Risque humain en cybersécurité : comment le mesurer et le réduire
Définition du risque humain et de la culture sécurité, indicateurs à suivre (clics, signalements, récidives) et plan sur 12 mois pour une PME.
Le risque humain en cybersécurité est la probabilité qu’une action ou une omission d’un salarié ouvre la porte à un incident : un clic sur un lien piégé, un mot de passe saisi sur une fausse page de connexion, un virement validé sans contre-appel, un dossier partagé avec toute la planète. L’élément humain intervient dans 62 % des violations de données (Verizon DBIR 2026). Ce chiffre décrit la méthode des attaquants plus qu’il ne juge les salariés : convaincre un comptable d’ouvrir une fausse facture coûte moins cher que de percer un pare-feu.
Ce risque se mesure, et ce qui se mesure se pilote. Cette page définit le risque humain et la culture sécurité, liste les indicateurs à suivre, montre comment les traduire en euros, puis décrit quatre chantiers de réduction et un plan sur 12 mois pour une PME.
Ce que recouvre le risque humain
Le terme regroupe des situations différentes, qui appellent des réponses différentes.
- La manipulation : phishing, faux support informatique, fraude au président ou au changement de RIB. L’attaquant exploite la confiance, l’urgence ou l’autorité. La réponse passe par l’entraînement et par des procédures de vérification.
- L’erreur : un email envoyé au mauvais destinataire, un partage de fichiers trop large, l’accès d’un ancien prestataire jamais révoqué. Elle se traite avec des processus clairs et des garde-fous techniques.
- Le contournement : un mot de passe prêté « pour dépanner », des documents envoyés vers une messagerie personnelle, un logiciel installé sans autorisation. Il recule quand les règles sont expliquées et que les outils officiels sont pratiques.
- L’abus d’accès : un salarié qui utilise un accès légitime à mauvais escient. Plus rare en PME, il relève du contrôle des accès.
La manipulation par email reste la porte d’entrée la plus fréquente. Le phishing est le vecteur initial de 16 % des violations de données, le plus fréquent dans l’étude d’IBM (Cost of a Data Breach Report 2025), et le vecteur de 55 % des attaques significatives en France (baromètre CESIN 2026). Les mécanismes psychologiques qu’il exploite sont décrits dans psychologie du phishing : les biais cognitifs.
L’exposition varie aussi selon les métiers. La comptabilité reçoit les demandes de virement et les changements de coordonnées bancaires. Les RH ouvrent toute la journée des pièces jointes envoyées par des inconnus. La direction est la cible de la fraude au président, et le support informatique celle des faux appels d’utilisateurs. Un programme utile mesure ces écarts au lieu de traiter tout le monde de la même façon.
Culture sécurité : la définition qui compte
La culture sécurité est l’ensemble des croyances, attitudes et comportements partagés qui déterminent comment les salariés agissent face au risque, en particulier quand personne ne les regarde. Elle se voit dans des gestes précis : la comptable qui rappelle le fournisseur avant de modifier un RIB, le commercial qui transfère un lien suspect au lieu de le supprimer, le manager qui raconte sans gêne qu’il a cliqué sur la dernière simulation.
Sensibilisation et culture sécurité
La sensibilisation transmet des connaissances : savoir ce qu’est un phishing, connaître les règles de mots de passe. La culture sécurité désigne ce que les gens font de ces connaissances au quotidien. On peut réussir un quiz le matin et cliquer l’après-midi, entre deux réunions, sur un faux partage SharePoint. Les indicateurs de comportement (clics, signalements) disent donc plus que les scores de quiz.
Les sept dimensions du modèle CLTRe
Le cadre de recherche CLTRe, aujourd’hui intégré à KnowBe4, décrit la culture sécurité en sept dimensions (document de recherche CLTRe). Chacune se traduit par une question simple à poser dans une PME.
| Dimension | La question à se poser |
|---|---|
| Attitudes | La sécurité est-elle vue comme une contrainte de l’informatique ou comme l’affaire de tous ? |
| Comportements | Les salariés verrouillent-ils leur poste et signalent-ils les emails suspects ? |
| Cognition | Comprennent-ils pourquoi la double authentification existe ? |
| Communication | Un incident est-il raconté pour que tout le monde en tire une leçon, ou passé sous silence ? |
| Conformité | Les règles écrites sont-elles connues et appliquées ? |
| Normes | Que fait-on « normalement » ici, par exemple prêter son mot de passe à un collègue ? |
| Responsabilités | Chacun se sent-il responsable de sa part, ou la sécurité est-elle « le travail de l’informatique » ? |
Dans une PME, les normes informelles pèsent plus lourd que la charte informatique. Quand le dirigeant désactive la double authentification parce qu’elle le ralentit, tout le monde le sait le lendemain.
