Culture sécurité

Qu’est-ce que la culture sécurité

La culture sécurité est ce que les collaborateurs font quand personne ne les regarde.

Ce n’est pas une charte signée une fois par an. Ce n’est pas un e-learning coché en décembre pour “être en conformité.” C’est la réponse automatique d’un comptable qui reçoit une demande de virement par email : est-ce qu’il exécute, ou est-ce qu’il vérifie par téléphone ? C’est le réflexe d’un commercial qui reçoit un lien suspect : est-ce qu’il clique, ou est-ce qu’il le signale ?

Sensibilisation vs culture sécurité

La confusion entre les deux est fréquente — et coûteuse.

La sensibilisation est un transfert de connaissances. Former les gens au phishing pour qu’ils sachent ce que c’est. C’est nécessaire, mais c’est une condition préalable, pas un objectif final.

La culture sécurité est un changement de comportement. Faire en sorte que les gens agissent différemment au quotidien. La différence est la même qu’entre savoir qu’il faut faire du sport et effectivement en faire trois fois par semaine.

Le SANS Security Awareness Report 2024 montre que les organisations qui se limitent à la sensibilisation (e-learning annuel, affiches) réduisent leur taux de clic de 10 à 20 %. Celles qui construisent une culture sécurité (simulations régulières, renforcement positif, implication de la direction) atteignent des réductions de 50 à 75 %.

Pourquoi la culture dépasse la technologie

Une entreprise peut déployer les meilleures solutions techniques — EDR, SIEM, MFA, filtrage email, DMARC — et se faire compromettre par un employé qui transmet ses identifiants à un faux support technique au téléphone.

Les contrôles techniques sont des filets de sécurité. Ils réduisent l’impact des erreurs humaines. Mais ils ne les éliminent pas. Le Verizon DBIR 2024 rappelle que 68 % des compromissions impliquent un élément humain — un chiffre qui n’a pas significativement baissé malgré l’augmentation des investissements en outils de sécurité.

La culture sécurité est ce qui comble l’écart entre les protections techniques et le comportement réel des utilisateurs.

Les dimensions de la culture sécurité

Le modèle académique CLTRe (Security Culture Framework), utilisé dans la recherche et l’industrie, identifie sept dimensions mesurables de la culture sécurité. Chacune révèle un aspect différent de la maturité d’une organisation.

1. Attitudes

Ce que les collaborateurs pensent de la cybersécurité. Considèrent-ils la sécurité comme une contrainte imposée par l’IT, ou comme une responsabilité partagée ?

Dans une PME : quand l’équipe commerciale perçoit la politique de mots de passe comme un frein à sa productivité et non comme une protection de ses propres données clients, c’est un signal d’attitude à travailler.

2. Comportements

Ce que les collaborateurs font concrètement. Verrouillent-ils leur poste en s’absentant ? Signalent-ils les emails suspects ? Utilisent-ils des mots de passe uniques ?

Mesure directe : les simulations de phishing mesurent les comportements, pas les connaissances. Un taux de clic qui reste élevé malgré des scores de quiz parfaits indique un décalage entre savoir et agir.

3. Cognition

Le niveau de compréhension des risques et des menaces. Les collaborateurs comprennent-ils pourquoi le MFA est nécessaire, ou se contentent-ils de l’utiliser parce que c’est obligatoire ?

Dans une PME : un directeur commercial qui comprend que la fraude au BEC cible spécifiquement les personnes ayant accès aux virements est mieux protégé qu’un directeur commercial qui a juste “fait la formation.”

4. Communication

Comment l’information de sécurité circule dans l’organisation. Les incidents sont-ils partagés ouvertement pour que tout le monde apprenne ? Ou cachés par peur de la sanction ?

Indicateur : le nombre de signalements spontanés d’emails suspects. Une équipe qui signale beaucoup communique bien. Une équipe silencieuse cache soit une absence de menaces (peu probable), soit une absence de culture du signalement.

5. Conformité

La connaissance et le respect des politiques de sécurité. Les collaborateurs savent-ils quelles règles existent et les appliquent-ils ?

Attention : une conformité élevée sans compréhension est fragile. Des règles suivies mécaniquement (“je change mon mot de passe tous les 90 jours en ajoutant +1 au chiffre”) ne réduisent pas le risque humain.

6. Normes

Ce qui est socialement acceptable dans l’organisation. Si tout le monde partage ses mots de passe “pour dépanner”, le nouvel arrivant fera pareil — quelle que soit la politique officielle.

Dans une PME : les normes informelles sont plus puissantes que les politiques écrites. Quand le PDG partage son mot de passe Wi-Fi dans le Slack général, c’est la norme qui se crée.

