Le problème ne réside pas dans les connaissances, mais dans les comportements

La formation à la sensibilisation à la sécurité pose un problème en matière d'indicateurs — non pas parce que ces indicateurs sont mauvais, mais parce qu'ils sont bons. Les taux de réussite sont en hausse. Les taux de clics sur les tentatives de Phishing simulées ont diminué. Le rapport trimestriel du conseil d'administration fait état de progrès constants.

Et pourtant, les failles de sécurité continuent de se produire. Les identifiants continuent d'être volés. Les employés continuent de cliquer sur des liens qu'ils ne devraient pas, de télécharger des données à des endroits où ils ne devraient pas, et de répondre à des demandes qu'ils auraient dû remettre en question.

Il ne s'agit pas d'un manque de sensibilisation. C'est un échec du modèle. Le problème n'a jamais été que les gens ne connaissent pas le Phishing : c'est qu'en situation de stress, alors qu'ils jonglent entre des dizaines d'applications et qu'ils doivent répondre à un e-mail qui semble provenir exactement de leur directeur financier, ils cliquent quand même. Ce n'est pas le savoir qui fait la différence. C'est de l'action.

Le paysage des menaces a évolué

Les pirates utilisent désormais l'IA pour générer en quelques secondes des e-mails de Phishing hautement personnalisés, imiter la voix de dirigeants et adapter leurs leurres en temps réel. Selon le rapport « Threat Landscape 2025 » de l'ENISA, le phishing assisté par l'IA représente plus de 80% des activités d'ingénierie sociale observées à l'échelle mondiale. Selon le rapport « Global Threat Intelligence Report 2025 » de Mimecast, 77% de toutes les cyberattaques commencent désormais par Phishing, contre 60% il y a tout juste un an.

Lorsque l'e-mail suspect est pratiquement impossible à distinguer d'un e-mail légitime — généré par l'IA, personnalisé, envoyé depuis un domaine usurpé —, la stratégie consistant à « repérer la faute de frappe » ne tient pas la route. La réponse ne peut pas consister à sensibiliser davantage. Il faut que ce soit une intervention plus judicieuse, fondée sur ce que font réellement les salariés.

Le risque humain a une forme bien précise — et il n'est pas réparti de manière uniforme

Chez Mimecast, nous classons les risques liés au facteur humain en trois catégories. Action— des erreurs commises par bonne intention sous la pression. Attaque: lorsque des employés sont délibérément pris pour cible par le biais de Phishing, d'escroqueries de type BEC ou de leurres générés par l'IA. Et l'accès: lorsqu'un accès légitime est utilisé à mauvais escient, qu'il s'agisse de télécharger des données sensibles vers un outil d'IA non autorisé, d'abuser de ses privilèges ou de s'approprier des droits de propriété intellectuelle au moment de quitter l'entreprise.

Ce que ce cadre met en évidence, c'est que le risque humain n'est pas réparti de manière homogène. Nos données montrent que 8 % seulement des employés sont à l'origine de 80 % des incidents de sécurité — une tendance qui se vérifie dans toutes les entreprises, quelle que soit leur taille ou leur secteur d'activité. Un programme de formation « universel » ne se contente pas de ne pas prendre en compte ces 8 % : il les rend invisibles.

Pour les identifier, il faut relier entre eux des signaux — Phishing, alertes de malware, anomalies d'identité, violations de données sensibles — qui existent dans la plupart des infrastructures de sécurité, mais qui sont dispersés dans des outils isolés les uns des autres et ne sont jamais associés aux employés qui les ont générés.

Pourquoi les formations de sensibilisation ne suffisent pas à elles seules à combler ce fossé

La formation à la sensibilisation à la sécurité a vu le jour en tant que fonction de mise en conformité et n'a jamais dépassé ce cadre : diffusion de la formation à l'ensemble du personnel, mesure du taux d'achèvement et du taux de clics, et compte rendu au conseil d'administration. Les données parlent d'elles-mêmes : 60% des violations de données sont liées à un facteur humain (rapport DBIR 2025 de Verizon), alors que 72% des organisations mettent en place des programmes de sensibilisation sans assurer de surveillance continue des risques (rapport « State of Human Risk » 2026 de Mimecast).

