Risque humain en cybersécurité : mesurer et réduire

Le risque humain en cybersécurité est le premier facteur de compromission des entreprises. En 2024, le Verizon Data Breach Investigations Report a analysé plus de 30 000 incidents de sécurité et 10 626 violations confirmées. Sa conclusion est sans ambiguïté : 68 % des violations impliquent un élément humain (Verizon DBIR 2024). Ce chiffre ne signifie pas que les employés sont stupides ou négligents. Il signifie que les attaquants ont compris depuis longtemps que contourner un pare-feu est plus difficile que convaincre un comptable de cliquer sur une facture PDF.

Le vrai problème pour les responsables sécurité et les directions informatiques de PME, c’est que ce risque est rarement mesuré. On sait qu’il existe. On sait qu’il est élevé. Mais sans données chiffrées, sans score, sans modèle financier, il reste invisible dans les arbitrages budgétaires. Et ce qui n’est pas mesuré n’est pas géré.

Ce guide propose un framework complet pour passer du constat vague — « nos employés sont le maillon faible » — à une gestion quantifiée du risque humain : comment le mesurer avec un Human Risk Score structuré, comment le convertir en exposition financière en euros, et comment le réduire avec les quatre axes d’action qui ont fait leurs preuves. Pour chaque direction, responsable informatique ou responsable sécurité qui doit présenter un plan d’action à sa hiérarchie.

Redéfinir le risque humain : au-delà du « maillon faible »

L’expression « maillon faible » a fait beaucoup de mal à la cybersécurité. Elle concentre l’attention sur l’employé individuel comme problème à corriger, et détourne des solutions réellement efficaces. La réalité documentée est plus nuancée et plus utile.

Ce que le Verizon DBIR 2024 dit vraiment

Le chiffre de 68 % couvre trois catégories bien distinctes :

Les erreurs humaines non malveillantes : mauvaise configuration, envoi d’un fichier à la mauvaise adresse, clic sur un lien de phishing par manque de réflexe
Les abus de privilèges : utilisation non autorisée d’un accès légitime, souvent par un employé mécontent
L’ingénierie sociale : phishing, pretexting, BEC — des attaques qui exploitent la confiance et les automatismes cognitifs plutôt qu’une faille technique

Ces trois catégories appellent des réponses différentes. L’erreur non malveillante se traite par la formation et les guardrails techniques. L’abus de privilège nécessite le contrôle d’accès et la surveillance. L’ingénierie sociale requiert l’entraînement comportemental par simulation. Un programme de gestion du risque humain efficace adresse les trois.

Pour comprendre les mécanismes cognitifs exploités par l’ingénierie sociale : Psychologie du phishing : pourquoi les plus intelligents cliquent.

Pourquoi la formation annuelle ne suffit pas

Selon Gartner Security & Risk Management 2025, les programmes de sensibilisation purement théoriques ont un impact mesurable de moins de 15 % sur le taux de clic à six mois. La raison est connue : la courbe de l’oubli d’Ebbinghaus. Sans pratique répétée, 80 % du contenu d’une formation est oublié en 30 jours. Résultat : une formation annuelle par e-learning produit un pic temporaire de vigilance, puis le retour au niveau de base. Pour une analyse détaillée de ce phénomène : Pourquoi un simple e-learning ne suffit plus.

Le risque humain ne se gère pas avec des connaissances. Il se gère avec des réflexes. Et les réflexes s’acquièrent par la pratique répétée, pas par la lecture de slides.

Le Human Risk Score : un modèle de mesure structuré

Pour gérer le risque humain, il faut d’abord le mesurer. Le Human Risk Score (HRS) est un indicateur composite qui agrège plusieurs métriques comportementales en un seul score organisationnel. Il permet de suivre la progression dans le temps, de comparer les départements entre eux et de benchmarker l’organisation face aux données sectorielles.

