L’état de la culture de sécurité en France

Sarra Ouaili, SVP Marketing chez SoSafe, avec les interventions de tous les intervenants réunis lors du Signal Paris.

Un tournant radical : le nouveau paysage de la cybersécurité en France

Les échanges qui ont rythmé Signal Paris convergent vers un même constat : le paysage des menaces a profondément évolué. Selon l’étude annuelle SoSafe sur l’ingénierie sociale, 76 % des responsables sécurité français observent déjà des attaques alimentées par l’intelligence artificielle (IA).  En un an, la part des attaques multi-canaux alimentées par l’IA est passée de 35 % à 80 %.  Aujourd’hui, l’IA n’est plus une technologie émergente dans la cybercriminalité.

Le hameçonnage ciblé par grands modèles de langage, le clonage vocal et les deepfakes vidéo ne sont plus réservés aux acteurs étatiques. Sur LinkedIn, 75 % des organisations observent une explosion des fausses identités utilisées pour approcher les équipes. Faux recruteurs, faux dirigeants, qui ciblent les nouveaux profils. Gaël Musquet, hacker éthique, rappelle également que les attaquants ne ciblent plus uniquement les systèmes informatiques. Ils s’intéressent aux infrastructures opérationnelles, aux objets connectés et aux équipements industriels, tout en exploitant les biais cognitifs et comportementaux des collaborateurs, bien plus déterminants que les failles techniques. 

La menace est désormais aussi physique : drones équipés de charges utiles disponibles sur les sites marchands grand public, systèmes de largage accessibles en deux clics, et attaques sur les périmètres opérationnels. Les exemples vont des électrovannes connectées en Bluetooth ou WiFi pilotant des infrastructures critiques. Pour moins de 50 €, il est possible aujourd’hui d’acquérir le matériel nécessaire pour compromettre une installation industrielle ou espionner un réseau d’entreprise depuis les airs.

La professionnalisation de la cybercriminalité s’accompagne également de l’apparition de nouveaux intermédiaires spécialisés. Les Initial Access Brokers commercialisent des accès déjà compromis à des systèmes d’information, tandis que des réseaux de mules financières, parfois qualifiés de « dropologues », organisent la circulation des fonds issus des fraudes.

Comme l’a expliqué Flore Mével, Magistrat, Section J3 de lutte contre la cybercriminalité (JIRS / JUNALCO), la cybercriminalité fonctionne désormais selon une logique entrepreneuriale où les différents acteurs collaborent sans nécessairement se rencontrer physiquement.

Régulation et innovation : l’impact de l’IA sur les entreprises françaises

La réglementation s’impose comme un autre moteur de transformation. L’adoption massive de l’IA générative oblige les entreprises à mettre en place des garde-fous adaptés, tout comme la Commission européenne, qui a publié, le 4 février 2025, des directives strictes sur les interdictions en matière d’IA. Parmi les interdictions entrées en vigueur depuis le 2 février 2025 : le scoring social des salariés et le recours à des outils d’IA analysant les émotions (webcam mesurant l’engagement ou l’enthousiasme en réunion) sont désormais explicitement proscrits dans les entreprises européennes, sous peine de sanctions réglementaires élevées.

L’AI Act européen, combiné à NIS2, DORA et CSRD, dessine un nouveau cadre de gouvernance. Les entreprises doivent démontrer leur capacité à encadrer leurs usages et conserver leur agilité.

Les organisations les plus avancées ne répondent pas à cette complexité par l’interdiction. Elles privilégient l’accompagnement, comme le résume Rudolphe Proust, Directeur des Risques Groupe, ALTAREA : « l’adhésion plutôt que l’interdiction ». Cette approche consiste à proposer des environnements sécurisés, soutenus par les directions générales, afin de favoriser l’appropriation des outils.

L’innovation joue également un rôle majeur. Les plateformes de gestion du risque humain permettent désormais de transformer des documents réglementaires complexes en parcours pédagogiques interactifs en quelques minutes.

La conformité ne ralentit plus les entreprises ; elle devient un accélérateur de transformation.

Cultiver des habitudes durables au-delà de la conformité statique

 L’un des principaux enseignements de la journée concerne l’échec des programmes de sensibilisation traditionnels.

Une formation annuelle ne suffit plus. Les individus retiennent davantage lorsqu’ils pratiquent régulièrement. Comme l’a constaté Quentin Malraison, ancien RSSI chez Sumeria, la “conversation à café” anéantit l’effet d’une campagne de phishing en moins de 24 à 48 heures : dès que les équipes se préviennent mutuellement, le test perd toute valeur pédagogique. La science cognitive le confirme : selon la pyramide de Dale, on retient 10 % de ce que l’on lit, mais jusqu’à 90 % de ce que l’on pratique activement.

« Chaque campagne doit avoir un but, un objectif et un message »

Malraison a expliqué les limites des simulations génériques. Son approche repose sur le micro-learning et la contextualisation des apprentissages. 

Il insiste également sur le fait que « la cyber, c’est l’affaire de tous ». Les équipes métiers, communication, risques et gouvernance doivent être impliquées. Une approche qui a permis d’atteindre des taux de signalement jusqu’à 70 % dans certaines organisations.

