Former n’est pas transmettre

Et si le vrai problème des formations en cybersécurité n’était pas le contenu, mais la forme ?

Dans de nombreuses organisations, la formation repose encore largement sur la transmission d’informations. On organise une session, on présente des règles, on projette quelques diapositives, parfois on ajoute un module e-learning. Les participants écoutent, prennent des notes, puis valident un quiz final.

Sur le papier, la formation est réussie.

Pourtant, quelques semaines plus tard, les comportements évoluent peu.

En cybersécurité, ce constat est fréquent. Les collaborateurs connaissent les consignes, mais au moment critique, face à un message suspect ou une demande inhabituelle, ils hésitent ou prennent une décision inadaptée.

La difficulté ne vient pas toujours d’un manque d’information. Elle vient du fait que comprendre une règle ne signifie pas savoir l’appliquer dans une situation réelle. Les travaux de Pierre Bourdieu sur les pratiques sociales l’ont bien montré : les comportements se construisent dans l’action, pas seulement dans le discours.

Une formation peut donner l’impression d’être efficace simplement parce que l’information a été transmise clairement. Les participants comprennent les explications, répondent correctement aux questions et valident un quiz final.

Mais cette compréhension est souvent fragile.

Dans de nombreuses entreprises, les collaborateurs suivent un module e-learning obligatoire, valident rapidement un quiz, puis retournent à leurs activités. La formation est considérée comme faite, mais elle n’a pas nécessairement modifié les comportements.

Sans mise en situation, les connaissances restent théoriques. Elles ne sont pas mobilisées dans un contexte réel, avec ses contraintes, ses interruptions et ses urgences.

C’est ce que l’on observe fréquemment en sensibilisation cybersécurité : les règles sont connues, mais les réflexes ne sont pas installés. L’accumulation de messages sans ancrage réel finit par réduire l’attention, un phénomène lié à ce que l’on appelle la cyber fatigue.

L’apprentissage est généralement plus solide lorsque l’apprenant agit. Observer une règle ne suffit pas. Ce qui fait la différence, c’est la capacité à prendre une décision dans une situation concrète.

Dans un contexte réel, les collaborateurs doivent souvent :

• Analyser une situation ambiguë
• Gérer une pression temporelle
• Prendre une décision rapide
• Agir avec des informations incomplètes

C’est précisément dans ces conditions que les erreurs se produisent et que les compétences se construisent.

Comme le montre l’article « apprendre la cybersécurité comme un pilote apprend à voler » la compétence repose sur l’entraînement, la répétition et la confrontation à des situations réalistes. En cybersécurité, les dispositifs immersifs permettent de recréer ces conditions : le collaborateur n’est plus simplement exposé à une règle. Il est confronté à une situation.

Il doit analyser, décider, observer les conséquences et ajuster son comportement. Cette combinaison entre action, émotion et contexte favorise un ancrage beaucoup plus durable que la simple transmission d’information.

Les recherches en neurosciences confirment ce mécanisme : les expériences émotionnellement chargées activent le système neurobiologique et créent des souvenirs durables (source : PMC, Emotion and memory). L’engagement et l’implication sont ainsi plus efficaces que la peur pour ancrer durablement les comportements.

POINT DE VUE TERRAIN

Dans les ateliers immersifs de sensibilisation à la cybersécurité, une observation revient systématiquement : les participants retiennent beaucoup mieux une situation qu’ils ont vécue qu’une règle simplement expliquée.

Lorsqu’une personne prend une mauvaise décision dans un environnement simulé, la prise de conscience est immédiate. Elle comprend concrètement ce qui s’est joué et identifie plus facilement les signaux d’alerte.

Ce constat se vérifie à chaque session, qu’il s’agisse de collaborateurs en entreprise ou de participants lors d’événements grand public. Lorsqu’une personne découvre la réalité virtuelle pour la première fois, l’immersion crée une forme de surprise qui capte fortement l’attention et renforce l’apprentissage.

C’est ce qui permet de transformer une information en réflexe.

Transmettre une information est une étape utile, mais elle ne suffit pas à modifier un comportement.

Dans de nombreuses organisations, la frustration est réelle : les entreprises investissent dans des formations, pourtant les incidents continuent de se produire. C’est parce que former ne consiste pas seulement à expliquer des règles, cela consiste à permettre aux personnes d’expérimenter, d’analyser leurs décisions et de développer progressivement des réflexes adaptés aux situations réelles.

Certaines organisations commencent aujourd’hui à expérimenter des formats plus actifs, basés sur la mise en situation et l’analyse des décisions, une approche déjà évoquée dans l’article « De l’erreur virtuelle à l’incident cyber évité ».

Lorsque la formation devient un espace d’entraînement, les collaborateurs ne se contentent plus de connaître les bonnes pratiques. Ils apprennent à les appliquer.

À retenir

Une formation efficace ne se limite pas à transmettre des informations : elle doit permettre d’expérimenter des situations concrètes.

• Comprendre une règle ne garantit pas sa bonne application en situation réelle.
• Les formations théoriques peuvent créer une illusion de compréhension.
• L’apprentissage devient durable lorsque l’apprenant agit, ressent et analyse ses décisions.

FAQ - FORMATION & SENSIBILISATION A LA CYSERSÉCURITÉ

Pourquoi certaines formations ne changent-elles pas les comportements ?

Parce que transmettre une information ne suffit pas. Sans mise en situation, les collaborateurs ne développent pas les réflexes nécessaires pour agir dans un contexte réel.

Pourquoi l’émotion joue-t-elle un rôle dans l’apprentissage ?

L’émotion augmente l’attention et renforce la mémorisation. Une expérience vécue est généralement mieux retenue qu’une information simplement expliquée.

Quel est l’intérêt des formations immersives en cybersécurité ?

Elles permettent de recréer des situations proches du réel, d’expérimenter des décisions et de développer des réflexes opérationnels sans risque pour l’entreprise.