La semaine dernière, je suis tombé sur un post LinkedIn qui m’a interpellé.

Un expert que je respecte sincèrement félicitait une entreprise cliente pour avoir laissé ses salariés choisir le format de leur sensibilisation à la cybersécurité.

La vidéo, le dojo, le jeu vidéo, le serious game... plein de format aujourd'hui. C'est top ! mais lequel plait chez soi ?

Sur le papier, c’est rafraîchissant. Participatif. Moderne.

Mais ce genre d’initiative soulève une question bien plus profonde : Qui décide vraiment de ce qui doit transformer les comportements ?

Et si la forme prenait le pas sur la finalité ?

La cybersécurité, ce n’est pas juste une affaire de solutions techniques.
C’est aussi une affaire de postures, de réflexes, de décisions humaines.

Et dans ce contexte, la sensibilisation n’est pas une animation interne orchestrée par un super GO du Club Med.

C’est un levier stratégique pour, au choix :

• modifier des comportements à risque,

• développer des compétences,

• ancrer une culture numérique partagée,

• valoriser la fonction cyber,

• réduire le rejet ou la perception d’impuissance face au sujet cyber,

• répondre à des obligations de conformité,

  et surtout : renforcer la résilience collective face aux incidents cyber de toute nature.

Alors pourquoi considérer que la “sensibilisation” nécessiterait moins d’expertise qu’un outil tel qu’un EDR ou une prestation cyber du type SOC, incident response, threat intelligence, vulnerability management ?

Parce qu'on ne le répètera jamais assez :

❌ La cybersécurité n’est pas un concours de popularité.
❌ Ce n’est pas un outil de com’ interne.
✅ C’est une fonction de protection et de résilience de l’organisation.

Ce qui plaît ≠ ce qui transforme

Impliquer les utilisateurs dans le choix du format peut créer de l’engagement, c’est vrai.

Mais si ce choix est guidé par ce qu’ils “aiment”, plusieurs questions s’imposent :

• Quel comportement souhaite-t-on réellement changer ?

• De quelle population parle-t-on ?

• Les préférences exprimées sont-elles représentatives ?

• Et surtout : le message ne perd-il pas en force et en cohérence ?

Parce qu’un format qui plaît, c’est bien.
Mais un format qui forme, c’est mieux.

👉 Ce qui plaît à certains, même à la majorité, n’est pas toujours ce qui fonctionne.
Et ce qui engage émotionnellement ne garantit pas un changement de posture durable.

En pédagogie comme en cybersécurité, on le sait :
L’adhésion est un levier.
Mais ce n’est pas la finalité.

Et si on recadrait le rôle de l’utilisateur ?

Impliquer, oui. Déléguer, non.

Parce qu’à ce rythme, on risque de faire croire que chacun peut choisir sa cybersécurité comme on choisit son fond d’écran.

Et à l’extrême, c’est comme confier à la foule le droit d’engager une action armée.
Ou d’appuyer sur le bouton nucléaire.

Certaines décisions doivent rester entre les mains de ceux qui ont la vision, la formation et la responsabilité.
Et qui sont contrôlés pour cela.

En entreprise, doit-on demander aux développeurs s’ils veulent conserver les droits d’administrateur local ?
Doit-on demander aux fournisseurs s’ils souhaitent signer des clauses cybersécurité dans les contrats ?

On connaît tous la réponse.

👉 Et pourtant, trop souvent, on continue à consulter là où il faudrait trancher.

Ce que je retiens

La cybersécurité, c’est comme l’État de droit :
ce n’est pas une option à prendre quand ça nous arrange.

Certaines décisions ne doivent pas être soumises à la popularité.
Elles doivent être structurées, assumées, et portées avec autorité.

On peut faire preuve de pédagogie dans la forme.
Mais il faut de la rigueur dans l’intention.

❌ Ce n’est pas en rendant la cybersécurité “cool” qu’on la rendra efficace.
✅ C’est en la rendant claire, cohérente et incontestable.

P.S. : Être suivi en cybersécurité, c’est une responsabilité.
Alors à la communauté comme aux dirigeants, je préfère dire ce qui est juste, même quand ce n’est pas “fun” ou populaire.

Et vous ?

Vous avez déjà vu ce genre de dilemme entre engagement et rigueur ?
Je suis curieux de lire vos retours.

🎓 Masterclass Gratuite — Décode la conformité DORA

🗓 Jeudi 24 avril — 12h15 à 13h15 (en ligne)

💡 Après une première édition qui a rassemblé 27 experts, cette masterclass revient pour t’aider à transformer DORA en plan d’action concret.

DORA repose sur 5 piliers… utiles pour les régulateurs, mais trop flous pour les entreprises qui doivent les mettre en œuvre.

👉 En 45 minutes, tu vas :

✅ Découvrir les 12 vraies capacités cyber à structurer pour être conforme
✅ Comprendre les interdépendances entre les chantiers (et éviter les doublons)
✅ Apprendre à aligner conformité & opérations IT/cyber, sans perdre en agilité

🎙️ Je partagerai mes méthodes de CISO & directeur de programmes cyber dans les secteurs bancaire et fintech.

🔎 Ces posts que tu as peut-être manqué cette semaine

🧠 Take-away de la semaine :

👉 Ce qui plaît n’est pas toujours ce qui protège.

🎮 "On a choisi un format qui plaît beaucoup en interne."
— Extrait d’un retour de projet sensibilisation dans un grand groupe.

Mais si l’objectif est de transformer des comportements, alors le plaisir seul ne suffit pas.
Un contenu efficace n’est pas celui qui divertit - c’est celui qui provoque une prise de conscience, un changement, un automatisme.

👉 7 finalités possibles d’une action de sensibilisation cyber

1. Modifier des comportements à risque
   Réduire les clics sur les liens malveillants, améliorer la détection, le signalement, etc.

2. Développer des compétences concrètes
   Savoir gérer ses accès, ses données, ses outils au quotidien.

3. Acculturer les équipes à une culture sécurité
   Créer une hygiène numérique partagée dans toute l'organisation.

4. Valoriser la fonction cybersécurité
   Rendre visible l'équipe cyber, la rendre légitime et accessible, y compris pour du recrutement interne ou des demandes d’aide.

5. Réduire la distance ou le rejet du sujet cyber
   Lutter contre la lassitude, la peur ou la déresponsabilisation.

6. Répondre à une obligation de conformité
   RGPD, ISO 27001, DORA, NIS2, clauses contractuelles…

7. Renforcer la résilience collective
   Préparer les équipes à mieux réagir en cas d’incident réel.

Cette newsletter est réalisée par Sylvan Ravinet. Connectons-nous sur LinkedIn ou collaborons ensemble.

Laisse un commentaire ou transfère-la à un·e collègue qui devrait la lire.

With Love from Paris.

Sylvan