Formation de sensibilisation à la cybersécurité qui porte réellement ses fruits

D'après le rapport 2025 d'IBM sur le coût des violations de données, le coût moyen d'une violation de données s'élève désormais à 4.44 millions de dollars à l'échelle mondiale. Et dans la plupart des cas, le maillon faible n'est pas le pare-feu, mais l'humain. Le rapport 2024 de Verizon sur les enquêtes relatives aux violations de données a révélé que 68 % des violations impliquent un facteur humain : un clic malveillant, un mot de passe partagé, un contrôle d'accès mal configuré.

La formation peut remédier à cela. Mais la plupart des organisations la dispensent d'une manière inefficace.

Ce guide explique pourquoi les formations traditionnelles en cybersécurité échouent, ce que la recherche démontre quant à l'efficacité réelle des changements de comportement, et quels outils rendent cela possible – pour les équipes travaillant en direct, hybrides et asynchrones.

Infographie présentant 4 statistiques clés sur la formation en cybersécurité

Pourquoi la plupart des formations en cybersécurité échouent

Un employé semble désengagé pendant une formation passive en sécurité en ligne

Posez-vous honnêtement la question : votre équipe se souvient-elle de la formation annuelle de sécurité de l’année dernière ?

Si la réponse est « probablement pas », la courbe de l'oubli d'Ebbinghaus explique pourquoi. Des études montrent que l'on oublie environ 70 % des nouvelles informations en 24 heures sans rappel. Une séance annuelle de sensibilisation d'une heure, aussi bien conçue soit-elle, ne peut rivaliser avec le fonctionnement de la mémoire humaine.

Trois problèmes cumulatifs aggravent la situation :

Capacité d'attention réduite. Les sessions passives et trop chargées en contenu perdent l'attention des employés en quelques minutes. Une fois l'attention relâchée, les détails essentiels — les indices précis qui permettent de distinguer un courriel d'hameçonnage d'un courriel légitime — sont ignorés.
Aucun traitement en cours. Regarder un diaporama ne signifie pas apprendre. Les connaissances qui ne sont ni appliquées, ni testées, ni réutilisées après la séance s'estompent rapidement.
Pas de boucle de renforcement. La plupart des organisations dispensent une formation en cybersécurité une fois par an, sans suivi. Entre les sessions, les employés retombent dans leurs travers, non par désintérêt, mais parce qu'aucun mécanisme ne permet de maintenir leurs connaissances à jour.

Résultat : des employés qui ont techniquement « terminé » leur formation en sécurité et qui restent tout aussi vulnérables qu'avant.

Qu’est-ce qui modifie réellement le comportement en matière de sécurité ?

Rendre les sessions en direct interactives

Un groupe diversifié de professionnels votant sur smartphones lors d'une session de formation interactive

Le changement le plus efficace en formation présentielle consiste à passer d'une présentation passive à une participation active. Au lieu d'expliquer à quoi ressemble une attaque de phishing, proposez aux employés un scénario : « Vous venez de recevoir ce courriel. Que faites-vous ? » Laissez-les voter. Affichez les résultats en temps réel. Discutez des raisons pour lesquelles les mauvaises réponses sont si tentantes.

Il s'agit de la récupération active — la récupération des connaissances plutôt que leur réception — et elle améliore considérablement ce que les gens retiennent par rapport à l'écoute ou à la relecture.

Les sondages basés sur des scénarios révèlent de véritables lacunes en matière de connaissances, contrairement aux enquêtes déclaratives. Si la moitié de votre équipe donne une mauvaise réponse en temps réel, vous identifiez précisément le risque le plus élevé. C'est bien plus utile qu'un score de satisfaction après une formation.

Utilisez la section questions-réponses anonymes

Les employés savent souvent où ils ont négligé certaines sécurités : partage d’identifiants, appareils non mis à jour, mots de passe faibles. Ils l’admettent rarement publiquement. Les questions-réponses anonymes offrent un espace sécurisé pour signaler ce qui se passe réellement au sein de votre organisation, permettant ainsi aux formateurs d’avoir une vision bien plus précise des risques réels.

Maintenez les listes de contrôle de conformité dynamiques, et non statiques.

Les listes de contrôle de sécurité, souvent distribuées sous forme de PDF, finissent par être classées et oubliées. Les utiliser comme sondages interactifs – où les employés votent Oui, Non ou Sans objet pour chaque point – transforme un exercice de conformité en un véritable échange d'équipe. Ce modèle gratuit de liste de contrôle de cybersécurité couvre les procédures d'accès physique, de gestion et d'élimination des données – prêt à l'emploi sans aucune configuration.

👉 Modèle de liste de contrôle de cybersécurité gratuit

Entraînement hybride et asynchrone : le modèle de répétition espacée

Les séances en direct sont efficaces, mais elles ne peuvent à elles seules engendrer un changement de comportement complet. L'oubli ne connaît pas de pause entre les séances de formation.

La répétition espacée — qui consiste à revoir une matière à intervalles de plus en plus espacés au fil du temps — est l'un des principes les plus étayés en sciences de l'apprentissage. Une étude à grande échelle, publiée dans le Journal of the American Board of Family Medicine et portant sur plus de 26 000 professionnels, a révélé que la répétition espacée permettait d'obtenir des taux de rétention significativement plus élevés que l'absence totale de répétition (58 % contre 43 %).