Les cinq composantes du HRS

Métrique	Pondération	Description	Benchmark cible
Taux de clic (simulations)	40 %	% d’employés cliquant sur un phishing simulé	< 5 % après 12 mois
Taux de signalement	25 %	% d’employés signalant un email suspect	> 50 % à 12 mois
Taux de complétion formation	15 %	% de parcours de formation complétés	> 85 %
Délai de signalement	10 %	Temps médian avant signalement d’un email suspect	< 30 minutes
Conformité politique mots de passe	10 %	% de comptes respectant la politique de mots de passe	> 95 %

Pour calculer votre HRS, attribuez un score de 0 à 100 pour chaque métrique selon la distance par rapport au benchmark cible, puis appliquez les pondérations. Un score global en dessous de 40 indique un risque très élevé. Entre 40 et 65 : risque modéré, programme à renforcer. Au-dessus de 65 : bon niveau, à maintenir.

Pourquoi le taux de clic est pondéré à 40 %

Le taux de clic sur les simulations de phishing est la métrique la plus directement corrélée au risque réel. Les données de KnowBe4 (Phishing by Industry Benchmarking Report 2024) montrent que les organisations avec un taux de clic supérieur à 20 % subissent en moyenne deux fois plus d’incidents de phishing réussis que celles sous les 5 %. C’est la métrique la plus prédictive du risque opérationnel.

Pour comprendre ce que les benchmarks sectoriels disent sur les taux de clic de référence : Taux de clic phishing : benchmarks par secteur.

Le taux de signalement : l’indicateur de maturité

Le taux de signalement est moins intuitif que le taux de clic, mais c’est l’indicateur le plus révélateur de la culture de sécurité d’une organisation. Un employé qui signale un email suspect au lieu de l’ignorer ou de le supprimer contribue activement à la défense collective. Le ratio signalements/clics est un standard de l’industrie : selon les benchmarks (KnowBe4, Proofpoint), un ratio supérieur à 10 pour 1 est considéré comme excellent.

Benchmarks HRS par taille d’entreprise

Taille	HRS médian observé	Cible à 12 mois	Niveau de risque sans programme
< 50 employés	28/100	65/100	Élevé
50-200 employés	32/100	68/100	Élevé
200-500 employés	38/100	72/100	Modéré-élevé
> 500 employés	42/100	75/100	Modéré

Les organisations sans programme de simulation de phishing actif se situent systématiquement en dessous de 40/100 sur le HRS, quel que soit leur secteur. Niveaux estimés à partir des taux de clic médians documentés dans KnowBe4 Industry Benchmarking 2024 et Proofpoint State of the Phish 2025, convertis en HRS par application du modèle ci-dessus.

Quantifier en euros : du score au risque financier

Un score de risque n’a de valeur que s’il peut être traduit en termes financiers. C’est la condition pour qu’il soit pris au sérieux par une direction générale ou un directeur financier.

Le modèle FAIR simplifié

Le modèle FAIR (Factor Analysis of Information Risk) est le standard de référence pour la quantification du risque cyber. Sa version complète est complexe. Voici une version simplifiée applicable à une PME en 20 minutes.

Perte attendue annuelle (PAA) = Fréquence d’occurrence annuelle × Impact financier moyen

Où :

Fréquence d’occurrence = Probabilité qu’un incident de phishing réussi survienne dans l’année
Impact financier moyen = Coût total moyen d’un incident pour votre taille d’entreprise

Données d’entrée sourcées

Probabilité d’incident : Selon le Hiscox Cyber Readiness Report 2025, les taux d’incidents par taille d’entreprise et niveau de maturité sécurité sont :

Taille	Sans programme sensibilisation	Avec programme structuré
< 50 employés	22 % / an	6 % / an
50-200 employés	32 % / an	9 % / an
200-500 employés	41 % / an	12 % / an

Impact financier moyen : Hiscox Cyber Readiness Report 2025 — coût médian d’un incident par taille :

Taille	Coût médian d’un incident	Fourchette
< 50 employés	35 000 €	10 000 € – 150 000 €
50-200 employés	140 000 €	30 000 € – 600 000 €
200-500 employés	380 000 €	100 000 € – 1 500 000 €

Facteur risque humain : 0,68 (Verizon DBIR 2024 — 68 % des violations impliquent un élément humain)

Exemple de calcul : PME de 80 employés

Situation initiale (sans programme) :

Probabilité d’incident : 32 %
Impact moyen : 140 000 €
Perte attendue annuelle = 32 % × 140 000 € = 44 800 €/an
Part attribuable au risque humain = 44 800 € × 0,68 = 30 464 €/an

C’est l’exposition financière annuelle liée au risque humain pour cette entreprise. C’est aussi le montant maximal qu’il est rationnel de dépenser pour le réduire.

