Nudge appliqué à la sécurité informatique : la sécurité informatique concentre tous les ingrédients d’un problème comportemental : des règles connues, une adhésion de principe, et des écarts massifs et quotidiens. Mots de passe réutilisés, sessions laissées ouvertes, fichiers partagés trop largement, mises à jour reportées, pièces jointes ouvertes sans vérification. La lecture habituelle attribue ces écarts à un manque de culture du risque et y répond par des formations. Une lecture plus exacte constate que le comportement sûr est presque toujours plus coûteux que le comportement risqué, et que les utilisateurs arbitrent rationnellement en faveur du travail qu’ils ont à produire.
Le conflit entre sécurité et travail
Chaque mesure de sécurité ajoute une friction à une activité productive. Une authentification supplémentaire coûte quinze secondes, une demande d’accès coûte deux jours, un chiffrement complique un partage avec un partenaire. Ces coûts sont immédiats et certains, alors que le risque évité est différé et probabiliste.
Ce déséquilibre explique l’essentiel des contournements observés, et il explique aussi pourquoi les utilisateurs les plus contraints par des délais sont les plus enclins à contourner. Le levier principal ne consiste donc pas à augmenter la perception du risque, exercice dont l’effet s’épuise, mais à réduire le coût du comportement sûr jusqu’à ce qu’il devienne le chemin le plus court.
La fatigue d’alerte
Les avertissements de sécurité perdent leur effet avec la répétition, phénomène largement documenté. Un utilisateur confronté quotidiennement à des messages d’avertissement dont l’immense majorité s’avère sans conséquence apprend à les valider sans les lire, et cet apprentissage se transfère aux alertes qui comptaient.
La conséquence est que chaque alerte non pertinente dégrade la valeur de toutes les autres. La discipline correspondante est exigeante : réduire drastiquement le nombre d’avertissements, les réserver aux situations réellement risquées, et vérifier périodiquement leur taux de pertinence. Un dispositif qui alerte cinquante fois pour un incident réel ne protège de rien, tout en donnant le sentiment d’une politique active.
Le mot de passe et ses règles contre-productives
Les politiques exigeant des mots de passe complexes renouvelés fréquemment produisent des effets connus : notes écrites, variations minimales d’un mot de passe unique, réutilisation entre services. Le comportement observé est la conséquence prévisible d’une exigence qui dépasse les capacités de mémorisation.
Les recommandations actuelles des organismes spécialisés vont dans un autre sens : privilégier des phrases longues plutôt que des combinaisons complexes, supprimer le renouvellement périodique systématique en l’absence de compromission, et fournir un gestionnaire de mots de passe. Cette dernière mesure est la plus efficace de toutes, parce qu’elle rend le comportement sûr moins coûteux que le comportement risqué, ce qu’aucune règle ne parvient à faire.
Les paramètres par défaut
La configuration par défaut des outils détermine une part considérable du niveau de sécurité réel. Visibilité par défaut d’un document partagé, durée avant verrouillage automatique de la session, activation de la double authentification, autorisations accordées lors de la création d’un espace de travail.
Ces paramètres agissent sur toutes les décisions ultérieures et ne demandent aucun effort aux utilisateurs. Leur révision est le dispositif le plus rentable du domaine : quelques heures de travail pour un effet permanent. La contrepartie est de vérifier que le paramétrage retenu n’impose pas un coût disproportionné aux usages légitimes, faute de quoi il produira des contournements documentés et durables.
Faciliter le signalement plutôt que sanctionner l’erreur
Le délai entre un incident et son signalement détermine largement son coût final. Or ce délai dépend directement de ce que l’utilisateur anticipe : s’il craint une mise en cause, il attend, vérifie, espère que ce n’était rien, et signale trop tard.
Un dispositif efficace rend le signalement immédiat et sans risque : un bouton unique dans l’outil de messagerie, un numéro connu, et surtout une politique explicite et démontrée de non-sanction pour toute personne signalant sa propre erreur. Les organisations qui appliquent réellement ce principe constatent des délais de signalement très inférieurs, ce qui change la nature des incidents traités.
Les exercices d’hameçonnage simulé
Ces campagnes sont devenues courantes et leur conception détermine leur utilité. Utilisées comme dispositif d’apprentissage — message immédiat expliquant les indices, sans identification nominative — elles produisent un effet réel sur la vigilance.
Utilisées comme dispositif de contrôle — taux d’échec communiqué à la hiérarchie, personnes identifiées, sanctions — elles produisent trois effets indésirables : la dissimulation des vrais incidents, la défiance envers les communications internes, et l’apparition d’un comportement de signalement excessif qui sature le service concerné. La conception du dispositif compte donc davantage que sa fréquence.
Ce qui relève de la technique et non du comportement
Une part importante des risques ne doit pas être traitée par le comportement des utilisateurs. Le filtrage des messages, la limitation des droits, la sauvegarde, la segmentation du réseau et l’application automatique des correctifs relèvent de dispositifs techniques qui ne dépendent d’aucune vigilance individuelle.
La règle de répartition est claire : tout ce qui peut être traité techniquement doit l’être, et le comportement ne doit être sollicité que pour ce qui ne peut pas l’être autrement. Une organisation qui demande à ses collaborateurs une vigilance permanente sur des risques automatisables a déjà transféré à ses utilisateurs un travail qui ne leur revient pas, et l’échec de ce transfert est prévisible.
En résumé
Les écarts de sécurité informatique résultent d’un arbitrage rationnel entre un coût immédiat et un risque différé : le levier consiste à rendre le comportement sûr moins coûteux, pas à insister sur le risque. La fatigue d’alerte impose de réduire drastiquement le nombre d’avertissements et de vérifier leur pertinence. Les politiques de mots de passe complexes et renouvelés produisent les contournements qu’elles cherchent à éviter ; le gestionnaire de mots de passe est la mesure la plus efficace. Les paramètres par défaut offrent le meilleur rapport effort-effet. Le signalement doit être immédiat et explicitement non sanctionné. Enfin, tout ce qui peut être traité techniquement ne doit pas être demandé aux utilisateurs.