7. Responsabilités

La clarté sur qui est responsable de quoi en matière de sécurité. Si tout le monde pense que “la sécurité, c’est le boulot de l’IT”, personne ne fait attention.

La bonne réponse : l’IT gère les outils et les politiques. Chaque collaborateur est responsable de son propre comportement. La direction est responsable de donner les moyens et l’exemple.

Mesurer la culture sécurité

Métriques comportementales

Les indicateurs les plus fiables sont ceux qui mesurent ce que les gens font, pas ce qu’ils disent :

Taux de clic sur les simulations de phishing : l’indicateur le plus direct. Le Phishing by Industry Benchmarking Report 2024 de KnowBe4 donne des moyennes par secteur et par taille d’entreprise. Votre taux de départ sert de référence ; c’est l’évolution qui compte.

Taux de signalement : le pourcentage de collaborateurs qui reportent l’email suspect (via un bouton de signalement ou un transfert à l’IT). Un taux de signalement supérieur à 30 % indique une culture de signalement active. En dessous de 5 %, les emails passent inaperçus — que les gens cliquent ou non.

Ratio signalement/clic : la métrique la plus parlante. Pour chaque personne qui clique, combien signalent ? Un ratio supérieur à 3:1 (trois signalements pour chaque clic) indique une culture sécurité mature.

Évolution dans le temps : une photographie ne suffit pas. C’est la tendance sur 6 à 12 mois qui révèle si la culture évolue. Les organisations qui simulent mensuellement voient des améliorations régulières ; celles qui simulent une fois par an stagnent.

Enquêtes de perception

Les métriques comportementales disent quoi. Les enquêtes de perception disent pourquoi.

Un questionnaire anonyme couvrant les sept dimensions du modèle CLTRe donne une cartographie complète :

• “Je me sens à l’aise pour signaler un email suspect à l’IT” (communication, normes)
• “Je comprends pourquoi nous utilisons le MFA” (cognition)
• “La sécurité informatique est la responsabilité de chaque employé, pas seulement de l’IT” (responsabilités, attitudes)
• “Quand je fais une erreur de sécurité, je peux le signaler sans crainte de sanction” (normes, communication)

Les réponses révèlent les points de blocage invisibles dans les métriques comportementales.

Benchmark sectoriel

Se comparer aux organisations de taille et de secteur similaires permet de contextualiser ses résultats. Un taux de clic de 15 % est excellent dans un secteur où la moyenne est à 30 %, mais médiocre dans un secteur où elle est à 8 %.

Le rapport de Gartner sur la sensibilisation à la sécurité recommande de mesurer la culture sécurité au minimum une fois par an via une combinaison de simulations et d’enquêtes, avec un suivi trimestriel des indicateurs comportementaux.

Construire une culture sécurité

L’exemple de la direction

La culture sécurité se construit de haut en bas. Si la direction ne participe pas aux formations, ne suit pas les politiques de sécurité et ne parle jamais de cybersécurité, aucun programme ne fonctionnera.

Les actions concrètes :

• Le PDG participe à la première simulation de phishing et partage son résultat (même s’il a cliqué — surtout s’il a cliqué)
• La direction communique après chaque campagne : résultats agrégés, progrès, prochaines étapes
• Le budget sécurité est présenté comme un investissement, pas comme un coût IT

Le rapport ANSSI sur la menace cyber 2024 insiste sur le rôle de la gouvernance dans la posture de sécurité des organisations françaises.

Simulations régulières

Les simulations de phishing sont le moteur de la culture sécurité. Pas parce qu’elles “testent” les gens, mais parce qu’elles créent de la pratique.

Un musicien ne se prépare pas pour un concert en lisant un livre sur la musique. Il répète. La cybersécurité fonctionne de la même manière : c’est la pratique régulière qui crée les réflexes.

Fréquence recommandée :

• Simulations de phishing : au minimum une par mois, avec des scénarios variés (Microsoft 365, fournisseur, RH, livraison, banque)
• Micro-formations : un module de 3 à 5 minutes déclenché immédiatement après un clic sur une simulation
• Mises à jour contextuelles : une communication trimestrielle sur les nouvelles menaces observées dans le secteur

Renforcement positif

C’est le levier le plus sous-utilisé et le plus efficace.

La punition (convocation, formation obligatoire supplémentaire, affichage des résultats individuels) crée un climat de peur. Les collaborateurs cessent de signaler pour ne pas attirer l’attention. Le résultat paradoxal : la sécurité diminue.