Mesurer le risque humain
Tant qu’il n’est pas mesuré, le risque humain reste invisible dans les arbitrages budgétaires. Les indicateurs les plus fiables observent des comportements réels, face à de faux emails envoyés sans prévenir.
Les indicateurs à suivre
| Indicateur | Ce qu’il mesure | Où le trouver |
|---|---|---|
| Taux de clic | Part des destinataires qui cliquent sur le lien d’une simulation | Campagnes de simulation |
| Taux de saisie d’identifiants | Part des destinataires qui tapent leur mot de passe sur la fausse page | Campagnes de simulation |
| Taux de signalement | Part des destinataires qui signalent l’email suspect | Bouton Signaler de Microsoft 365 ou transfert à l’adresse prévue |
| Récidivistes | Personnes qui cliquent sur plusieurs simulations | Historique par personne |
| Personnes jamais testées | Salariés restés hors de toute campagne | Liste des utilisateurs |
| Formations en retard | Modules assignés après un échec et non terminés | Suivi des formations |
| Délai de signalement | Temps entre la réception et le premier signalement | Horodatage des signalements |
Lisez ces indicateurs ensemble. Un taux de clic bas accompagné d’un taux de signalement nul peut simplement signifier que personne ne lit les emails. L’entonnoir ouverture, clic, saisie montre où le réflexe se forme : un salarié qui clique puis s’arrête avant de taper son mot de passe a déjà progressé.
Un score composite, à construire vous-même
Pour suivre une tendance, agrégez ces indicateurs en un score. Il n’existe pas de pondération officielle. Voici un exemple, à adapter à votre contexte :
- taux de clic et de saisie d’identifiants : 40 % du score ;
- taux de signalement : 25 % ;
- formations terminées dans les délais : 15 % ;
- délai de signalement : 10 % ;
- respect des règles de mots de passe et de double authentification : 10 %.
Notez chaque indicateur de 0 à 100 par rapport à votre propre point de départ, puis suivez l’évolution par département et par équipe de manager. Comparez un service à lui-même d’un trimestre à l’autre. Les classements de personnes nommées abîment la culture que vous cherchez à construire.
Dans nophi.sh, le score de posture de l’entreprise et le score de risque par personne sont calculés à partir des campagnes, avec la comparaison entre départements et entre équipes de managers, la liste des récidivistes, celle des personnes jamais testées et celle des formations en retard. Les données s’exportent en CSV et dans un rapport d’audit PDF. La plateforme ne propose pas de comparaison sectorielle.
Traduire le risque humain en euros
Un score parle au responsable sécurité ; la direction veut un montant. La conversion la plus simple est la perte annuelle attendue : la probabilité d’un incident coûteux sur 12 mois multipliée par son coût. Comme le phishing est le vecteur de 55 % des attaques significatives en France (baromètre CESIN 2026), vous pouvez ensuite isoler la part de cette perte qui dépend du comportement des salariés face aux emails.
Le calcul complet, avec un exemple chiffré pour une PME de 50 salariés, un tableau de sensibilité et le seuil de rentabilité d’un programme, figure dans ROI de la sensibilisation cybersécurité : convaincre la direction. Pour estimer le coût d’un incident poste par poste, voir combien coûte une cyberattaque pour une PME de 50 personnes. Les chiffres publics à citer, avec leur source, sont réunis dans nos statistiques du phishing en France.
Réduire le risque humain : quatre chantiers
Aucun de ces chantiers ne suffit seul. Ils agissent à des niveaux différents et se renforcent les uns les autres.
L’entraînement par la simulation
Une simulation de phishing envoie de faux emails réalistes et mesure qui clique, qui saisit ses identifiants et qui signale. Sa valeur pédagogique tient au moment qui suit le clic : la personne découvre aussitôt ce qu’elle a manqué, sur l’email précis qu’elle vient de recevoir. Répétée, cette expérience installe un réflexe qu’un support de cours ne produit pas. KnowBe4 mesure chez ses clients un taux de clic moyen qui passe de 33,1 % à 4,1 % après 12 mois de simulations et de formation (Phishing by Industry Benchmarking Report 2025).