Les plateformes de sensibilisation autonomes peuvent afficher les taux d'achèvement et les tendances en matière de clics sur les e-mails de Phishing. Mais ils ne peuvent pas vous dire quels sont, à l'heure actuelle, les employés qui présentent véritablement un risque élevé, quels sont les facteurs à l'origine de ce risque, ni comment intervenir avant qu'un incident ne se produise. C'est pourquoi le débat ne porte plus sur « combien d'employés ont suivi la formation », mais sur « comment notre risque lié au facteur humain évolue-t-il réellement ? »

Quels changements en matière de gestion des comportements de sécurité ?

La gestion des comportements en matière de sécurité repose sur un modèle différent, axé sur ce que les personnes font réellement plutôt que sur ce qu’on leur demande de savoir.

Visibilité. Le Mimecast Human Risk Command Center rassemble les signaux de risque provenant de l'ensemble de la pile de sécurité — comportement des e-mails, incidents réels de Phishing, événements liés à des malware, anomalies d'identité, traitement des données sensibles, résultats de simulations et de formations —, le tout normalisé au niveau de chaque collaborateur. Dix-sept intégrations réparties dans six catégories de risques comportementaux, fournissant en temps réel des informations sur les risques au niveau individuel.

Pour les organisations qui utilisent déjà la solution de sécurité des e-mails Mimecast, les informations sur les menaces déjà traitées — chaque tentative de Phishing, chaque menace bloquée, chaque clic à risque — constituent la base comportementale. Vous n'ajoutez pas un nouvel outil doté de son propre silo de données. Vous mettez en œuvre l'intelligence qui circule déjà dans votre environnement.

Intervention au moment où le risque se présente. Mimecast Engage propose des rappels comportementaux — des modules de micro-apprentissage de 20 à 40 secondes envoyés par e-mail, via Slack ou Teams — qui se déclenchent dès qu'un comportement à risque est détecté. Un cycle de rétroaction étroit entre l'action et ses conséquences, mis en œuvre dans le contexte même, et non pas prévu pour la séance de formation de mardi prochain.

Une sécurité à votre image. Des tableaux de bord personnalisés permettent à chaque collaborateur de consulter chaque mois son propre niveau de risque, l'état d'avancement de ses formations, les résultats des tests de phishing et les incidents de sécurité. Lorsque les personnes voient leurs propres risques mis en évidence, la sécurité passe d'une notion abstraite de conformité à quelque chose qui leur appartient. C'est là que se construit véritablement la culture de la sécurité.

C'est l'architecture de la plateforme qui fait véritablement la différence

Un outil de sensibilisation autonome ne permet de visualiser que les résultats des simulations et les formations menées à bien. Une plateforme de sécurité intégrée relie tous ces éléments entre eux : elle permet non seulement de savoir qu’un collaborateur a cliqué sur un lien de Phishing simulé, mais aussi qu’il a reçu un véritable e-mail de Phishing la semaine dernière, qu’il a fait l’objet d’un incident d’identité inhabituel et qu’il a manqué trois modules de formation consécutifs. Il s'agit d'un profil de risque individuel, et c'est ce qui permet de mettre en œuvre des interventions adaptatives à grande échelle.

Une méthode vous permet d'évaluer l'efficacité de votre programme d'entraînement. L'autre vous indique comment votre risque lié au facteur humain évolue — et sur qui vous devez agir avant qu'un incident ne se produise.

Par où commencer ?

Le passage à la gestion des comportements en matière de sécurité ne nécessite pas de repartir de zéro. Pour la plupart des organisations, les indicateurs et les données existent déjà. Ce qui manque, c'est la plateforme permettant de le relier.

Le rapport « Mimecast State of Human Risk 2026 » analyse en détail l'écart entre la perception qu'ont les organisations de l'état de leurs programmes de gestion des risques liés au facteur humain et la réalité. Et si vous êtes client de Mimecast et que vous souhaitez découvrir comment cela fonctionne concrètement, votre équipe de gestion de compte pourra vous expliquer en détail ce que Mimecast Engage apporte en complément de votre solution de sécurité de messagerie actuelle. L'infrastructure est probablement déjà en place. Engage le met en œuvre.