La différence entre sensibilisation à la sécurité et à la protection des données

Dans les programmes de formation, la sensibilisation à la sécurité et la sensibilisation à la protection des données sont souvent citées d'un même souffle. Les organisations les achètent ensemble, les planifient dans la même campagne annuelle et les inscrivent dans le même format, le plus souvent un module e-learning assorti d'un test. Pourtant, les deux sujets demandent quelque chose de fondamentalement différent à un collaborateur. L'hypothèse de cette étude est que la protection des données consiste avant tout à appliquer au bon moment des connaissances sur les règles et les procédures, tandis que la sécurité consiste avant tout à modifier son propre comportement, jusque dans les réflexes.

Ce rapport met cette hypothèse à l'épreuve de la recherche scientifique. Il fait suite à deux rapports antérieurs de cette série : Le problème d'attention, sur ce que les simulations d'hameçonnage accomplissent ou non, et Les premiers mois vulnérables, sur le moment de la première formation. Ces rapports portaient sur la sécurité ; celui-ci place la sécurité et la protection des données côte à côte.

01 · CADREDeux notions issues de traditions différentes

Quand on place côte à côte la littérature scientifique consacrée aux deux formes de sensibilisation, une différence d'origine apparaît aussitôt. La recherche sur la sensibilisation à la sécurité s'enracine dans la question de savoir comment une organisation obtient que ses collaborateurs respectent la politique de sécurité. Le fondement le plus utilisé à cet égard est le modèle KAB, qui conçoit la sensibilisation comme un triptyque de connaissances (ce que l'on sait), d'attitude (ce que l'on pense) et de comportement (ce que l'on fait) (Kruger et Kearney, 2006). L'instrument de mesure le plus solidement validé, le Human Aspects of Information Security Questionnaire (HAIS-Q), repose explicitement sur ce modèle et mesure les trois couches sur sept domaines d'attention, des mots de passe à la déclaration des incidents (Parsons et al., 2014). Dans cette tradition, le comportement n'est donc pas un sous-produit de la sensibilisation, mais une part constitutive de la définition. La très influente étude de conformité de Bulgurcu, Cavusoglu et Benbasat (2010) aborde elle aussi la sensibilisation à travers la question de savoir si les collaborateurs se comportent, au bout du compte, conformément à la politique.

La recherche sur la sensibilisation à la protection des données est plus jeune et de nature différente. La large synthèse de Smith, Dinev et Xu (2011) montre que la recherche sur la vie privée s'est de tout temps concentrée sur les préoccupations, les attitudes et les arbitrages liés au partage de données, et beaucoup moins sur le comportement en milieu professionnel. Là où la notion est développée, elle prend très souvent la forme d'une connaissance. L'Online Privacy Literacy Scale (OPLIS) conçoit explicitement la culture de la vie privée comme un savoir, à la fois connaissance factuelle des règles et des pratiques et connaissance des moyens de protéger les données (Trepte et al., 2015). Correia et Compeau (2017) vont plus loin et décrivent la sensibilisation à la protection des données comme une forme de conscience situationnelle, d'après le modèle d'Endsley : percevoir une situation, comprendre ce qu'elle signifie et anticiper ce qui peut advenir. Dans cette lecture, la sensibilisation à la protection des données est la capacité de voir que des données personnelles sont en jeu et de comprendre quelle norme s'applique, après quoi la connaissance peut être mise en œuvre.

02 · CONSTATPour la sécurité, le goulet d'étranglement n'est pas le savoir

Que connaissances et comportement ne coïncident pas pour la sécurité, la toute première application du modèle KAB le montrait déjà. Dans l'étude de cas de Kruger et Kearney (2006) au sein d'une entreprise minière internationale, les collaborateurs obtenaient 77 pour cent en connaissances et 76 pour cent en attitude, mais seulement 54 pour cent en comportement. Ce que les collaborateurs savaient et pensaient était donc plus que suffisant, mais ce qu'ils faisaient en pratique restait loin derrière. Des études de validation ultérieures confirment ce constat. Chez cinq cents salariés australiens, la connaissance des règles et des procédures était plus fortement liée à l'attitude qu'au comportement de sécurité lui-même, ce dont les chercheurs concluent que la formation doit expliquer non seulement ce qui est attendu, mais aussi pourquoi cela importe (Parsons et al., 2014).

