Formation security awareness : ce qui fonctionne, ce qui est une perte de temps

Une vidéo annuelle de 60 minutes ? Une perte de temps. Dix minutes trimestrielles de contenu ciblé, ça marche vraiment. Voici le programme qui fait ses preuves.

Les gens oublient 80 % de ce qu'ils ont entendu lors d'une formation annuelle en moins de 2 semaines. C'est pourquoi une autre approche vaut bien mieux que « regarder une vidéo et c'est réglé ».

Ce qui fonctionne

• Court et fréquent : 10 à 15 minutes par trimestre, pas 60 minutes par an.
• Contextuel : des exemples de phishing récents observés en interne, pas des exemples génériques datant de 2019.
• Interactif : des simulations de phishing auxquelles ils sont eux-mêmes confrontés. Knowbe4, Cofense, KnowBe4.
• Feedback immédiat : celui qui clique reçoit aussitôt un retour (bienveillant), pas un e-mail de blâme collectif.
• Adapté au rôle : la finance reçoit une formation sur la fraude aux factures, les RH reçoivent une formation sur l'ingénierie sociale à destination des nouveaux arrivants.

Ce qui ne fonctionne pas

• Une vidéo annuelle obligatoire de 60 minutes à « regarder avant le T4 ».
• Des tests axés principalement sur la conformité (« montrer que nous avons fait une formation ») plutôt que sur l'apprentissage.
• Une culture du blâme après les tests de phishing.
• Du contenu générique sans lien avec le contexte propre à l'entreprise.

Onboarding

Chaque nouvel employé bénéficie d'une session d'introduction de 30 minutes couvrant les bases de la sécurité, suivie d'une courte révision après 30 jours. Bien mieux mémorisé qu'une grande dose dès le premier jour.

Mesurable

• Taux de clic sur les phishing : mesurer la valeur de départ, objectif : la diviser par deux après 6 mois.
• Taux de signalement : combien de simulations de phishing sont signalées ? Objectif : > 70 % signalés dans les 2 heures.
• Temps de réponse aux incidents : lors d'un vrai incident, combien de temps faut-il aux collaborateurs pour signaler ? Meilleure métrique que les seuls tests.

Voir aussi : reconnaître le phishing, pilier sécurité.