Mesurer la préparation de la main-d’œuvre : À quoi ressemble le succès de la sensibilisation à la sécurité

La formation de sensibilisation à la sécurité est un composant nécessaire de la cybersécurité. Les employés suivent des cours obligatoires, apprennent à identifier les menaces courantes et reçoivent des rappels sur les politiques et les meilleures pratiques. Bien que cette approche de base reste essentielle, les attentes concernant les programmes de sensibilisation à la sécurité évoluent.

Il ne suffit plus de savoir si les employés ont suivi la formation. Les organisations demandent si la formation modifie le comportement, réduit les incidents, renforce la cyber-résilience et aide les employés à prendre de meilleures décisions à mesure que les menaces évoluent.

Ce changement est important car le comportement des employés reste un facteur essentiel de la sécurité organisationnelle. Les employés décident de cliquer sur un lien, de signaler un message, de vérifier une demande, de partager des données, d’utiliser un outil approuvé ou de suivre un processus sécurisé. Dans le cloud, la collaboration, le travail à distance et les environnements basés sur l’IA, ces décisions se produisent constamment et souvent sous pression temporelle.

Selon le Rapport mondial de recherche 2025 sur la sensibilisation et la formation à la sécurité, 95 % des décideurs pensent qu’une plus grande sensibilisation à la sécurité contribuerait à réduire les cyberattaques. Cette conclusion reflète un changement plus large dans la façon dont les organisations perçoivent la couche humaine de la cybersécurité. La sensibilisation à la sécurité n’est plus simplement une initiative éducative. Il s’agit d’un investissement stratégique dans la réduction des risques liés à la main-d’œuvre.

La sensibilisation à la sécurité devient un investissement stratégique

Les organisations reconnaissent de plus en plus que la cybersécurité repose sur plus que la technologie et les politiques. Les contrôles techniques sont essentiels, mais ils ne sont pas suffisants seuls si les employés ne peuvent pas détecter les menaces, reconnaître les risques ou réagir de manière appropriée.

La sensibilisation à la sécurité doit donc être liée à la préparation opérationnelle. Les employés doivent savoir comment répondre lorsqu’un message semble légitime, mais se sent déçu, lorsqu’une demande implique des informations sensibles, lorsqu’un outil d’IA génère du contenu qui nécessite un examen ou lorsqu’un flux de travail crée une incertitude sur ce qui est sûr à partager.

C’est là que la sensibilisation à la sécurité gagne en valeur stratégique. Des programmes efficaces vont au-delà de l’information des employés sur les menaces. Ils aident à prendre des habitudes qui réduisent les risques quotidiens, comme la vérification des demandes, le signalement des activités suspectes, la protection des données sensibles, l’utilisation d’outils approuvés et le respect des protocoles de sécurité.

Le soutien des cadres est également fort. Le rapport a révélé que 95 % des dirigeants d’entreprise soutiennent la sensibilisation à la sécurité et la formation dans une certaine mesure ou dans une large mesure. Cela crée une opportunité pour les organisations de traiter la préparation de la main-d’œuvre comme un composant mesurable de la cyber-résilience plutôt qu’une simple obligation de conformité annuelle.

Les organisations mesurent ce qui compte

À mesure que les programmes de sensibilisation à la sécurité prennent de l’ampleur, les organisations élargissent la façon dont elles mesurent la réussite. Les taux d’achèvement restent importants, mais ils ne font qu’une partie de l’histoire. Suivre un cours ne signifie pas nécessairement qu’un employé reconnaîtra un message d’hameçonnage convaincant, signalera une activité suspecte ou évitera de partager des données sensibles via un canal non approuvé.

Le rapport 2025 montre que les organisations mesurent de plus en plus directement les résultats. Soixante-sept pour cent signalent une diminution modérée ou significative des intrusions, incidents ou violations depuis le début de la formation de sensibilisation à la sécurité. La mesure d’efficacité la plus courante est la réduction des incidents de sécurité, citée par 53 % des personnes interrogées. Parmi les autres mesures de premier plan, citons les commentaires des employés à 52 % et les audits de sécurité à 50 %.

Ces mesures fournissent des points de vue différents sur la préparation de la main-d’œuvre. Les tendances des incidents peuvent indiquer si le risque organisationnel change. Les simulations d’hameçonnage peuvent révéler comment les employés réagissent aux menaces réalistes. Les évaluations des connaissances peuvent identifier les lacunes dans la compréhension, tandis que les commentaires des employés peuvent aider à déterminer si la formation est pertinente et utile.

Les taux d’achèvement fournissent un autre signal important. Seulement 6 % des organisations déclarent avoir suivi 100 % des formations, tandis que 56 % déclarent avoir obtenu des taux d’achèvement supérieurs à 70 %. Le rapport suggère que ces lacunes pourraient aider à expliquer pourquoi 69 % des dirigeants pensent toujours que les employés manquent de sensibilisation à la cybersécurité.

Ensemble, ces résultats indiquent une approche plus complète de la mesure : Les organisations doivent comprendre non seulement si la formation a été dispensée, mais également si les employés appliquent ce qu’ils ont appris et où un soutien supplémentaire est nécessaire.

La préparation de la main-d’œuvre nécessite une amélioration continue

Le besoin de mesures devient encore plus important à mesure que le paysage des menaces change.

L’IA accélère à la fois la sophistication des attaques et la complexité des décisions quotidiennes des employés. Les organisations doivent préparer leurs employés à reconnaître l’hameçonnage, l’usurpation d’identité et l’ingénierie sociale améliorés par l’IA, tout en les aidant à utiliser les outils d’IA de manière responsable.