La recherche de synthèse va dans le même sens. Une revue systématique de 142 études sur la formation à la sécurité constate que la plupart d'entre elles mesurent leur effet à l'aune des connaissances ou des intentions plutôt que du comportement réel, que les effets sont généralement mesurés après une seule séance de formation, sans mesure de suivi, et qu'un changement de comportement durable ne peut donc être établi avec certitude, alors même que ce changement exige de la répétition, puisque les habitudes ne se forment que par la répétition (Prümmer, van Steen et van den Berg, 2024). La méta-analyse correspondante montre que la formation améliore nettement les connaissances et la sensibilisation des utilisateurs finaux, mais que l'effet sur le comportement à plus long terme est plus modeste (Prümmer, van Steen et van den Berg, 2024). Dès 2015, Bada, Sasse et Nurse concluaient que l'information à elle seule ne change pas le comportement : les personnes doivent aussi pouvoir appliquer le conseil et être motivées à le faire. L'ENISA en tire la même leçon et plaide pour un glissement de l'information vers le changement de comportement et la culture (ENISA, 2019).

Pour la partie de l'hypothèse qui concerne la sécurité, les preuves sont donc solides : le goulet d'étranglement ne réside pas dans ce que les collaborateurs savent, mais dans ce qu'ils font sous la pression de l'instant. Dans Le problème d'attention, nous décrivions déjà que l'hameçonnage est davantage un problème d'attention qu'un problème de connaissances, et qu'un taux de clic en baisse dit peu de chose de ce que les collaborateurs ont réellement appris.

03 · CONSTATPour la protection des données aussi, savoir et faire divergent

Qui prend l'hypothèse au pied de la lettre s'attendrait à ce que savoir et faire coïncident pour la protection des données. La recherche montre autre chose, et le phénomène a même son propre nom : le paradoxe de la vie privée. Dans l'expérience qui lui a donné son nom, les participants ont divulgué nettement plus d'informations personnelles qu'ils n'avaient annoncé le faire (Norberg, Horne et Horne, 2007). Pötzsch (2009) décrit le même écart : celui qui est sensible à la protection des données n'adapte bien souvent pas son comportement en conséquence. Des études de synthèse confirment que les attitudes et les préoccupations relatives à la vie privée ne prédisent que faiblement ce que les personnes font réellement lorsqu'elles partagent des données, et l'expliquent notamment par des arbitrages de commodité et d'avantage, par l'incertitude et par la forte influence du contexte sur les préférences en matière de vie privée (Kokolakis, 2017 ; Gerber, Gerber et Volkamer, 2018 ; Acquisti, Brandimarte et Loewenstein, 2015).

Il existe pourtant une différence importante avec le milieu professionnel. La quasi-totalité de ces travaux portent sur des personnes qui décident de leurs propres données, en tant que consommateurs partageant quelque chose en échange de commodité, d'une remise ou d'un contact. Solove (2021) souligne en outre qu'on ne peut guère déduire d'attitudes d'un tel comportement, parce que les personnes arbitrent autrement dans une situation concrète que face à une question générale. Un collaborateur qui traite les données personnelles de clients, de patients ou de collègues occupe un rôle fondamentalement différent : il ne s'agit pas de ses propres données, l'avantage personnel de l'échange disparaît en grande partie, et la question n'est pas de savoir combien il veut partager, mais si le traitement respecte les règles de l'organisation et la loi. Ce rôle appelle avant tout à reconnaître et à appliquer : voir que quelque chose est une donnée personnelle, savoir s'il existe une base légale, reconnaître une demande émanant d'une personne concernée et déclarer une violation à temps. Ce rôle des salariés a été remarquablement peu étudié, et la délimitation de la notion de sensibilisation à la protection des données varie de surcroît d'une étude à l'autre (Smith, Dinev et Xu, 2011 ; Correia et Compeau, 2017).

Une nuance mérite ici d'être soulignée. Les chiffres de terrain montrent que les incidents de protection des données ne sont de loin pas toujours des incidents de connaissances. À l'échelle européenne, les autorités de contrôle reçoivent désormais en moyenne 443 déclarations de violation de données par jour, une hausse de 22 pour cent en une seule année (DLA Piper, 2026). Une part substantielle de ces violations ne sont pas des cyberattaques sophistiquées, mais des erreurs humaines de routine : un courrier ou un courriel envoyé au mauvais destinataire figure régulièrement parmi les types de violations les plus fréquemment déclarés, et l'erreur humaine est l'une des principales causes de violations en Europe (ENISA, 2019). Une lettre dans la mauvaise enveloppe n'est pas un défaut de connaissance du RGPD, mais une simple erreur de routine, et donc un problème de comportement par excellence. Dans la pratique de la protection des données, l'application de connaissances et l'ancrage de routines soigneuses vont ainsi de pair.

