantage \u00e0 \u00e9viter le licenciement qu’\u00e0 pr\u00e9venir les cybermenaces.<\/p>\n\n\n\n Au lieu de cela, les programmes de sensibilisation devraient \u00eatre con\u00e7us et pr\u00e9sent\u00e9s comme un service \u00e0 l’individu (pas seulement \u00e0 l’employ\u00e9) qui am\u00e9liore sa capacit\u00e9 \u00e0 \u00e9viter d’\u00eatre victime d’une arnaque professionnelle et personnelle. <\/p>\n\n\n\n L’am\u00e9lioration de la formation de sensibilisation \u00e0 la cybers\u00e9curit\u00e9 d\u00e9pend souvent de l’augmentation des niveaux d’engagement, ce qui peut \u00eatre assez difficile. On observe souvent que seulement 20 \u00e0 25 % des utilisateurs participent r\u00e9guli\u00e8rement \u00e0 des initiatives d’apprentissage en ligne. Bien que l’am\u00e9lioration de la qualit\u00e9 des contenus de formation puisse aider, la r\u00e9partition de la base d’utilisateurs en petites \u00e9quipes encadr\u00e9es par des animateurs d’\u00e9quipe qui les coache dans un performance de groupe peut constituer une incitation suppl\u00e9mentaire \u00e0 la participation. Il est essentiel de doter les chefs d’\u00e9quipe de pratiques, d’outils et de capacit\u00e9s de monitoring conviviaux pour favoriser leur participation soutenue au programme.<\/p>\n\n\n\n Le fait m\u00eame de l’incitation et du soutien mutuels au sein du groupe favorise l’\u00e9mulation et produit une r\u00e9action en cha\u00eene. Reconna\u00eetre et r\u00e9compenser les performances collectives et individuelles cr\u00e9e un niveau de motivation qui va au-del\u00e0 du divertissement fourni par la gamification. Il est alors important de respecter des r\u00e8gles claires et que l’interface utilisateur de la plateforme fournisse des m\u00e9canismes de suivi des progr\u00e8s et du classement. Un bon signe est que ces r\u00e8gles et m\u00e9canismes soient remis en question et contr\u00f4l\u00e9s de pr\u00e8s par les parties \u00ab perdantes \u00bb !<\/p>\n\n\n\n Certaines organisations couvrent plusieurs zones g\u00e9ographiques et cultures, et il n’est pas rare que les contenus con\u00e7us pour un segment de population n’atteignent pas les niveaux d’efficacit\u00e9 appropri\u00e9s en raison des diff\u00e9rences culturelles. Lorsqu’on fournit des contenus d’apprentissage \u00e0 diff\u00e9rentes populations cibles, il est important d’adh\u00e9rer aux codes culturels, mais plus encore si la formation est bas\u00e9e sur l’autoidentification et le sentiment de proximit\u00e9 mentale et \u00e9motionnelle. Par exemple, dans certaines cultures, il est plus efficace que la figure enseignante soit d’un certain \u00e2ge car les personnes \u00ab \u00e2g\u00e9es \u00bb n’accepteront pas d’apprendre des plus jeunes ! Les illustrations, les symboles ou les all\u00e9gories, lorsqu’ils sont utilis\u00e9s dans la narration, peuvent parfois produire des effets inattendus. Par exemple, les r\u00e9f\u00e9rences au vin fonctionnent bien en France mais peuvent offenser les populations de traditions musulmanes. <\/p>\n\n\n\n Dans une approche syst\u00e9mique, il est important de combiner \u00ab action \u00bb et \u00ab \u00e9valuation des progr\u00e8s \u00bb.\u00a0 Dans le cas de la formation de sensibilisation, le progr\u00e8s est synonyme d’un risque moindre et d’une meilleure protection contre les cyberattaques. Des campagnes de phishing r\u00e9guli\u00e8res, correctement calibr\u00e9es en difficult\u00e9 et g\u00e9r\u00e9es pour \u00eatre repr\u00e9sentatives des menaces r\u00e9elles peuvent \u00eatre l’un des meilleurs indicateurs de progr\u00e8s. <\/p>\n\n\n\n Les mesures produites doivent refl\u00e9ter :<\/p>\n\n\n\nDes supports de formation con\u00e7us pour changer les comportements<\/h3>\n\n\n\n
G\u00e9rer la capacit\u00e9 d’attention<\/h3>\n\n\n\n
\n
Le d\u00e9clencheur \u00e9motionnel \u00ab \u00e7a pourrait m’arriver \u00bb<\/h3>\n\n\n\n
Syst\u00e8me 1<\/h3>\n\n\n\n
Routine r\u00e9guli\u00e8re \u00e0 long terme<\/h3>\n\n\n\n
L’incitation et non la coercition<\/h3>\n\n\n\n
Relais d’engagement<\/h3>\n\n\n\n
R\u00e9compense<\/h3>\n\n\n\n
Un contenu localis\u00e9 avec une ad\u00e9quation culturelle, pas seulement une traduction<\/h3>\n\n\n\n
Mesurer les progr\u00e8s<\/h3>\n\n\n\n