Pour aller plus loin, Timoléon Tilmant, formateur et conférencier spécialisé en sensibilisation, propose une simplification radicale inspirée du tri sélectif. À l’origine, le tri des déchets était trop complexe et les gens abandonnent. La solution : une poubelle unique, et laisser l’usine faire le tri en aval. Appliqué à la cyber, cela signifie fournir aux équipes un seul bouton de signalement, sans les obliger à analyser eux-mêmes la menace. C’est la plateforme qui prend en charge le triage, grâce à l’IA.

« Je préfère qu’ils remontent un e-mail sans avoir compris s’il était légitime ou pas, que de laisser passer celui qui était dangereux. » 

Cette évolution impose aussi de revoir les indicateurs de performance. La capacité du personnel à signaler une menace via le concept de “tri sélectif” et à adopter des réflexes durables s’impose face au taux de clic.

L’objectif n’est plus de former des experts, mais de développer des automatismes simples.

Le facteur humain : la résilience mentale au cœur de la défense

Les intervenants ont également insisté sur la dimension psychologique de la cybersécurité.

Fabrice Bru, Président du CESIN; Directeur cybersécurité et architecture, STIME, a rappelé que notre cerveau possède des limites cognitives, et que la pression nous rend plus vulnérable aux manipulations. Il illustre ce phénomène par l’expérience du “gorille invisible” : dans une vidéo où l’on demande aux participants de compter des passes de basket, la plupart ne remarquent pas un homme en costume de gorille traverser le terrain. Concentrés sur la tâche, ils passent à côté de l’essentiel. C’est exactement ce qui se produit avec les deepfakes et l’ingénierie sociale : l’attention focalisée sur l’opérationnel crée une cécité psychologique aux menaces évidentes.

Face au “cliqueur fou”, ce collaborateur qui, malgré cent simulations, clique cent fois, Bru préconise de renoncer à la sanction. La bonne réponse : aller le voir en face-à-face, lui expliquer les conséquences concrètes de ses actes, et repositionner les biais cognitifs dans un contexte personnel qui lui parle. La honte et la punition ne font qu’ancrer l’évitement.

« Il faut aller le voir en tête-à-tête et lui expliquer les conséquences de ses actes. » 

Les cybercriminels exploitent précisément ces mécanismes : urgence artificielle, pression hiérarchique ou promesse d’assistance.

Cette pression ne concerne pas uniquement les équipes. Les responsables cybersécurité eux-mêmes sont confrontés à une surcharge cognitive croissante.

Accélération des menaces, multiplication des réglementations, arbitrages budgétaires et nécessité d’accompagner les métiers. Le risque d’épuisement professionnel est un véritable enjeu de résilience.

Laurent Urien, Group CISO chez Clariane, encourage également les responsables sécurité à changer leur langage pour ne plus parler uniquement de technologies mais de finances, de risques et de stratégie d’entreprise.

Par ailleurs, les intervenants rejettent unanimement les approches fondées sur la sanction.

« Il faut démocratiser le sujet, dire que ça peut arriver à n’importe qui »

Créer une culture de la peur fragilise les organisations, tandis que valoriser les bons comportements favorise l’engagement collectif.

Vers une nouvelle culture de la cybersécurité

À l’image de la ceinture de sécurité dans le secteur automobile, la cybersécurité doit être pensée comme un dispositif intégré aux usages quotidiens. Ainsi, Fabrice Bru le rappelle : nos grands-parents ont appris à conduire sans ceinture obligatoire et ont résisté au changement. Nous, nous avons appris à conduire avec, c’est devenu un réflexe, un non-événement. La cybersécurité doit suivre le même chemin : intégrée dès la conception des outils et des processus, elle devient invisible et naturelle, plutôt qu’une contrainte ajoutée après coup. Laurent Urien résume cet objectif en une image simple :

« Comme quand on prend sa voiture le matin et qu’on met sa ceinture de sécurité – on n’y réfléchit même pas. » 

Signal Paris dessine les contours d’une nouvelle doctrine pour les organisations françaises. La cybersécurité devient un cycle continu qui combine formation, accompagnement, mesure et amélioration permanente.

Les entreprises les plus avancées partagent plusieurs caractéristiques : elles brisent les silos, impliquent les métiers, simplifient les parcours utilisateurs et privilégient les comportements plutôt que la conformité de façade.

Des organisations comme Sumeria, Altarea ou CNRS Innovation montrent déjà la voie. L’enjeu consiste désormais à généraliser ces pratiques à l’ensemble des organisations françaises.

Plus qu’une transformation technologique, il s’agit d’une transformation culturelle.

Vous souhaitez approfondir ces éléments de réflexion ? Visionnez l’enregistrement de la session Signal Paris pour découvrir l’intégralité des échanges. 

About the author

Sarra Ouaili
SVP Marketing, SoSafe

Experte en marketing stratégique et digital, Sarra Ouaili pilote la vision globale et la croissance de SoSafe en tant que VP Marketing. Reconnue pour sa capacité à transformer des enjeux complexes en stratégies de marque percutantes, elle accompagne le développement de solutions innovantes axées sur le facteur humain. À l'occasion de Signal Paris, Sarra partagera son regard sur l'évolution du marché ces dernières années et animera les échanges pour explorer les nouvelles frontières de l'engagement et de la cybersécurité.

En savoir plus