Du bruit au signal : construire la cyber-résilience dès aujourd’hui

Arnaud Loubatiere, Directeur France et Europe du Sud chez SoSafe

Les entreprises françaises n’ont jamais proposé autant de formations en cybersécurité, ce qui n’empêche pas, les incidents à caractère humain de se multiplier. Le problème réside dans la qualité de l’information et sa capacité à modifier durablement les comportements. Lors du Signal Paris, Arnaud Loubatiere, directeur France et Europe du Sud chez SoSafe, a dressé un constat lucide des limites actuelles. « On ne manque pas de contenus. On manque d’impact sur les comportements », a-t-il résumé.

Trop de bruit, trop peu de signaux

L’intelligence artificielle générative a profondément rebattu les cartes entre attaquants et défenseurs. Les acteurs malveillants disposent aujourd’hui d’outils capables de produire des campagnes d’ingénierie sociale hyperpersonnalisées, multicanales et quasi instantanées. Face à cette accélération, les dispositifs de sensibilisation traditionnels peinent à suivre le rythme.

Arnaud Loubatiere a directement interrogé son auditoire : « À main levée, qui mesure aujourd’hui le taux de complétion ou de connaissance de ses formations ? » La réponse a mis en évidence une réalité souvent sous-estimée : la majorité des programmes évaluent la complétion d’un module, pas le changement de comportement. C’est précisément ce décalage que les attaquants exploitent.

Le délai opérationnel, évalué entre deux et quatre semaines, entre l’attaque réelle et sa reproduction en formation est également incompatible avec le rythme des cyberattaques. Aujourd’hui, les responsables sécurité doivent impérativement remédier à ce problème.

Vous souhaitez approfondir ces éléments de réflexion ? Visionnez l’enregistrement de la session Signal Paris pour découvrir l’intégralité des échanges. 

Dépasser la sécurité statique

Arnaud Loubatiere a présenté à son auditoire la pyramide de Dale, basée sur l’apprentissage actif : un apprenant retient seulement 10 % de ce qu’il lit, mais jusqu’à 90 % de ce qu’il expérimente dans un environnement actif et gamifié. 

« Si vous lisez le journal le matin, vous aurez du mal à me dire ce que vous avez lu. Par contre, vous vous souviendrez très bien de la première action que vous avez effectuée dans la journée »

Ce principe remet en cause l’architecture même des programmes de sensibilisation : tant que la formation reste passive, elle ne peut pas ancrer de réflexes durables. L’objectif n’est pas de « former une fois par an », mais d’instaurer une dynamique d’apprentissage continu qui accompagne le collaborateur / la collaboratrice tout au long de son cycle de vie dans l’entreprise : embauche, changement de poste, réponse à un incident ou une menace.

Cette approche implique également de rompre avec les blocs de formation standardisés actuels. Il s’agit de concevoir des micro-apprentissages contextualisés, activés au bon moment, pour le bon collaborateur, en réponse à une situation concrète. Cela suppose de changer profondément de logique pour ne plus mesurer un taux de complétion, mais observer une évolution comportementale.

Sur le marché français spécifiquement, la résistance culturelle vient aggraver ce tableau. Là où d’autres cultures d’Europe du Nord acceptent plus facilement les injonctions pédagogiques, le personnel français témoigne d’une forte fatigue vis-à-vis de modules répétitifs et peu contextualisés. Leur demander de réaliser « la même formation pour la troisième année consécutive », comme le formulait Loubatiere, c’est s’assurer d’un engagement minimal et d’une rétention quasi nulle.

Un plan d’action pour une résilience opérationnelle

Arnaud Loubatiere a détaillé une approche composée de trois leviers complémentaires pour une gestion du risque humain adaptative.

« Il faut s’adapter aux menaces, aux personnes et au contexte ».

Le premier consiste à s’adapter aux menaces elles-mêmes. Plutôt que de s’appuyer sur des généralités, il faut recycler les tentatives d’attaques réelles pour en faire des simulations ciblées. Lorsqu’un collaborateur signale un e-mail suspect, celui-ci est analysé automatiquement et intégré dans les campagnes de simulation. Cette approche rend le risque beaucoup plus concret. Lorsque 30 membres d’une équipe finance visée par un e-mail de hameçonnage réel, trois ont cliqué lors de la simulation, le responsable de la sécurité peut calculer précisément le risque évité et le traduire en retour sur investissement concret.

Le deuxième levier concerne l’adaptation aux personnes. Alors que 79 % des attaques transitent encore par l’e-mail, mais que le SMS, le vishing et les attaques multicouches progressent rapidement, la surface à couvrir s’élargit. Cela suppose d’instaurer des micro-modules personnalisés par métier, profil de risque et intérêts spécifiques.

Le troisième levier nécessite d’adapter le contexte organisationnel. Les politiques de sécurité (ces documents PDF de 40 pages que personne ne lit vraiment ) doivent devenir des parcours d’apprentissage interactifs. Un exemple concret a été cité : Eurazeo, acteur du private equity, intègre la charte de sécurité des entreprises qu’il évalue dans un modèle de langage spécialisé en cybersécurité. L’outil génère instantanément un diagnostic de conformité et des parcours de formation dédiés. Le gain par leçon créée pour les organisations soumises à des mises à jour normatives fréquentes, comme celles du secteur pharmaceutique, est estimé à 10 000 €.

Le message final d’Arnaud Loubatiere se veut volontairement pragmatique : « N’attendez pas d’avoir un programme parfait pour commencer », a-t-il insisté. L’indicateur de succès n’est plus le taux de complétion, mais la réduction mesurable des incidents humains, pour faire émerger les bons signaux au milieu du bruit qui résonne dans les environnements numériques.

About the author

Arnaud Loubatiere
Directeur France et Europe du Sud, SoSafe

Expert en développement stratégique et passionné par les enjeux de la transformation numérique, Arnaud Loubatière dirige les opérations commerciales de SoSafe en France et en Europe du sud. ll accompagne les organisations dans la mise en place de cultures de sécurité pérennes en remplaçant le facteur humain au cœur de leur stratégie. Pour cette édition de Signal Paris, il partagera sa vision et son expérience métier pour décrypter les nouvelles menaces et animera les échanges autour des stratégies de protection de demain.

En savoir plus