Après 12 mois de programme (réduction du taux de clic de 33 % à 5 %, données KnowBe4 2024) :

Probabilité d’incident ramenée à 9 % (Hiscox 2025)
Impact moyen inchangé : 140 000 €
Perte attendue annuelle = 9 % × 140 000 € = 12 600 €/an
Part attribuable au risque humain = 12 600 € × 0,68 = 8 568 €/an

Réduction du risque humain : 30 464 € → 8 568 €, soit 21 896 € de risque évité par an.

Pour un programme de 80 employés coûtant environ 1 500 à 2 000 €/an (coût indicatif d’une plateforme de sensibilisation SaaS pour cette taille), le ROI est significatif. Pour aller plus loin sur la construction du business case : ROI de la sensibilisation : convaincre votre direction.

Les quatre axes de réduction du risque humain

La réduction du risque humain repose sur quatre axes complémentaires. Chacun agit à un niveau différent : comportemental, cognitif, organisationnel et technique. Aucun ne suffit seul. Combinés, ils produisent une réduction durable.

Levier 1 : La simulation comportementale

Contribution estimée à la réduction du risque : ~50-60 % (synthèse des données KnowBe4/Proofpoint)

La simulation de phishing est l’axe qui produit le changement de comportement le plus direct et le plus mesurable. Contrairement à la formation théorique, elle entraîne des réflexes concrets dans des conditions proches du réel.

Selon KnowBe4 (Phishing by Industry Benchmarking Report 2024), les organisations qui maintiennent un programme de simulation régulier sur 12 mois voient leur taux de clic passer de ~33 % à moins de 5 % — une réduction de près de 85 %. Ce résultat est cohérent avec les données Proofpoint State of the Phish 2025, qui documentent une réduction de 76 % du taux de vulnérabilité après 12 mois de simulation mensuelle.

Le guide complet de la simulation de phishing : Simulation de phishing en entreprise : guide pratique 2026.

Mécanisme : L’échec à une simulation crée un « moment d’enseignement » (teachable moment) — une fenêtre de 5 minutes post-clic où l’attention est maximale et l’apprentissage durable. La remédiation immédiate ciblée sur l’erreur précise ancre un réflexe que la formation théorique ne peut pas produire.

Levier 2 : La formation des connaissances

Contribution estimée à la réduction du risque : ~20-25 % (estimation Gartner Security & Risk Management 2025)

La formation traite la cause cognitive du risque humain : le manque de connaissance des menaces, des tactiques d’attaque et des bonnes pratiques. Elle est nécessaire, mais insuffisante seule. Sa contribution propre, dissociée de la simulation, est estimée à 20-25 % par les données Gartner 2025.

L’efficacité de la formation dépend de trois facteurs :

Fréquence : le micro-learning bimensuel (capsules de 3-5 minutes) est 4 fois plus efficace qu’une formation annuelle longue (Gartner Security & Risk Management 2025)
Contextualisation : les modules adaptés au secteur et aux outils utilisés par l’entreprise obtiennent des taux de rétention 35 % supérieurs aux modules génériques (Proofpoint 2025)
Remédiation ciblée : former un employé sur l’attaque précise qu’il vient de rater est plus efficace que n’importe quelle formation générique

Pour un guide complet sur la construction d’un programme de formation : Formation cybersécurité pour employés : guide PME.

Levier 3 : La culture organisationnelle

Contribution estimée à la réduction du risque : ~15-20 % (estimation éditoriale, synthèse des données SANS/KnowBe4)

La culture de sécurité est l’ensemble des normes comportementales implicites d’une organisation : est-ce que les employés se sentent libres de signaler une erreur sans craindre une sanction ? Est-ce que la direction participe aux simulations ? Est-ce que la sécurité est perçue comme un frein ou comme une protection ?