Le défi est que la préparation n’est pas statique. Une formation qui répond aux menaces d’aujourd’hui peut ne pas préparer complètement les employés à celles de demain. Les organisations doivent continuellement évaluer si les employés comprennent les risques actuels, si la formation reflète l’évolution des flux de travail et des technologies, et où un renforcement supplémentaire est nécessaire.

Le rapport montre que les organisations vont déjà dans cette direction. Quatre-vingt-quatorze pour cent des personnes interrogées déclarent qu’elles organisent régulièrement des sessions de sensibilisation à la sécurité et de formation, dont 46 % qui s’entraînent tous les trimestres et 32 % qui s’entraînent tous les mois.

La formation continue crée davantage d’opportunités de renforcer les comportements sécurisés, de tenir les employés informés des nouvelles menaces et politiques, et de combler les lacunes lorsqu’elles apparaissent. Des expériences d’apprentissage plus courtes, des rappels, des simulations et un renforcement ciblé peuvent aider à maintenir la sécurité pertinente sans traiter la formation comme un événement annuel.

L’objectif n’est pas simplement de fournir plus de formation. Il s’agit d’utiliser les mesures et les commentaires pour améliorer continuellement la formation que les employés reçoivent.

De la sensibilisation à la résilience de la main-d’œuvre

Les résultats de 2025 révèlent une tension importante : Les organisations constatent des résultats de la formation de sensibilisation à la sécurité, mais de nombreux dirigeants pensent toujours que les employés manquent de sensibilisation.

Cette lacune suggère que les progrès ne doivent pas uniquement être mesurés par le fait qu’une organisation dispose d’un programme de formation, mais également par le fait que ce programme contribue à changer le comportement des employés pour prendre des décisions plus sûres.

Le rapport a révélé que 70 % des dirigeants pensent que les employés considèrent la sensibilisation à la sécurité comme une responsabilité partagée. Pourtant, 26 % déclarent que les employés qui considèrent la sécurité comme importante n’agissent pas toujours en conséquence.

Cette distinction entre la connaissance et l’action est au cœur de la préparation de la main-d’œuvre.

Une main-d’œuvre résiliente peut reconnaître les menaces, protéger les informations sensibles, utiliser l’IA de manière responsable, signaler les activités suspectes et s’adapter à l’évolution de la technologie et des processus métier. Les organisations peuvent renforcer ces capacités en mesurant le comportement, en identifiant les lacunes, en renforçant les actions positives et en adaptant la formation aux domaines à plus haut risque.

La sensibilisation à la sécurité devient donc plus qu’une exigence de formation. Elle fait partie intégrante de la façon dont une organisation gère les risques.

Lorsque les employés comprennent comment gérer les risques dans leur travail quotidien, les organisations sont mieux positionnées pour réduire les incidents évitables, soutenir l’adoption responsable de la technologie et maintenir la confiance avec les clients, les partenaires et les employés.

La sensibilisation à la sécurité devient une capacité commerciale mesurable, et pas seulement quelque chose que les employés accomplissent une fois par an.

Construire une résilience mesurable de la main-d’œuvre avec la formation Fortinet

À mesure que les cybermenaces évoluent et que l’IA remodèle la façon dont les employés travaillent, les organisations ont besoin de programmes de sensibilisation à la sécurité capables de mesurer les progrès, d’identifier les risques pour la main-d’œuvre et d’améliorer continuellement la préparation des employés.

Fortinet Security Awareness and Training (FortiSAT) aide les organisations à rendre cette approche opérationnelle grâce à un apprentissage basé sur les rôles, des simulations d’hameçonnage, des informations sur les risques des utilisateurs, des mesures comportementales et un renforcement ciblé. L’objectif est de relier la formation à des changements mesurables dans le comportement de la main-d’œuvre et de donner aux équipes de sécurité une meilleure visibilité sur les domaines où une assistance supplémentaire est nécessaire.

Les simulations d’hameçonnage permettent aux employés de s’entraîner à reconnaître les menaces réalistes dans un environnement sûr, y compris l’hameçonnage, l’usurpation d’identité, la compromission des e-mails professionnels et d’autres tactiques d’ingénierie sociale. Les informations sur les risques pour les utilisateurs peuvent aider les équipes de sécurité à identifier les endroits où un renforcement supplémentaire peut être nécessaire. Une formation ciblée peut ensuite soutenir des individus, des équipes ou des services présentant une exposition plus élevée ou des comportements à haut risque.

L’apprentissage basé sur les rôles relie davantage la sensibilisation à la sécurité aux réalités du lieu de travail. Les employés qui gèrent les approbations financières, traitent les données des clients, administrent les systèmes, écrivent du code, assistent les clients ou utilisent des outils d'IA sont confrontés à différents risques. Une formation qui reflète ces responsabilités aide les employés à comprendre à quoi ressemble un comportement sécurisé dans le contexte de leur travail.

En combinant formation, simulation, mesure et renforcement, Fortinet aide les organisations à passer de la sensibilisation à la préparation mesurable de la main-d'œuvre. Le résultat est une main-d’œuvre mieux préparée à reconnaître les menaces, à protéger les informations sensibles, à utiliser l’IA de manière responsable et à prendre des décisions sécurisées à mesure que les risques continuent d’évoluer.

Explorez les programmes de sensibilisation et de formation à la sécurité de Fortinet et lisez le Rapport de recherche mondial 2025 sur la sensibilisation et la formation à la sécurité pour savoir comment les organisations mesurent la préparation de la main-d’œuvre et renforcent la cyber-résilience grâce à des programmes de sécurité basés sur le comportement.