E-learning cybersécurité : utile pour savoir, pas pour réagir

L'e-learning cybersécurité est efficace pour transmettre des connaissances : ce qu'est un hameçonnage, quelles règles appliquer, où signaler. Il est insuffisant pour installer un réflexe, car un réflexe se construit en pratiquant la bonne réaction, dans une situation proche du réel. Pour le téléphone, il faut ajouter de la pratique orale et de la répétition.

Cet article distingue savoir et réflexe, explique pourquoi les modules s'oublient, puis propose une articulation réaliste entre e-learning et mise en situation.

Que fait bien l'e-learning cybersécurité ?

Il remplit trois fonctions utiles. Il donne un vocabulaire commun à tous les salariés, il diffuse les règles de l'organisation et il laisse une trace de diffusion. Pour une population nombreuse et dispersée, c'est un moyen simple de démarrer.

Il convient aussi aux sujets techniques ou réglementaires qui demandent d'être lus : politique de mots de passe, classification des données, usage des appareils personnels. Rien de cela n'est à remettre en cause.

Le problème commence quand on lui demande ce qu'il ne sait pas faire : transformer une règle connue en geste automatique, au moment où quelqu'un vous presse au téléphone.

Savoir n'est pas réagir : la différence qui compte

Savoir, c'est pouvoir répondre à une question de quiz : « Doit-on communiquer un code reçu par SMS ? » La bonne réponse est évidente, tranquillement assis devant un module.

Réagir, c'est refuser ce même code à une voix aimable, qui annonce un virement frauduleux en cours et vous demande de l'aider. La situation ajoute du stress, du temps compté et une relation humaine. La règle est la même, la difficulté non.

Deux éléments expliquent l'écart :

• Le contexte de rappel diffère. On retrouve plus facilement une information dans une situation qui ressemble à celle où on l'a apprise. Un quiz et un appel n'ont presque rien en commun.
• La phrase n'a jamais été prononcée. Refuser à voix haute, sans se justifier, est un geste de parole. On ne l'acquiert pas en cliquant sur la bonne réponse.

C'est l'idée que développe aussi notre article sur les limites du LMS pour les compétences comportementales.

Pourquoi on oublie : l'oubli et l'espacement

Hermann Ebbinghaus a décrit dès 1885 la courbe de l'oubli : sans reprise, une grande part de ce qu'on a appris s'efface vite. Les modules suivis une fois par an, puis plus jamais, y sont soumis comme le reste.

La recherche sur la pratique espacée est plus encourageante. Dans leur synthèse de 2006 parue dans Psychological Bulletin, Cepeda et ses collègues montrent un fait simple. Répartir les révisions dans le temps donne de meilleurs résultats de rappel que les concentrer en une séance.

Autre résultat solide : se tester aide plus que relire. Dans une étude de Roediger et Karpicke (Psychological Science, 2006), les étudiants surtout testés rappelaient mieux le contenu une semaine plus tard. Les autres avaient surtout relu. Se rappeler activement fixe mieux que revoir passivement.

Ce que le réflexe demande vraiment

Un réflexe de sécurité repose sur trois ingrédients. Le premier est une règle courte, identique pour tous, comme « je raccroche et je rappelle par le numéro officiel ». Le deuxième est une formulation prête à dire. Le troisième est une répétition dans des situations variées.

Sans le deuxième ingrédient, la règle reste théorique. Sans le troisième, elle se dilue dans le stress. Les articles de ce cocon détaillent chaque geste : le contre-appel, le refus sous pression, la vérification de l'appelant.

Une phrase de refus doit être courte, polie et sans justification. Plus elle est longue, plus l'appelant y trouve une prise pour relancer. « Je ne le fais pas par téléphone, je vous rappelle » suffit.

Le formateur a donc deux tâches : choisir les quelques règles qui comptent pour chaque métier, puis faire dire les phrases correspondantes jusqu'à ce qu'elles deviennent naturelles. Tout le reste du programme peut rester un support de lecture.

Comment articuler e-learning et pratique orale

La bonne approche n'oppose pas les deux. Elle les met dans l'ordre.

1. Le module donne le cadre : types d'attaques, règles, canal de signalement. Dix à vingt minutes suffisent.
2. La mise en situation fait pratiquer : l'apprenant parle à un persona qui insiste, applique la règle, reçoit un débriefing.
3. La répétition espacée entretient : un court exercice toutes les quelques semaines, avec un scénario différent, plutôt qu'un grand rendez-vous annuel.
4. Le signalement ferme la boucle : après chaque exercice, on s'entraîne à dire à qui l'on signale et quoi.

