Le piège de la visibilité

Beaucoup d'organisations ont le sentiment que leur awareness est au point. Des affiches sont apposées près de la machine à café, un courriel part chaque mois, et l'intranet héberge une campagne assortie de conseils pratiques. Le raisonnement sous-jacent paraît évident. On communique en effet beaucoup sur les comportements sûrs, d'où l'idée, vite admise, qu'il existe un programme d'awareness. Assimiler ainsi la visibilité à un programme est compréhensible, mais inexact.

Ce rapport examine deux questions sous-jacentes. La première est de savoir si une campagne de communication diffère fondamentalement d'un programme comportemental. La seconde est de savoir quand la communication perd son effet, c'est-à-dire à partir de quel point davantage de messages n'aide plus et finit même par produire l'effet inverse. Il fait le point sur ce que montre la recherche scientifique à ce sujet, et sur l'approche qui en découle.

Pour ces deux questions, il importe d'abord de bien préciser ce que nous entendons, dans ce rapport, par un programme. Un programme n'est pas une série d'éléments isolés, mais un ensemble continu et piloté, orienté vers le comportement. Il fixe au préalable le comportement qu'il veut atteindre, choisit les moyens adaptés, dont la formation, l'entraînement et la communication, mesure ensuite si ce comportement change réellement, et procède à des ajustements sur la base de cette mesure. C'est, autrement dit, un cycle qui s'entretient lui-même et qui poursuit un objectif. Une campagne s'y oppose en tant qu'élément ponctuel ou récurrent pris isolément, et elle peut constituer une composante précieuse d'un programme sans jamais se confondre avec lui.

01 · ConstatLa visibilité est une couche, pas un programme

La différence entre communiquer et un programme n'est pas un jeu de mots : elle figure dans la directive de référence du domaine. L'organisme américain de normalisation NIST distingue, dans sa directive révisée, trois niveaux d'apprentissage : la sensibilisation, la formation et l'éducation (NIST SP 800-50r1, 2024). La sensibilisation oriente l'attention des personnes sur un sujet, la formation leur enseigne une compétence qui leur permet d'accomplir une tâche, et l'éducation est la forme approfondie, souvent orientée vers la carrière. Affiches, courriels et campagnes intranet relèvent presque tous du premier niveau. Ils sollicitent l'attention, mais n'enseignent aucune compétence et ne pilotent par eux-mêmes aucun comportement.

Plus important encore est ce que la directive entend par un programme. La révision de 2024 décrit un programme d'apprentissage non comme une série d'éléments, mais comme un cycle piloté doté d'un cycle de vie : on fixe des objectifs, on adapte le contenu aux rôles et aux publics, on mesure l'effet, et on procède à des ajustements. Les campagnes de sensibilisation sont, au sein de ce cycle, l'un des éléments constitutifs, aux côtés de la formation par rôle, des exercices et des interventions ciblées. Assimiler une campagne à un programme est donc une erreur de catégorie, car on confond une couche avec l'ensemble.

Les sciences du comportement opèrent la même distinction par une autre voie. Le Behaviour Change Wheel, très utilisé, que nous mobilisons aussi dans Le paradoxe de la participation, distingue neuf types d'interventions permettant d'influencer le comportement, et l'information n'en est qu'une (Michie, van Stralen et West, 2011). Communiquer touche surtout les connaissances des personnes. Cela laisse largement intacts les autres leviers dont dépend le comportement, comme la motivation et l'occasion concrète. Qui se contente de communiquer n'actionne donc qu'un seul levier et laisse les huit autres inexploités.

02 · ConstatCommuniquer ne change souvent pas le comportement

Que les campagnes ne modifient de loin pas toujours le comportement n'est pas un constat nouveau. Dans une étude très citée, Bada, Sasse et Nurse ont analysé pourquoi les campagnes de sensibilisation échouent si souvent à changer le comportement (Bada, Sasse et Nurse, 2015). Leur conclusion était claire. La connaissance et la conscience sont une condition nécessaire, mais ne suffisent pas à elles seules. Pour changer de comportement, les personnes doivent pouvoir comprendre et appliquer le conseil, et elles doivent en outre y être disposées. Cette disposition exige un changement d'attitude et d'intention, qui n'apparaît pas spontanément en diffusant davantage d'information.