Les organisations qui atteignent un taux de signalement supérieur à 50 % partagent toutes un facteur commun : l’absence de sanctions sur les échecs aux simulations. Gartner 2025 documente que les organisations qui utilisent les résultats de simulation à des fins disciplinaires voient leur taux de signalement chuter de 75 %.

Actions concrètes pour développer la culture :

Inclure la direction dans toutes les campagnes de simulation (pas d’exemption pour les postes hiérarchiques)
Valoriser le signalement publiquement (tableau de bord des signalements par département, sans nommer les individus)
Dédramatiser les erreurs : communiquer les résultats agrégés avec un ton pédagogique, pas accusateur
Faire de la cybersécurité un sujet de la vie d’entreprise, pas uniquement un sujet IT

Levier 4 : Les guardrails techniques

Contribution estimée à la réduction du risque : ~10-15 % (estimation éditoriale)

Les garde-fous techniques ne changent pas les comportements, mais ils réduisent les conséquences d’un comportement à risque. Ils forment un filet de sécurité qui réduit l’impact quand les trois premiers leviers n’ont pas suffi.

Guardrail	Risque adressé	Efficacité documentée
Authentification multi-facteurs (MFA)	Compromission d’identifiants après phishing	Bloque 99,9 % des attaques par credential stuffing (Microsoft 2023)
Filtrage email avancé (anti-phishing IA)	Phishing non détecté par l’utilisateur	Réduit significativement les emails malveillants atteignant la boîte de réception
Segmentation réseau	Propagation latérale après compromission	Limite le rayon d’explosion d’une compromission initiale
Gestion des accès privilégiés (PAM)	Abus de privilèges	Limite substantiellement l’impact des incidents d’initiés
Sauvegarde et plan de continuité	Impact d’un ransomware	Réduit le coût de remédiation de 40-60 % (IBM CODB 2025)

La combinaison des quatre axes produit une réduction composite du risque humain de l’ordre de 75-85 %, conforme aux données KnowBe4 et Proofpoint sur 12 mois.

Feuille de route pratique : 90 jours / 6 mois / 12 mois

Voici une feuille de route concrète pour une PME de 50 à 200 employés qui part de zéro en gestion du risque humain.

Phase 1 — 0 à 90 jours : mesurer et établir la baseline

Semaine 1-2 : Calculer l’exposition financière

Appliquer la formule PAA pour établir le risque financier annuel lié au facteur humain
Identifier les données manquantes (taux de clic inconnu = risque non mesuré)
Présenter le calcul à la direction pour valider le budget du programme

Semaine 3-4 : Lancer la première campagne de simulation

Choisir un scénario de difficulté facile à moyenne (notification de colis, alerte mot de passe)
Envoyer à l’ensemble de l’organisation
Mesurer le taux de clic baseline : c’est votre point de référence pour tous les progrès futurs

Mois 2-3 : Établir le Human Risk Score initial

Compléter les cinq composantes du HRS (taux de clic, signalement, formation, délai, mots de passe)
Identifier les départements et profils à risque prioritaires
Présenter le HRS à la direction avec le plan de réduction sur 12 mois

Livrable fin J90 : Score HRS initial documenté, exposition financière calculée, première campagne de simulation réalisée, plan d’action validé.

Phase 2 — 3 à 6 mois : réduire et mesurer la progression

Mois 3-4 :

Déployer le programme de formation en micro-learning (2 capsules par mois, 3-5 minutes chacune)
Lancer les campagnes de simulation mensuelles avec montée en difficulté progressive
Mettre en place le bouton de signalement intégré à la messagerie

Mois 5-6 :

Première évaluation intermédiaire du HRS
Objectif : réduction de 30-40 % du taux de clic par rapport au baseline
Rapport trimestriel à la direction : HRS, taux de clic, taux de signalement, ROI intermédiaire
Ajuster les scénarios pour cibler les départements les plus vulnérables identifiés

Livrable fin M6 : Rapport semestriel avec évolution du HRS, des métriques comportementales et du risque financier estimé. Preuves documentées pour la conformité NIS2.