Cette organisation rejoint ce que l'on constate dans la conformité : le taux de complétion n'est pas une compétence, comme l'explique notre article sur l'e-learning de conformité.

Que peut apporter un jeu de rôle avec un persona IA ?

Un jeu de rôle oral met l'apprenant devant un interlocuteur qui réagit. Avec Face Up, le formateur écrit son scénario à partir de ses cas réels, par exemple un faux fournisseur qui réclame un changement d'IBAN. L'apprenant parle, le persona insiste, puis un débriefing indique les objectifs atteints ou non, les points forts, les points à améliorer et cite ce que l'apprenant a dit.

Il peut rejouer tout de suite. La répétition devient peu coûteuse : pas de salle à réserver, pas de comédien à mobiliser, et chacun s'exerce à son rythme. L'intégration avec le LMS se fait en LTI 1.3, ce qui permet de conserver le parcours actuel de formation.

Imaginons deux salariés après le même module

Deux collègues, Léa et Karim, terminent le même module de sensibilisation avec un score de 95 %. Trois semaines plus tard, un appelant qui se dit technicien du service informatique demande à Léa de valider une notification d'authentification sur son téléphone.

Léa a déjà prononcé, lors d'un exercice, la phrase « Je ne valide rien sur appel entrant, je vous rappelle par le service officiel ». Elle la dit presque sans y penser. Karim connaît la règle, mais il n'a jamais eu à la dire à voix haute. Il hésite, l'appelant insiste, et il finit par valider pour « en finir avec ça ».

Leurs scores étaient identiques. Leur capacité à réagir ne l'était pas. Voilà pourquoi le taux de réussite d'un quiz ne dit presque rien de la protection réelle d'une équipe. Pour le cas du support, voyez l'ingénierie sociale sur le service desk.

Une grille pour auditer votre dispositif actuel

Passez votre programme de sensibilisation en revue avec ces cinq questions. Elles montrent où manque la pratique.

1. Chaque règle importante a-t-elle une formulation orale prête à dire, et pas seulement une consigne écrite ?
2. Les salariés exposés au téléphone ont-ils déjà dit cette phrase à quelqu'un qui insistait ?
3. Les reprises sont-elles espacées dans l'année, avec des scénarios différents ?
4. Le retour donné après un exercice cite-t-il ce que la personne a vraiment dit ?
5. Mesurez-vous des comportements (rappel proposé, code refusé, signalement fait) plutôt que des complétions ?

Si trois réponses ou plus sont négatives, ajoutez de la pratique avant d'ajouter des modules. Un module de plus allonge le parcours sans toucher à l'écart entre savoir et réagir.

Commencez petit : un métier, un scénario, une phrase à ancrer. Mesurez le résultat sur quelques semaines, puis étendez à d'autres équipes. Cette progression, plus modeste qu'un grand programme, laisse le temps d'ajuster les scénarios avec les retours du terrain et de convaincre les managers.

Les erreurs fréquentes avec l'e-learning de sécurité

• Mesurer le succès au taux de complétion, qui dit seulement que le module a été ouvert et terminé.
• Proposer le même module chaque année, ce qui installe la lassitude.
• Utiliser un langage technique avec des salariés qui n'ont pas besoin de la théorie des attaques.
• Négliger le téléphone parce que l'e-learning traite surtout l'e-mail. Voyez les limites des campagnes de phishing sur la voix.
• Rendre la formation punitive : un quiz raté ne doit pas se transformer en reproche.

Questions fréquentes

L'e-learning cybersécurité est-il inutile ?

Non. Il est très bon pour poser le cadre, diffuser les règles et laisser une trace. Il ne suffit pas pour fabriquer un réflexe de réponse à un appel pressant.

Quelle fréquence pour des rappels ?

Il n'existe pas de fréquence universelle. Les travaux sur l'espacement vont dans le même sens : plusieurs courtes reprises valent mieux qu'une seule longue séance. Adaptez le rythme au métier et à l'exposition.

Comment savoir si un salarié a un réflexe, et pas seulement une connaissance ?

Regardez ce qu'il dit dans une mise en situation : a-t-il proposé de rappeler, refusé de donner un code, noté le nom de l'appelant ? Ce sont des comportements observables, pas des réponses de quiz.

Faut-il remplacer l'e-learning par du jeu de rôle ?

Non, il vaut mieux les combiner. Le module pose le socle, le jeu de rôle pratique, la répétition entretient. Pour la vue d'ensemble, voyez notre guide de la sensibilisation cybersécurité.

Vous voulez essayer une mise en situation de vérification d'appelant avec vos propres cas ? Réservez une démonstration de Face Up.