La formation en cybersécurité peut nécessiter plus de friction, pas moins

Les entreprises ont passé des années à essayer de rendre la formation en cybersécurité plus facile à suivre. Les modules sont devenus plus courts, les interfaces plus épurées et les leçons plus ludiques. La logique est simple : si les employés sont davantage engagés, ils devraient apprendre davantage et commettre moins d’erreurs.

Une nouvelle étude menée par des chercheurs de l’Abertay University et de l’University of Cape Town remet en cause une partie de cette hypothèse.¹ Plutôt que de se demander si la gamification fonctionne, les chercheurs ont comparé deux manières différentes de la structurer. L’une récompensait les utilisateurs pour les réponses correctes. L’autre faisait commencer les utilisateurs avec des points qu’ils perdaient lorsqu’ils commettaient des erreurs.

Les résultats suggèrent que la formation en cybersécurité la plus agréable ne produit pas toujours le meilleur résultat d’apprentissage. Dans l’expérience à plus grande échelle, le groupe soumis à la perte aversive a enregistré un gain de connaissances global de 10,71 %, contre 4,65 % pour le groupe à récompense fixe. Par ailleurs, les participants exposés à des récompenses fixes ont déclaré un engagement légèrement supérieur, bien que la différence d’engagement global entre les groupes n’ait pas été statistiquement significative.

Cette distinction est importante car la formation en cybersécurité n’est pas du divertissement. Son objectif est de modifier le comportement des personnes lorsqu’un véritable courriel de phishing, une pièce jointe malveillante, un site web factice ou des identifiants compromis apparaissent devant elles.

La couche humaine reste une partie de la surface d’attaque

Les dépenses en cybersécurité se sont traditionnellement concentrées sur les défenses techniques : pare-feu, protection des terminaux, gestion des identités, chiffrement, détection des menaces et, de plus en plus, opérations de sécurité alimentées par l’IA. Ces technologies sont essentielles, mais de nombreuses attaques réussissent encore parce qu’une personne peut être incitée à cliquer, approuver, divulguer ou faire confiance à quelque chose qu’elle ne devrait pas.

Le 2026 Verizon Data Breach Investigations Report continue d’identifier l’ingénierie sociale, le phishing et les identifiants volés comme des composantes majeures du paysage actuel des violations. Parallèlement, l’économie de l’échec devient plus sévère. Le 2026 Cost of a Data Breach Report d’IBM a fixé le coût moyen mondial d’une violation à 4,99 million de dollars et a signalé une forte augmentation des attaques exploitées par l’IA.

Cela crée une asymétrie inconfortable. Les systèmes de défense deviennent plus automatisés, mais les attaquants disposent également de meilleurs outils de personnalisation, d’usurpation d’identité, de reconnaissance et d’échelle. Comme Securities.io l’a souligné dans son analyse de la défense contre les rançongiciels pilotée par l’IA, la cybersécurité se dirige vers une résilience plus globale plutôt que de compter sur une seule couche de détection.

La prise de décision des employés fait partie intégrante de ce modèle de résilience. Un collaborateur qui remarque une demande suspecte avant d’y répondre peut arrêter une attaque avant que les contrôles techniques coûteux n’aient besoin d’intervenir.

Pourquoi perdre des points peut améliorer l’apprentissage en cybersécurité

L’étude a utilisé deux applications web contenant le même contenu de formation mais des structures d’incitation différentes. Les participants ont appris les mots de passe, l’ingénierie sociale, la sécurité des sites web et les logiciels malveillants. Dans la version à aversion de perte, les réponses incorrectes réduisaient le score d’un utilisateur. Dans la version à récompense fixe, les réponses correctes accumulaient des points et des bonus de série.

Dans le scénario d’ingénierie sociale, par exemple, les participants à aversion de perte débutaient avec 60 points et perdaient des points en cas d’erreurs, les fautes consécutives entraînant des déductions plus importantes. Les participants à récompense fixe commençaient à zéro et gagnaient des points supplémentaires pour des réponses correctes consécutives.

La différence paraît mineure, mais elle modifie la façon dont l’apprenant vit une erreur. Une récompense manquée signifie qu’aucun gain n’a été réalisé. Une perte signifie qu’un bien déjà possédé a disparu.

Les chercheurs décrivent cette différence comme une forme potentielle de « friction cognitive productive ». Lorsque les erreurs entraînent un coût immédiat, les utilisateurs peuvent ralentir, examiner l’information plus attentivement et passer de réponses rapides et intuitives à un raisonnement plus délibéré.

Cela ne signifie pas que les employeurs doivent rendre la formation délibérément désagréable. Des pénalités excessives peuvent engendrer de la frustration ou une paralysie décisionnelle. L’idée la plus utile est que la friction peut être conçue. La formation en sécurité n’a pas forcément besoin d’éliminer chaque obstacle entre un employé et l’achèvement du cours.

La formation en cybersécurité doit optimiser les décisions, pas la complétion

De nombreux systèmes de formation d’entreprise sont encore évalués à l’aide de métriques telles que les taux de complétion, le temps passé dans un module, les scores aux questionnaires ou la satisfaction des employés. Ces chiffres sont faciles à collecter, mais ils peuvent encourager un objectif d’optimisation inapproprié.

Si l’objectif est de réduire les incidents de sécurité, un modèle plus adéquat distinguerait au moins trois résultats :

• si les employés terminent la formation,
• si elles conservent les connaissances de sécurité sous-jacentes, et
• si elles appliquent correctement ces connaissances lorsqu’elles sont confrontées à une menace réelle.

