Formations à la cybersécurité par secteur d’activité : la fin d’une approche universelle

Chaque métier est différent, et les risques cyber varient énormément d'un métier à l’autre. Une infirmière en milieu hospitalier, un développeur ou encore un ingénieur en métallurgie sont tous exposés à des attaques, mais chacun à sa manière.

En outre, chaque secteur est soumis à des réglementations spécifiques, traite des données différentes, et est confronté à un large éventail de cybermenaces. Pourtant, la plupart des programmes de sensibilisation à la sécurité proposent le même module générique sur le phishing à tout le monde, en espérant que ça marche.

Une formation à la cybersécurité sur mesure et adaptée à chaque secteur d’activité n’est pas un luxe : c’est ce qui fait la différence entre une formation qui change réellement les comportements et une autre qui sert uniquement à remplir les critères de conformité. Dans ce dernier cas, la formation dispensée ne garantit pas la sécurité de vos équipes ni de votre entreprise.

Alors, à quoi ressemble une formation efficace à la cybersécurité pour un secteur d’activité donné ? Et comment créer et déployer la vôtre ?

Revenons à l’essentiel : pourquoi les formations génériques sont-elles vouées à l’échec ?

Pourquoi les formations standards à la cybersécurité ne répondent pas aux besoins de certains secteurs

Trop génériques : la plupart des formations de sensibilisation clé en main s’adressent à un très large public, et sont, de fait, vite oubliées. Une formation sur le phishing qui met en scène un faux avis de livraison peut être pertinente pour un employé de bureau. Elle touchera sûrement moins des infirmiers, plus susceptibles de recevoir un appel d’un faux médecin.

Peu engageantes : si les apprenants ne s’approprient pas le scénario, ils décrochent. Quand une formation est trop abstraite ou déconnectée des risques réels du quotidien, elle a moins d’impact sur les comportements.

Trop longues : beaucoup de formations à la cybersécurité en ligne proposent des vidéos longues, de 20-30 minutes ou plus. Cela demande du temps, et le format n’est pas toujours adapté aux besoins de chaque secteur.

Manque de ressources spécialisées : les équipes sécurité et conformité ont besoin de contenu spécifique à leur secteur, qui couvre les cadres réglementaires et les bonnes pratiques. Or, la création et la mise à jour de ces contenus ne sont pas simples. Résultat : les équipes se rabattent sur du contenu générique en croisant les doigts pour que ça suffise.

Non-conformité réglementaire : les auditeurs s'attendent à ce que les formations soient adaptées à un contexte et à un métier donnés. Qu'il s'agisse d'HIPAA, de la norme PCI DSS, de NIS2 ou encore du RGPD, le "nous avons organisé des formations" n'est plus suffisant. La formation doit au contraire refléter les obligations concrètes auxquelles sont confrontées les différentes équipes en pratique, pour les aider à rester conformes. Et les formations génériques ne le permettent pas.

Besoin d'aide avec NIS2 ? Consultez notre checklist gratuite

NIS 2 : 6 étapes pour être en conformité

Une checklist pour vous conformer à la NIS 2, plus simplement qu’il n’y paraît

À quoi ressemblerait une bonne formation cyber dans 4 secteurs d’activité

Maintenant que nous avons vu pourquoi les formations génériques ne parviennent pas à susciter l’intérêt des équipes, nous allons voir à quoi ressemblerait une formation efficace à la cybersécurité dans 4 secteurs d’activité, avec leurs profils de risque et leurs exigences réglementaires données.

1. Les entreprises traitant des données de cartes bancaires (PCI DSS)

La formation pour les entreprises gérant des systèmes de paiement doit parler de scénario réalistes, avec des cas de virement frauduleux, des compromissions d'e-mail professionnel (BEC) ou encore des techniques d’ingénierie sociale visant à détourner les processus de double validation.
Le contexte réglementaire est important. La formation doit être conforme à la norme PCI DSS (Payment Card Industry Data Security Standard), aux recommandations du secteur comme celles de la FFIEC et des lois en matière de notification de brèche de données propres à chaque État.

Ce qui fait défaut dans les formations génériques : elles ont tendance à passer à côté de l’essentiel en utilisant des scénarios de BEC qui ne reflètent pas les processus de validation réels, ou en décrivant les risques de brèche de données d'une manière qui ne correspond pas au fonctionnement réel des systèmes de cartes bancaires.