C'est le fameux écart entre savoir et faire. Les gens savent qu'ils doivent utiliser un mot de passe robuste, qu'ils ne doivent pas cliquer sans réfléchir sur un lien, et qu'ils doivent enregistrer les données proprement, mais le comportement ne suit pas automatiquement le savoir. Le Behaviour Change Wheel explique pourquoi. Un comportement sûr n'apparaît que lorsque la connaissance et la compétence, la motivation et l'occasion de bien faire se rejoignent (Michie, van Stralen et West, 2011). Une campagne qui se borne à donner de l'information ne remplit tout au plus que la première case. La motivation et l'occasion restent alors intactes, et c'est précisément là que le comportement achoppe souvent.

03 · ExplicationQuand la communication produit l'effet inverse

La seconde question est de savoir quand la communication non seulement rapporte peu, mais produit carrément l'effet inverse. La recherche met en évidence deux mécanismes qui, ensemble, expliquent pourquoi davantage de la même chose mine l'attention : l'accoutumance et la lassitude face aux messages.

Le premier mécanisme est l'accoutumance, et il est plus profond qu'une question de motivation. Dans une série d'études cérébrales, Anderson et ses collègues ont mis en image, par IRM fonctionnelle, la manière dont le cerveau réagit à des avertissements de sécurité répétés (Anderson et al., 2015). L'activité dans les zones de traitement visuel chutait fortement dès la deuxième exposition, et baissait davantage à chaque répétition suivante. Une étude de suivi sur le terrain a confirmé ce constat. Dans une expérience de terrain de trois semaines, la mesure dans laquelle les personnes donnaient suite aux avertissements diminuait nettement à mesure que ceux-ci revenaient plus fréquemment (Vance et al., 2018). Le message qui conserve toujours la même forme est, jusque dans le cerveau, de moins en moins enregistré. Fait notable, les avertissements qui changeaient de forme à chaque fois résistaient bien mieux à cet effet. La variation maintient l'attention, tandis que la répétition de l'identique la fait au contraire se relâcher.

Le second mécanisme est la lassitude face aux messages, une notion issue des sciences de la communication. So, Kim et Cohen ont cartographié la manière dont les gens réagissent lorsqu'ils sont exposés de façon prolongée à des messages portant sur le même sujet (So, Kim et Cohen, 2017). Il s'agit alors d'un état d'épuisement né de la surabondance, de la répétition et de la monotonie, qui conduit les gens à ignorer le message. Des recherches ultérieures ont montré que la lassitude face aux messages mine la force de persuasion par deux voies : par la résistance active, où les gens s'opposent au message, et par le décrochage passif, où ils cessent simplement d'y prêter attention (Kim et So, 2018). Le plus préoccupant est que la surabondance ne se contente pas d'annuler l'effet, mais peut rendre l'action souhaitée encore moins probable que si rien n'avait été communiqué. Des effets comparables ont été décrits dans l'information sur le climat et la santé, où trop de messages identiques abaissait au contraire la disposition à participer.

Dans le contexte de la sécurité, ce phénomène a reçu un nom propre. Des chercheurs du NIST ont rencontré, lors d'entretiens, ce qu'ils appellent la lassitude de sécurité, une fatigue et une réticence à continuer de s'occuper de sécurité (Stanton et al., 2016). Les gens se sentaient assaillis d'avertissements du type fais attention à ceci et à cela, et y réagissaient par la résignation, un sentiment de perte de contrôle, la minimisation des risques et l'évitement des décisions. Les chercheurs recommandent donc de réduire autant que possible le nombre de décisions de sécurité que l'on demande aux personnes.

