Un signal public sur la compétence

La stratégie publiée sous l’égide du Secrétariat général de la défense et de la sécurité nationale insiste sur les compétences, la sensibilisation et la diffusion d’une culture de vigilance. Derrière les annonces de portails d’information ou d’exercices nationaux, un constat s’impose : la surface d’attaque d’une entreprise correspond à son effectif total. Chaque collaborateur manipule des données, reçoit des messages, partage des documents, travaille à distance. La cybersécurité ne se joue donc pas seulement dans l’infrastructure, mais dans des gestes quotidiens. Pour la formation, cela change l’échelle et la logistique : il ne s’agit plus de concevoir un dispositif expert, mais d’organiser une diffusion massive sans transformer la cybersécurité en contrainte administrative. La question devient concrète : comment toucher tout le monde sans saturer, comment maintenir l’attention dans la durée, comment éviter l’effet « message de plus ».

Sensibilisation avec des gestes concrets

Dans beaucoup d’organisations, la cybersécurité reste associée à un module annuel obligatoire. Le salarié valide, l’indicateur remonte, le risque demeure. Les attaques actuelles exploitent la routine et la pression du quotidien : traiter vite ses mails, répondre à un message crédible, faire confiance à un interlocuteur connu. Former efficacement suppose donc de travailler sur ces situations-là. Les simulations d’hameçonnage, les faux SMS, les scénarios contextualisés par métier créent un doute utile ; ils déplacent la formation du déclaratif vers l’entraînement. Cela implique des choix : accepter l’erreur, accompagner les équipes après les tests, éviter toute logique punitive. Les organisations engagées observent des signaux concrets : plus de signalements, moins de clics à risque, des échanges internes sur les bons réflexes.

Intégrer la cybersécurité dans les parcours existants

L’efficacité passe par l’intégration plutôt que par l’empilement. L’onboarding constitue un point d’entrée évident : accès aux outils, règles de base, premiers réflexes. Les formations managériales offrent un autre levier : les managers arbitrent au quotidien entre urgence opérationnelle et prudence numérique ; leur comportement crédibilise ou affaiblit les messages. Certaines populations méritent des traitements spécifiques : fonctions commerciales exposées à l’ingénierie sociale, assistanat de direction, achats. Ces intégrations n’exigent pas nécessairement de nouveaux budgets, mais une coordination étroite avec l’IT et la sécurité des systèmes d’information. La direction formation joue ici un rôle d’assemblier, reliant contenus, moments de formation et réalités métier.

Au-delà de la complétion

Former massivement oblige à revoir les indicateurs. Le taux de complétion rassure, mais n’informe pas. Des mesures plus utiles existent : nombre de signalements, délais de réaction lors d’un test, participation aux exercices, retours qualitatifs des équipes. Ces indicateurs, partagés avec l’IT, permettent d’ajuster les dispositifs. Si une population échoue systématiquement, le problème n’est pas forcément le salarié, mais le format ou le message. Cette logique d’amélioration continue rapproche la cybersécurité des démarches qualité et fournit aux responsables formation des arguments tangibles : on parle de comportements observés, pas d’heures consommées.

Des contraintes assumées, une culture à installer

Former tous les salariés régulièrement a un coût ; en temps, en attention, en ingénierie. La cybersécurité entre en concurrence avec d’autres priorités formation. Les arbitrages sont réels. Certaines organisations optent pour des formats très courts et fréquents ; d’autres s’appuient sur des campagnes internes coordonnées avec la communication. La fatigue informationnelle existe ; trop de messages tuent le message. Le sujet se traite donc comme une hygiène quotidienne : dosage, régularité, adaptation. La culture cyber se construit par touches successives — rappel ciblé, simulation, échange d’équipe, message managérial — et s’inscrit dans la durée. Elle ramène la formation à une évidence exigeante : la compétence se mesure moins à ce que l’on sait qu’à ce que l’on fait, au bon moment.

Source : Stratégie nationale de cybersécurité 2026-2030 (SGDSN)

Par Michel Diaz