Variez les scénarios (faux partage Microsoft 365, fausse facture fournisseur, faux message des RH, faux transporteur) et montez la difficulté au rythme des équipes. Notre page simulation de phishing décrit les scénarios disponibles et le déroulé d’une campagne.
La formation courte et régulière
Une formation annuelle produit un pic d’attention, puis l’oubli reprend le dessus. Des modules courts, assignés juste après un échec et répétés dans l’année, entretiennent les réflexes. Le format est détaillé dans le micro-learning en cybersécurité, et l’organisation d’un programme complet dans notre guide pour former ses salariés à la cybersécurité.
Dans nophi.sh, la formation est assignée automatiquement après un test échoué, avec des relances avant l’échéance, puis une escalade vers le manager.
La culture : signaler sans craindre la sanction
Le signalement est le comportement à encourager en priorité. Il suppose qu’on puisse avouer une erreur sans risquer de sanction : une organisation qui punit les échecs aux simulations apprend surtout à ses salariés à se taire.
- Incluez la direction dans les campagnes, sans exemption.
- Valorisez les signalements par service, sans nommer personne.
- Partagez des résultats agrégés, sur un ton pédagogique.
- Au-delà de 50 personnes, appuyez-vous sur un relais volontaire par service.
Si vos premières campagnes donnent des résultats décourageants, notre guide mes employés cliquent sur tout traite précisément cette situation.
Les garde-fous techniques et les procédures
Les garde-fous limitent les conséquences quand l’erreur arrive, et elle finira par arriver.
- La double authentification rend un mot de passe volé insuffisant : voir déployer la MFA en entreprise.
- SPF, DKIM et DMARC empêchent d’usurper votre domaine : voir configurer SPF, DKIM et DMARC.
- Le filtrage des emails arrête une partie des envois avant la boîte de réception.
- Pour tout ce qui touche à l’argent, une vérification hors email s’impose : contre-appel sur un numéro connu avant tout changement de RIB, double validation des virements. Notre modèle de procédure anti-fraude au virement donne un cadre prêt à adapter.
Un plan sur 12 mois pour une PME
Pour une PME de 50 à 200 salariés qui part de zéro, le programme se déroule en trois temps.
Les trois premiers mois : mesurer
- Envoyer une première simulation à tout le monde, sans prévenir, avec un scénario de difficulté moyenne.
- Relever le point de départ par département : taux de clic, de saisie d’identifiants et de signalement.
- Mettre en place le signalement (bouton Signaler de Microsoft 365 ou transfert à une adresse dédiée) et l’annoncer à tous.
- Présenter les résultats agrégés à la direction avec le plan de l’année.
Du quatrième au sixième mois : réduire
- Lancer des campagnes mensuelles aux scénarios variés, avec une formation courte assignée après chaque échec.
- Faire un premier bilan : évolution des indicateurs, départements qui décrochent, formations en retard.
Du septième au douzième mois : ancrer
- Passer à des scénarios plus difficiles, ciblés par métier (comptabilité, RH, direction).
- Organiser un challenge entre services sur le taux de signalement.
- Préparer le bilan annuel pour la direction, pour l’assureur et, si vous êtes concerné, pour vos obligations NIS2.
Le détail mois par mois se trouve dans notre plan de sensibilisation sur 12 mois.
NIS2 et assurance : ce que vous devrez montrer
Pour les entités couvertes par NIS2, l’article 21 cite parmi les mesures obligatoires « les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité » (point g) et « la sécurité des ressources humaines, des politiques de contrôle d’accès et la gestion des actifs » (point i). L’article 20 impose aux membres de la direction de suivre une formation (texte repris par l’ANSSI). Le périmètre dépend du secteur et de la taille de l’entreprise : vérifiez le vôtre dans notre guide NIS2 pour les PME.
Côté assurance, le questionnaire de souscription peut demander si vous formez vos salariés et testez leurs réflexes. Des indicateurs suivis dans le temps, datés et exportables, y répondent mieux qu’une feuille d’émargement. Nous détaillons ce point dans la preuve de formation face à l’assureur.
Dans les deux cas, le point de départ est le même : une première campagne envoyée à tous, sans prévenir, pour connaître votre taux de clic réel. Notre programme de sensibilisation réunit la simulation, la formation assignée après un clic et le signalement des emails suspects.