La gamification peut soutenir les trois aspects, mais les mêmes mécanismes ne les optimisent pas forcément tous. L’étude le montre clairement. Les récompenses fixes ont généré un profil d’engagement descriptif plus fort. L’aversion à la perte a produit un gain de connaissances global plus important.

Cela a des implications sur la façon dont les entreprises déploient les logiciels de sensibilisation à la sécurité. Au lieu d’attribuer à chaque employé le même module annuel, les organisations pourraient de plus en plus adapter la formation au comportement observé. Un utilisateur qui identifie à plusieurs reprises les courriels de phishing simulés peut nécessiter peu d’intervention. Quelqu’un qui clique régulièrement sur des liens suspects peut avoir besoin d’exercices plus fréquents, de retours plus forts ou d’une friction supplémentaire avant d’accomplir des actions à risque.

Cette approche transforme la formation à la sécurité d’un exercice de conformité en un système de contrôle comportemental. Elle s’inscrit également dans le mouvement plus large vers une cybersécurité continue. La couverture récente de Securities.io des plateformes de cybersécurité agentiques montre à quelle vitesse les opérations de sécurité automatisées évoluent. Les systèmes de risque humain peuvent suivre la même trajectoire en mesurant continuellement le comportement et en ajustant la formation plutôt qu’en attendant un rafraîchissement annuel.

L’IA rend le risque cyber humain plus important, pas moins

L’IA crée une autre raison de repenser la sensibilisation à la sécurité. Les attaquants peuvent utiliser des systèmes génératifs pour produire des messages plus convaincants, imiter des styles d’écriture, accélérer la reconnaissance et créer des tentatives d’usurpation persuasives. Les défenseurs peuvent employer la même classe de technologie pour filtrer les menaces, automatiser l’analyse et identifier les comportements anormaux.

Le résultat n’est pas l’élimination des humains de la cybersécurité. C’est un changement dans le type de décisions que les humains doivent prendre. Les employés doivent de plus en plus juger des demandes qui peuvent sembler soignées, personnalisées et crédibles dans leur contexte.

C’est pourquoi la couche humaine ne doit pas être considérée comme une faiblesse embarrassante que la technologie éliminera finalement. C’est une autre surface de sécurité qui peut être surveillée, formée et améliorée. La vue d’ensemble plus large de Securities.io sur les entreprises de cybersécurité reflète la façon dont le secteur se dirige déjà vers des plateformes intégrées combinant plusieurs formes de protection plutôt que de traiter chaque menace isolément.

L’étude offre également un avertissement utile pour les systèmes de formation activés par l’IA. La personnalisation ne doit pas automatiquement signifier rendre tout plus facile. Une plateforme de formation intelligente peut être plus précieuse si elle sait quand introduire de la difficulté, quand exiger une seconde vérification et quand un utilisateur doit subir une conséquence pour une mauvaise décision.

Investir dans la gestion du risque humain

Pour les investisseurs intéressés par le secteur de la cybersécurité, la couche émergente du risque humain crée une dimension supplémentaire à un marché déjà en expansion. Une entreprise qui s’attaque directement à ce domaine est Fortinet.

Fortinet et la formation à la sensibilisation à la sécurité

La plateforme FortiSAT de Fortinet combine la formation à la sensibilisation à la sécurité avec des simulations de phishing, un scoring de risque, une mesure comportementale et une remédiation ciblée. Le lien important avec la recherche n’est pas que Fortinet utilise le même dispositif d’aversion à la perte testé dans l’article. Au contraire, FortiSAT reflète le mouvement plus large consistant à traiter le comportement des employés comme des données de sécurité mesurables plutôt que comme une obligation de conformité ponctuelle.

La plateforme peut identifier les utilisateurs à plus haut risque, assigner une formation corrective après des simulations de phishing échouées, et relier les résultats comportementaux à des contrôles de sécurité plus larges. C’est un modèle plus mature que d’exiger simplement que chaque employé regarde la même vidéo une fois par an.

Pour les investisseurs, Fortinet représente donc une exposition non seulement à la sécurité réseau traditionnelle, mais aussi à la convergence des contrôles techniques, du comportement des utilisateurs, de l’analytique et de l’éducation continue à la sécurité.

La cybersécurité pourrait nécessiter une difficulté souhaitable

La conclusion la plus forte de la recherche n’est pas que la punition soit meilleure que la récompense. L’étude est exploratoire, les échantillons sont relativement petits, et les chercheurs reconnaissent des limites, notamment des évaluations non appariées, d’éventuelles différences de difficulté des questions et de la fatigue cognitive dans les modules ultérieurs.

L’idée plus durable est que la formation efficace à la cybersécurité peut nécessiter une certaine dose de difficulté souhaitable. Un employé qui parcourt rapidement un cours peut se sentir confiant sans avoir suffisamment appris pour prendre de meilleures décisions sous pression.

À mesure que les attaquants deviennent plus rapides et plus persuasifs, les entreprises devront mesurer la formation à la cybersécurité par ce que les employés apprennent réellement et comment ils se comportent, et non simplement par le plaisir qu’ils ont éprouvé. La prochaine génération de plateformes de risque humain pourra donc rivaliser sur quelque chose de plus significatif que l’engagement : leur capacité à créer la bonne quantité de friction au moment précis où elle améliore le jugement.

Références :

¹ Carle, N., Ophoff, J., & Shepherd, L. (2026). Conception d’incitations dans la formation à la cybersécurité gamifiée : les rôles de l’aversion à la perte et des récompenses fixes. Computers & Security. https://doi.org/10.1016/j.cose.2026.105187