Le renforcement positif fonctionne à l’inverse :

• Récompenser les signalements : un classement par service du nombre de signalements (pas des clics). Le service qui signale le plus est mis en avant
• Féliciter publiquement (de manière agrégée) : “Ce mois-ci, 67 % d’entre vous ont signalé l’email de test. C’est 12 points de plus qu’en janvier.”
• Dédramatiser l’erreur : “Vous avez cliqué ? Pas de problème. 15 % de vos collègues aussi. Voici comment reconnaître ce type d’email la prochaine fois.”

Les recherches de Forrester sur le comportement de sécurité confirment que les programmes basés sur le renforcement positif produisent des changements de comportement 2 à 3 fois plus durables que les programmes punitifs.

Programme de champions sécurité

Dans une organisation de 50 à 200 personnes, identifier un “champion sécurité” par service (5 à 10 volontaires) crée un réseau de relais :

• Rôle : point de contact local pour les questions de sécurité, relais des communications, remontée des problèmes terrain
• Formation : une session trimestrielle approfondie (1 à 2 heures) sur les menaces actuelles et les bonnes réponses
• Reconnaissance : le rôle est valorisé (mentionné dans les objectifs annuels, visibilité auprès de la direction)

Les champions sécurité résolvent un problème structurel : l’IT ne peut pas être présente dans chaque service au quotidien. Les champions font le lien entre la politique de sécurité et la réalité du terrain.

Communication régulière

La sécurité ne doit pas être un sujet qui apparaît uniquement quand il y a un problème.

Format recommandé :

• Mensuel : résultats agrégés de la dernière simulation, une menace à connaître, un bon réflexe à retenir
• Trimestriel : bilan complet avec évolution des indicateurs, retour sur les incidents (internes ou sectoriels), objectifs pour le trimestre suivant
• Ponctuel : alerte quand une nouvelle campagne de phishing circule dans le secteur ou qu’un incident touche un concurrent

Culture sécurité et PME

L’avantage de la taille

Les PME de 50 à 200 collaborateurs ont un avantage structurel pour construire une culture sécurité : la proximité.

Dans un grand groupe, le PDG ne connaît pas tous les employés. Les messages de sécurité passent par des couches de management. La communication est formelle et impersonnelle.

Dans une PME, le dirigeant qui parle de cybersécurité lors d’une réunion d’équipe a un impact direct. Les normes informelles se diffusent vite. Un champion sécurité par service suffit à couvrir l’organisation. Les processus de vérification (double validation des virements, par exemple) s’implémentent en une semaine, pas en six mois.

Programme concret pour une PME

Voici un programme réaliste pour une entreprise de 50 à 200 personnes, avec un budget limité :

Mois 1-2 : Mesurer

• Lancer une première simulation de phishing pour établir le taux de clic initial
• Envoyer un questionnaire de perception anonyme (10 questions, 5 minutes)
• Identifier les services les plus exposés

Mois 3-6 : Construire

• Simulations mensuelles avec des scénarios progressifs
• Micro-formations déclenchées après chaque clic
• Communication mensuelle des résultats agrégés à toute l’entreprise
• Recrutement de champions sécurité (1 par service)
• Mise en place d’un bouton de signalement email

Mois 7-12 : Ancrer

• Augmenter la difficulté des simulations (scénarios de spear phishing, scénarios multicanaux)
• Lancer un challenge inter-services sur le taux de signalement
• Deuxième enquête de perception pour mesurer l’évolution
• Présenter les résultats au comité de direction avec le ROI

Au-delà : Maintenir

• Le programme ne s’arrête jamais. La culture sécurité est comme la forme physique : elle régresse dès qu’on arrête de la travailler. Les simulations mensuelles deviennent la norme. Les résultats sont intégrés aux indicateurs de performance de l’entreprise.

Considérations budgétaires

Un programme de sensibilisation par simulation de phishing coûte entre 2 et 8 euros par collaborateur par mois, selon la solution et le niveau de personnalisation. Pour une entreprise de 100 personnes, le budget annuel se situe entre 2 400 et 9 600 euros.

À comparer avec le coût d’un incident : le baromètre de la cybersécurité des entreprises du CESIN chiffre le coût médian d’une cyberattaque réussie à 50 000 euros pour une PME française, hors impact réputationnel. Pour les cas les plus graves (ransomware, BEC avec virement effectué), le coût dépasse régulièrement les 200 000 euros.

Le retour sur investissement d’un programme de culture sécurité ne se calcule pas uniquement en incidents évités. Il se mesure aussi en réduction de la prime d’assurance cyber, en conformité avec les exigences NIS2, et en confiance des clients et partenaires.

La culture sécurité se construit une simulation à la fois. Lancez votre première campagne de phishing simulé et mesurez votre point de départ.