04 · EXPLICATIONL'adversaire et le moment décisif diffèrent

Le schéma des deux chapitres précédents s'explique bien par la nature de la situation dans laquelle chaque forme de sensibilisation doit faire ses preuves. La sécurité a pour objet de protéger l'information et les systèmes contre une atteinte délibérée (von Solms et van Niekerk, 2013). Un adversaire pensant fait donc face au collaborateur, et cet adversaire choisit le moment, la forme et la pression. La recherche sur l'hameçonnage montre que la plupart des messages d'hameçonnage sont traités par la voie rapide et superficielle : les personnes décident sur la base d'indices simples présents dans le message, sans réflexion approfondie, surtout lorsque l'expéditeur joue sur l'urgence et l'autorité (Vishwanath et al., 2011). À un tel moment, il n'y a pas d'occasion d'appliquer le savoir posément. Ce qui compte alors, c'est le comportement que la personne a fait sien : marquer une pause, vérifier la demande par un autre canal et signaler ce qui sort de l'ordinaire. C'est pourquoi la sensibilisation à la sécurité est au fond une question de comportement, et c'est pourquoi une formation courte, répétée et qui fait s'exercer les collaborateurs dans le contexte de leur travail agit mieux qu'une transmission de connaissances ponctuelle (Prümmer, van Steen et van den Berg, 2024).

Pour la protection des données, le moment décisif se présente autrement. La norme ne vient pas d'un attaquant, mais de la loi et de la politique de l'organisation, et les questions surgissent le plus souvent dans le travail ordinaire : puis-je partager ce fichier avec ce collègue, combien de temps conservons-nous ces données, cette demande relève-t-elle du droit d'accès, et cet événement est-il une violation à déclarer ? Devant de telles questions, il y a presque toujours l'occasion de réfléchir, de vérifier quelque chose ou de consulter le délégué à la protection des données. Le goulet d'étranglement n'est pas ici la pression temporelle d'un adversaire, mais la reconnaissance de la situation : qui ne voit pas que quelque chose est une donnée personnelle ou une violation n'en vient jamais à appliquer ses connaissances. Cela rejoint exactement la description de la sensibilisation à la protection des données comme conscience situationnelle (Correia et Compeau, 2017).

Les deux domaines se recoupent néanmoins. L'hameçonnage cible souvent précisément des données personnelles, de sorte qu'une attaque réussie est du même coup une violation, et les erreurs d'envoi figurant dans les chiffres de déclaration des autorités de contrôle sont un comportement de routine qui appelle la même approche centrée sur le comportement que les habitudes de sécurité. À l'inverse, la connaissance compte bel et bien pour la sécurité : qui obtient un score plus élevé au HAIS-Q, composante de connaissances comprise, obtient de meilleurs résultats à un test d'hameçonnage expérimental (Parsons et al., 2017). La différence entre les deux domaines n'est donc pas une ligne de partage nette entre connaissance et comportement ; elle réside dans la question de savoir lequel des deux est déterminant dans la situation décisive.

05 · CONCLUSIONUne différence d'accent

La réponse à la question principale est la suivante : l'hypothèse est largement étayée, pourvu qu'on l'entende comme une différence d'accent. La sensibilisation à la sécurité est au fond une question de comportement : la connaissance est nécessaire, mais la recherche montre à chaque fois que connaissances et attitude devancent largement le comportement, et que les moments décisifs sont si brefs et si délibérément exploités par l'attaquant que seules des habitudes ancrées offrent une prise. La sensibilisation à la protection des données en milieu professionnel est en revanche surtout une affaire de reconnaissance et d'application : voir qu'une situation relève des règles, savoir quelle norme s'applique et agir en conséquence, avec le temps et les ressources généralement disponibles dans ces situations.

Pour la conception d'un programme de formation, cela signifie qu'une forme unique ne suffit pas pour les deux sujets. La formation à la sécurité appelle un entraînement court, répété et centré sur le comportement, dans le contexte du travail, afin que des habitudes puissent se former. La formation à la protection des données appelle des cas concrets reconnaissables, des règles de décision claires et des références et voies de signalement faciles à trouver, afin que la connaissance soit disponible au moment où la situation se présente. Pour l'une comme pour l'autre vaut ce que la recherche dit depuis longtemps : se contenter de diffuser de l'information ne change pas grand-chose, car les collaborateurs doivent aussi pouvoir et vouloir appliquer le conseil (Bada, Sasse et Nurse, 2015 ; ENISA, 2019).

En même temps, la modestie s'impose. Le paradoxe de la vie privée montre que, pour la protection des données aussi, savoir et faire ne vont pas de soi ensemble, et les chiffres de déclaration montrent qu'une part importante des incidents de protection des données consiste en erreurs de routine qui, elles, appellent un changement de comportement. Qui se sert de la distinction de ce rapport fera donc bien de l'entendre comme une différence d'accent et non comme un classement strict : un programme mûr forme surtout le comportement pour la sécurité tout en entretenant la connaissance, et forme surtout à reconnaître et à appliquer les règles pour la protection des données, sans perdre de vue les routines soigneuses.