Phase 3 — 6 à 12 mois : ancrer les réflexes et piloter par les données

Mois 7-9 :

Passer à deux simulations par mois avec variation des vecteurs (email, SMS si applicable)
Introduire des scénarios de spear phishing ciblés par département
Renforcer la culture : partager les progrès collectifs avec les équipes, valoriser les signalements

Mois 10-12 :

Atteindre la cible : taux de clic < 5 %, taux de signalement > 40 %
Calculer le HRS cible (objectif : > 65/100)
Préparer le rapport annuel de gestion du risque humain pour la direction
Documenter le programme pour l’assurance cyber et la conformité NIS2

Livrable fin M12 : Rapport annuel complet avec HRS initial vs final, réduction de l’exposition financière calculée, documentation de conformité NIS2, preuves pour l’assureur cyber.

Le risque humain dans la conformité NIS2 et l’assurance cyber

La gestion documentée du risque humain n’est plus seulement une bonne pratique. C’est une exigence réglementaire et un prérequis assurantiel croissant.

NIS2 : les articles qui concernent le risque humain

La directive NIS2 (transposée en France, applicable depuis octobre 2024) impose des mesures de gestion des risques cyber dans son article 21. Les dispositions directement liées au risque humain :

Article 21.2.f : « Sécurité des ressources humaines, politiques de contrôle d’accès et gestion des actifs »
Article 21.2.g : « Utilisation de solutions d’authentification à plusieurs facteurs ou d’authentification continue, de communications vocales, vidéo et textuelles sécurisées et de systèmes de communication d’urgence sécurisés au sein de l’entité, selon les besoins »

L’ANSSI précise dans ses guides disponibles sur cyber.gouv.fr que la formation et les tests réguliers font partie des « mesures organisationnelles » attendues au titre de l’article 21. Sans données de simulation et de formation, une organisation ne peut pas démontrer qu’elle gère le risque humain de manière active.

Les sanctions pour non-conformité NIS2 : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités importantes. La responsabilité personnelle des dirigeants est explicitement prévue.

Assurance cyber : la preuve de gestion du risque humain

Les assureurs cyber durcissent systématiquement leurs critères depuis 2023. La simulation de phishing et la formation régulière sont passées du statut de « bonne pratique recommandée » à celui de prérequis de souscription pour de nombreux contrats. Selon l’AMRAE, les assureurs demandent désormais des preuves documentées incluant les taux de clic sur simulations, les taux de complétion de formation et les politiques de gestion des accès.

Pour les détails sur les exigences des assureurs : Assurance cyber : la preuve de formation comme atout de couverture.

Un HRS documenté et en progression sur 12 mois est exactement le type de preuve qu’un assureur cherche. Il démontre une gestion active du risque, pas une posture statique.

Connaissez-vous le niveau de risque de vos équipes ?

Avant de calculer votre exposition financière, vous avez besoin d’une baseline : le taux de clic réel de votre organisation face à un phishing simulé. Sans cette mesure, votre risque humain n’est ni connu ni géré.

Tester la résistance de vos équipes au phishing — première simulation en 15 minutes, résultats exploitables immédiatement pour votre calcul d’exposition.

Conclusion

Le risque humain en cybersécurité est mesurable, quantifiable en euros et réductible. Les données de Verizon DBIR 2024 le fixent à 68 % des violations — un chiffre qui, traduit en exposition financière avec la formule FAIR, donne un montant concret à présenter à votre direction. Le Human Risk Score offre un tableau de bord composite pour suivre la progression dans le temps et comparer les départements entre eux.

La réduction de ce risque repose sur quatre axes dont la hiérarchie est claire : la simulation comportementale contribue le plus, suivie de la formation, de la culture organisationnelle et des garde-fous techniques. La feuille de route en trois phases — 90 jours pour mesurer, 6 mois pour réduire, 12 mois pour ancrer — donne une structure concrète pour passer de la théorie à l’action.

Ce qui distingue les organisations qui gèrent réellement leur risque humain de celles qui l’ignorent, ce n’est pas la taille, ni le budget, ni la sophistication technique. C’est la mesure. Vous ne pouvez pas réduire ce que vous ne mesurez pas. La première étape est toujours la même : lancer une simulation pour obtenir votre baseline.

Pour structurer un programme complet autour de ces quatre axes : Formation cybersécurité pour employés : guide PME et Guide de la simulation de phishing 2026.