Ces mécanismes convergent vers une idée économique sobre, le budget de conformité. Beautement, Sasse et Wonham ont montré que les gens ne suivent les règles de sécurité que jusqu'à un certain point, au-delà duquel la disposition décroît (Beautement, Sasse et Wonham, 2008). Il existe, autrement dit, une quantité limitée d'attention et de coopération disponible, et au-delà de cette limite, chaque exigence supplémentaire devient plus nuisible qu'utile. Chaque affiche et chaque courriel prélève une part de ce budget. Qui continue d'émettre sans compter ce coût épuise sa réserve et ne garde rien pour le moment où cela compte vraiment.

04 · ApprocheDe la campagne au programme

Si communiquer n'est qu'un levier et non un programme, et si trop de la même chose finit par produire l'effet inverse, il en découle une autre manière de travailler. L'essentiel est de traiter la communication comme une composante d'un programme qui pilote le comportement, et non comme le programme lui-même.

1. Traitez la communication comme un levier au sein d'un cycle piloté.Donnez au programme un cycle de vie plutôt qu'un calendrier d'éléments isolés : fixez des objectifs, adaptez le contenu aux rôles et aux publics, mesurez l'effet et procédez à des ajustements (NIST SP 800-50r1, 2024). Une campagne est alors un instrument au sein de ce cycle, et non son aboutissement.
2. Concevez pour le comportement plutôt que pour la visibilité.Pour chaque intervention, demandez-vous quelle composante du comportement vous influencez. Un message touche tout au plus la connaissance, alors que le comportement requiert aussi la motivation et l'occasion (Michie, van Stralen et West, 2011). Veillez donc à ce que le comportement sûr ne soit pas seulement connu, mais aussi attrayant et facile à adopter.
3. Variez la forme pour contrer l'accoutumance.Ne répétez pas sans fin la même affiche ou le même courriel, car c'est précisément cela qui relâche l'attention. Variez la forme, le canal et l'angle, afin que le message soit à chaque fois de nouveau remarqué (Anderson et al., 2015 ; Vance et al., 2018).
4. Respectez le budget d'attention et de conformité.Optez pour des messages moins nombreux mais plus ciblés et bien synchronisés, et limitez le nombre de décisions que vous demandez aux personnes (Stanton et al., 2016 ; Beautement, Sasse et Wonham, 2008). Chaque message superflu prélève une part d'une réserve qu'il vaut mieux garder pour le moment où cela compte.
5. Mesurez le comportement et l'effet plutôt que le nombre d'éléments.Ne comptez pas combien d'affiches ont été apposées ou combien de courriels sont partis, mais regardez ce que les gens font réellement, comme le signalement de messages suspects. Le fait qu'une telle compétence, reconnaître le phishing, ne s'améliore pas d'elle-même par la seule exposition, nous l'avons développé dans Le Problème d'attention. Au titre de la directive NIS2, veiller à un comportement résilient relève en outre de la responsabilité de l'organe de direction, et embarquer cette direction est une tâche à part entière, comme nous l'avons montré dans Le problème d'adhésion. Cette responsabilité s'étaye mieux par des chiffres de comportement que par un décompte de communications.

05 · ConclusionLa visibilité est un début, pas un programme

Une campagne de communication est quelque chose de fondamentalement différent d'un programme comportemental. La visibilité oriente l'attention, mais elle n'enseigne aucune compétence et ne pilote par elle-même aucun comportement. Un programme combine cette visibilité avec la formation, avec une attention à la motivation et à l'occasion, avec la mesure et avec l'ajustement, et il le fait comme un cycle piloté plutôt que comme une série d'éléments isolés. Qui assimile les deux confond une couche avec l'ensemble.

Et la communication perd son effet dès que la répétition relâche l'attention et que la lassitude prend le dessus. Par accoutumance, la réponse chute dès la deuxième exposition, sous l'effet de la lassitude face aux messages, la répétition peut même produire l'effet inverse, et le budget d'attention et de conformité est, par nature, limité. La bonne question n'est donc pas de savoir si l'on a beaucoup communiqué, mais si le comportement et la culture ont durablement changé. La visibilité en est un début, et non un programme.