Il y a une phrase qu'on répète depuis des années dans la cybersécurité : « l'humain est le maillon faible ». Je l'ai entendue chez mes clients, lue dans des rapports, vue partout sur internet, et à chaque fois, elle me dérange. Parce qu'elle dit une chose vraie, mais de la mauvaise manière.

Déjà, c'est extrêmement culpabilisant. L'humain n'est pas un maillon faible. C'est un système de décision, avec ses biais, ses automatismes… Et tant qu'on continue à le traiter comme une faille à corriger plutôt qu'un comportement à faire évoluer, on continuera à investir des fortunes dans des formations qui ne changent rien.

Le vrai problème n'est pas le savoir, c'est le réflexe. Quand quelqu'un clique sur un lien de phishing, ce n'est (presque) jamais par ignorance. La plupart des gens « savent » qu'il ne faut pas cliquer, qu'il faut être vigilant. Ils l'ont vu en formation, ils l'ont coché dans un quiz… Mais savoir et faire sont deux choses différentes.

Au moment du clic, personne ne va consciemment chercher ce qu'il a appris des mois plus tôt. On agit par automatisme : un mail qui ressemble à un mail légitime, une journée chargée, une demande qui semble urgente. Le comportement se joue en deux secondes. C'est exactement là que la sensibilisation classique échoue : elle muscle le savoir une à quatre fois par an, mais elle ne touche jamais le réflexe.

Pourquoi le format « formation annuelle » ne peut pas marcher (et ce n'est la faute de personne)

Imaginez qu'on vous demande de courir un marathon, mais que votre entraînement consiste en trois séances intensives de deux heures dans l'année. Personne ne signerait pour ça. On sait que la performance physique se construit par la répétition, l'espacement et la régularité.

Le cerveau fonctionne pareil pour les comportements. La science de l'apprentissage est claire là-dessus : un savoir vu une fois s'efface ; un comportement ancré par répétition espacée perdure dans le temps. La formation annuelle obligatoire n'est pas une mauvaise idée mal exécutée. C'est un mauvais format pour l'objectif visé. On essaie d'ancrer des réflexes durables avec un outil conçu pour transmettre de l'information ponctuelle.

Ce que la science du comportement dit à ce sujet

Quand on prend le sujet par le bon bout, trois leviers comportementaux changent tout.

Le premier, c'est la répétition espacée. Pas plus de contenu : le même message, vu plusieurs fois, à intervalles courts. C'est ce qui fait passer une information de la mémoire à l'automatisme.

Le deuxième, c'est le contexte. Un réflexe s'ancre quand il s'entraîne dans des conditions proches du réel. Reconnaître un mail suspect dans un quiz, ce n'est pas le même geste mental que le reconnaître dans sa boîte, un mardi à 17h, entre deux réunions.

Le troisième, c'est le nudge. On change les comportements en rendant le bon comportement plus facile, plus naturel. Aucun de ces leviers n'est nouveau ; ils sont juste très peu appliqués en cybersécurité, parce qu'on a calqué la sensibilisation sur le modèle de la conformité, pas sur celui du changement de comportement.

Le changement qui doit s'opérer

Arrêter de mesurer des taux de complétion. Commencer à mesurer des comportements. Une culture cyber, ça ne se décrète pas en formation : ça se construit par des micro-gestes répétés, jusqu'à ce que le bon réflexe devienne le réflexe par défaut. C'est lent, c'est moins spectaculaire qu'une grande campagne annuelle, et c'est la seule chose qui marche.

Et il y a une dimension qu'on oublie presque toujours. On range la cybersécurité au même rang que les formations annuelles obligatoires, éthique, conformité, une case RH à cocher, déconnectée de la vraie vie des gens. Sauf que la cyber n'est pas qu'un enjeu d'entreprise. Les réflexes qu'on entraîne au bureau, ce sont les mêmes qui protègent un compte bancaire, des photos de famille, l'identité de ses proches. Pour une fois, ce qu'on demande aux collaborateurs ne sert pas que l'employeur : ça les protège, eux, dans leur vie privée.

C'est un levier d'engagement que la sensibilisation classique laisse complètement de côté. On parle de « conformité » et de « risque pour l'organisation » à des gens qui, au fond, ont surtout envie de ne pas se faire pirater leur propre compte.

Quand j'ai conçu Billow, je me suis posé une question simple : qu'est-ce qui fait qu'une appli comme Strava réussit à ancrer une habitude ? La réponse n'est pas dans le contenu. Strava ne vous apprend pas à courir mieux que personne. Ce qu'elle fait, c'est créer un rendez-vous court et régulier, rendre la progression visible, donner des défis, et transformer un effort isolé en habitude qui tient dans le temps. Le geste devient automatique parce qu'il est fréquent, mesuré, et qu'on y prend plaisir. C'est exactement la mécanique comportementale qu'il manque à la sensibilisation cyber.

Je vais être honnête : la cyber part avec un handicap. Personne ne se lève le matin avec l'envie de s'entraîner à repérer un phishing. C'est justement pour ça que le format compte autant. Si l'entraînement est ludique, rapide et qu'on sent qu'on progresse, on revient. S'il est long, théorique et obligatoire, on le subit et on oublie.

Parce que le facteur humain n'est pas un problème à régler : ce sont des comportements à accompagner, jour après jour.