SecurityWeek conclut que la formation à la sensibilisation à la sécurité reste utile, mais qu’elle échoue lorsqu’elle se transforme en une formation annuelle générale de conformité, sans lien avec le contexte de l’employé ni avec le moment de la prise de décision. Avec l’évolution du phishing et de l’ingénierie sociale alimentés par l’intelligence artificielle, il convient d’intégrer une formation comportementale récurrente aux contrôles techniques, à la gestion des identités ainsi qu’aux procédures de signalement et de vérification.
La valeur de la formation à la sensibilisation à la sécurité ne disparaît pas, mais la manière traditionnelle de la dispenser n’est plus suffisante face aux attaques d’ingénierie sociale qui évoluent rapidement et tirent parti de l’intelligence artificielle. C’est la conclusion principale d’une analyse publiée par SecurityWeek, après avoir recueilli les avis d’experts en sécurité et d’un spécialiste de la psychologie cognitive.
La formation vise généralement à réduire les erreurs des employés susceptibles de les transformer en menace interne, ainsi qu’à les aider à résister aux messages de phishing et aux techniques de manipulation. Toutefois, le succès persistant des attaques malgré la généralisation des programmes de formation soulève la question de savoir si ces programmes modifient réellement les comportements ou s’ils se contentent de prouver l’achèvement d’une formation obligatoire.
De la formation à la simple satisfaction des exigences
Stefan Dasic, de Malwarebytes, estime que nombre de programmes échouent en raison de leur mode de fonctionnement : ils sont répétitifs et si généraux qu’ils paraissent dépourvus d’utilité. D’autres experts ajoutent que les exigences de conformité et d’assurance poussent les organisations à reprendre chaque année le même contenu pour tous les employés, indépendamment de leurs connaissances antérieures ou de la nature des risques auxquels ils sont confrontés.
Cette pratique peut produire des taux d’achèvement élevés sans entraîner de changement comportemental comparable. En outre, l’accent mis sur la conformité peut transformer le minimum requis en objectif final, au lieu de le considérer comme une base susceptible d’être améliorée. Selon les avis rapportés dans l’analyse, les formations générales ne reflètent pas toujours les techniques modernes d’ingénierie sociale ni les attaques qui utilisent l’intelligence artificielle.
Qu’est-ce qui change concrètement ?
La formation est efficace lorsqu’elle prépare l’employé à une situation précise, mais les attaquants modifient constamment leurs méthodes. Les experts proposent donc que la formation soit plus fréquente, davantage adaptée au rôle de l’employé et qu’elle comporte des consignes claires sur ce qu’il convient de faire lorsqu’un message ou une demande inhabituelle est suspecté, comme le signaler ou le vérifier plutôt que de se limiter à reconnaître les signes du phishing.
Les participants soulignent que la formation ne peut pas constituer l’unique ligne de défense. Elle doit être soutenue par une architecture de sécurité moderne comprenant la protection des identités, l’authentification multifacteur, des contrôles techniques et des procédures de vérification claires. Une bonne conception des systèmes part du principe que l’erreur humaine est possible, au lieu de faire peser sur l’employé la responsabilité d’arrêter chaque attaque.
La tâche se complique encore avec les attaques qui produisent des messages plus convaincants et plus personnalisés, ainsi qu’avec le clonage vocal et l’utilisation de canaux mobiles tels que les SMS, WhatsApp et les applications de messagerie. L’analyse cite Mike Aalto, de Hoxhunt, qui estime que le phishing généré par l’intelligence artificielle a été multiplié par 14 entre 2025 et 2026, les anciennes méthodes s’améliorant plutôt que de nouvelles tactiques totalement inédites n’apparaissent.
Le comportement et le contexte comptent davantage que la mémorisation
L’article indique que les simulations de phishing peuvent temporairement réduire les taux de compromission, mais que cet effet peut disparaître en quelques mois. Certains experts recommandent donc une formation comportementale continue axée sur un nombre limité d’actions mesurables, telles que le signalement des menaces et l’utilisation de l’authentification multifacteur, avec des interventions et des rappels fournis au moment opportun.
L’un des points de vue compare la sensibilisation à la sécurité à la publicité numérique : au lieu d’envoyer le même message à tout le monde au même moment, il est possible de concevoir la sensibilisation pour qu’elle intervienne lorsque l’employé est confronté à une décision ou à un risque précis. L’objectif n’est pas de considérer l’employé comme le maillon faible, mais d’en faire un élément actif du dispositif de détection et de réponse.
Les limites de la mémoire et de la prédiction
Jordan Richard Schoenherr, psychologue cognitif chez Humanix et professeur adjoint à University of New South Wales, explique la difficulté de la formation par le fait que l’oubli constitue l’état par défaut de la mémoire et qu’il survient rapidement. Même le fait de se souvenir d’une information ne garantit pas de savoir quand ni comment l’utiliser. L’apprentissage nécessite donc des mises à jour fréquentes ainsi que des déclencheurs comportementaux qui réactivent les connaissances au moment de la décision.
Mais apprendre aux employés à reconnaître des schémas connus comporte un risque supplémentaire : ils peuvent interpréter l’absence de fautes d’orthographe ou de signes traditionnels comme une preuve de la légitimité du message, alors que ce n’est pas le cas. De même, la formation du jour peut devenir obsolète avec l’apparition de nouvelles variables, ce qui rend la construction de scénarios multiples et la prise de décision dans un contexte de profonde incertitude plus utiles que le fait de s’appuyer sur une seule anticipation de l’avenir.
Lecture éditoriale de certi.news : le véritable changement ne consiste pas à supprimer la formation, mais à la faire passer d’un programme annuel de conformité à une capacité opérationnelle continue qui mesure les comportements et les soutient par la technologie. Toutefois, l’article ne démontre pas qu’un modèle unique ait résolu le problème ; les experts reconnaissent que la formation restera limitée face à l’asymétrie des risques, à la rapidité des attaques et à la complexité de la mémoire humaine. Les questions ouvertes restent donc liées à la manière de mesurer le changement comportemental, à sa durée et à la capacité des organisations à actualiser la formation plus rapidement que les attaquants ne s’adaptent.