Appliqué à la formation en cybersécurité, cela signifie remplacer ou compléter la session annuelle par des points de contact plus courts et plus fréquents :

Semaine 1 : Session de formation en présentiel ou hybride, organisée sous forme de scénarios interactifs
Semaine 2 : Quiz asynchrone de 5 questions portant sur le même contenu, accessible via un lien ou un code QR.
Mois 2: Un court module sur un nouveau sujet : la gestion des mots de passe, la sécurité physique ou la réponse aux incidents.
Trimestre 2 : Un sondage de rappel intégré à une réunion d'équipe

Pour les équipes distantes et hybrides, l'accès asynchrone est essentiel. Les employés répondent à un questionnaire de 5 minutes à leur propre rythme, sans avoir à bloquer un après-midi entier. L'avantage principal est que chaque module se termine par une question, et non par une diapositive récapitulative : les connaissances sont ainsi constamment testées, et non simplement révisées.

Meilleurs outils pour la formation de sensibilisation à la cybersécurité

Aucun outil n'est parfait. Voici un aperçu honnête des points forts et des limites de chacun.

Kahoot

L'outil idéal pour les quiz ludiques. Il fonctionne bien comme contrôle de connaissances autonome ou activité de fin de session, mais n'est pas conçu pour une présentation complète et la diffusion de contenu ; vous aurez toujours besoin d'un support de formation distinct pour l'utiliser dans le cadre de la formation proprement dite.

Avantages : Un format ludique et compétitif qui stimule la participation. Facile d'accès : la plupart des employés le connaissent déjà.

Inconvénients : Limité aux quiz et à la gamification. Ne convient pas aux présentations. Nécessite d'être associé à d'autres logiciels pour une session de formation complète.

Mentimètre

Un outil performant pour les sondages en direct et les présentations. Idéal pour rendre une présentation statique plus interactive grâce à des sondages et des nuages de mots, mais ses fonctionnalités s'arrêtent là : pas de gamification, pas d'éléments compétitifs, pas de système de notation des quiz.

Avantages : Interface claire et accessible à tous. Large choix de sondages. Aucun compte participant requis.

Inconvénients : Pas de gamification ni de quiz. Les fonctionnalités asynchrones et de suivi sont limitées. Le prix varie fortement en fonction de la taille de l'audience.

Quizlet

Axé exclusivement sur l'apprentissage à son propre rythme à l'aide de fiches et de questionnaires à choix multiples. Utile pour un renforcement individuel entre les séances, mais son champ d'application est limité.

Avantages : Mécanismes de répétition espacée efficaces. Idéal pour l'apprentissage individuel asynchrone. Vaste bibliothèque de contenu existante.

Inconvénients : Uniquement des questionnaires à choix multiples — aucun autre type d'interaction. Non conçu pour les formations en équipe en direct ni les sessions animées par un formateur.

Cordialement

Un outil de création de contenu pour concevoir des présentations interactives et des modules de microapprentissage. La qualité dépend fortement du modèle choisi, et créer un contenu soigné à partir de zéro demande du temps et des efforts considérables.

Avantages : Sortie visuellement riche. Idéal pour les modules asynchrones à rythme libre, une fois bien configuré.

Inconvénients : Courbe d'apprentissage abrupte. Forte dépendance aux modèles pour obtenir de bons résultats. Absence de participation du public en temps réel.

AhaSlides

Là où les autres solutions se concentrent chacune sur une étape du processus de formation, AhaSlides le couvre intégralement : sessions en direct, formation hybride et suivi asynchrone, sans avoir à changer d’outil. Chaque type d’interaction possède son propre format de diapositive : quiz, sondage, nuage de mots, questions-réponses, roue de la fortune, évaluation, questions ouvertes. La création de diapositives est simple et ne nécessite aucun apprentissage. Les rapports post-session affichent les scores individuels et les lacunes de connaissances par question, permettant ainsi un suivi ciblé et non approximatif. AhaSlides s’intègre nativement avec Zoom, Teams, PowerPoint et bien d’autres plateformes. Google Slides.

Avantages : Tous les types d'interaction réunis dans un seul outil, présentés sous forme de diapositives simples. Prise en main immédiate : les formateurs peuvent l'utiliser sans manuel. Convient parfaitement aux formations en direct, hybrides et asynchrones. Idéal pour les formations, les réunions, l'intégration et les événements. Tarification transparente et maîtrisée.

Inconvénients : Moins de notoriété que Kahoot ou Mentimeter. Un aspect ludique moins compétitif que le format de Kahoot.

Modèles de formation en cybersécurité gratuits, prêts à l'emploi :

Un cadre simple pour commencer

Vous n'avez pas besoin de revoir l'intégralité de votre programme d'entraînement. Commencez ici :

Remplacez un bloc de diapositives par un sondage en direct sur un scénario. Choisissez un exemple réel d'hameçonnage reçu par votre équipe et utilisez-le comme question à choix multiples.
Envoyez un questionnaire de suivi de 5 questions dans la semaine. N’attendez pas un mois — la courbe de l’oubli est la plus abrupte durant les premières 24 heures.
Changer de sujet chaque trimestre. Un trimestre est consacré à l'hameçonnage, le suivant à l'accès physique, et le suivant à la gestion rigoureuse des mots de passe. Chaque session s'appuie sur la précédente et la renouvelle.
Suivez les erreurs commises par votre équipe. Utilisez ces données pour décider où consacrer plus de temps, et non votre intuition.

L'étude comparative de KnowBe4 sur le phishing, portant sur plus de 9.5 millions d'utilisateurs répartis dans plus de 30 000 organisations, a révélé qu'une formation structurée et régulière à la sensibilisation à la sécurité réduit la vulnérabilité au phishing jusqu'à 75 %, les gains les plus importants apparaissant dans les 90 premiers jours d'un nouveau programme.

Il ne s'agit pas d'une amélioration marginale, mais d'un changement structurel du profil de risque de votre organisation.

Essayez AhaSlides gratuitement