2. L’industrie et les infrastructures critiques (sécurité OT)

La formation doit traiter du risque de convergence IT/OT, des systèmes SCADA hérités et, surtout, des conséquences d’un cyberincident sur la sécurité physique, en plus de la perte de données.
Dans le secteur industriel, l'accès à distance par des fournisseurs tiers est le principal vecteur d'attaque, bien plus que les e-mails de phishing sur la paie, les RH ou des problèmes de livraison.

Ce qui fait défaut dans les formations génériques : les formations proposées en entreprise sont souvent inadéquates, car elles s'appuient sur des scénarios d'attaque par mail qui ne concernent nullement les opérateurs en usine, bien plus exposés aux risques liés à un système de contrôle obsolète ou à l'accès à distance par un fournisseur.

3. Les équipes logicielles et tech (OWASP)

Les développeurs, les ingénieurs et les équipes techniques doivent se familiariser avec les bonnes pratiques de codage, et comprendre les menaces et vulnérabilités les plus courantes : attaques visant les logiciels open source ou la supply chain logicielle. Les concepts du OWASP Top 10 doivent être transposés dans une formation qu'un ingénieur non spécialisé en cybersécurité sera réellement en mesure de suivre jusqu'au bout.
L’approche de sécurité « shift-left » et les risques liés au pipeline CI/CD sont ici plus importants que la sensibilisation des utilisateurs finaux au phishing.

Ce qui fait défaut dans les formations génériques : la plupart des formations ignorent quasi systématiquement ce public, car elles sont conçues pour des utilisateurs finaux qui cliquent sur des liens, pas pour des personnes qui livrent du code et assurent la maintenance des plateformes et applications web.

4. La santé (HIPAA)

Au cours de la dernière décennie, les cyberattaques visant le secteur de la santé n'ont cessé de se multiplier, contre les hôpitaux, les assureurs et les professionnels de santé.
La formation doit couvrir le traitement des PHI (informations médicales protégées) conformément à l’HIPAA, les tentatives de phishing des systèmes de dossiers médicaux électroniques (DME), le cas où des collaborateurs trop curieux accèdent au dossier de patients, les obligations de notification en cas de fuite de donnée, et le risque de brèche par des tiers.
Les dossiers médicaux ont une valeur considérable sur le dark web, précisément parce qu'ils sont durables : contrairement à un numéro de carte bancaire volé, les antécédents médicaux d'un patient ne perdent pas de leur valeur en quelques mois.

Ce qui fait défaut dans les formations génériques : parler de « protection des données » de manière abstraite n'aide pas un professionnel de santé à identifier les processus cliniques les plus exposés. Un poste de travail partagé, un portail patient resté ouvert, un coup d'œil indiscret au dossier d'un collègue : c'est là que les informations médicales protégées sont réellement exposées, et la formation doit correspondre à cette réalité.

Un contenu de formation adapté au métier, mais aussi au niveau d'expertise

Adapter la formation à un secteur d’activité est déjà un grand pas en avant, mais ça ne suffit toujours pas.

Prenons l'exemple d'un hôpital : médecins, administrateurs informatiques et direction générale sont tous exposés aux mêmes risques HIPAA, mais leurs surfaces d’attaque et leurs niveaux de maîtrise technique sont très différents.

Une bonne formation devrait tenir compte de ces paramètres avec une segmentation par secteur d’activité, fonction, ancienneté et niveau de maîtrise. Cela implique d’évaluer les connaissances des nouveaux arrivants, de proposer des sessions de remise à niveau continues à l'ensemble de l'équipe et de mettre en place des mesures correctives ciblées pour toute personne ayant échoué à une simulation de phishing.

Le timing compte aussi. Une leçon courte et ciblée délivrée immédiatement après un clic à risque est bien plus efficace qu'un module générique annuel envoyé à toutes les équipes en même temps, indépendamment de leur profil de risque.

Les difficultés à créer un contenu de formation adapté

Malgré les inconvénients des formations trop génériques à la cybersécurité, beaucoup d'entreprises continuent de les utiliser. Même les équipes sécurité ayant un budget dédié ont du mal à mettre en place des formations spécifiques avec le bon niveau de précision, car :

Cela prend du temps. Rédiger et mettre à jour une dizaine de séries de contenus en parallèle, classées par secteur d’activité, fonction et niveau d’expertise, dépasse les capacités de la plupart des équipes.
Les cadres réglementaires évoluent. Les règles de conformité changent tellement vite qu’il est difficile de suivre ; une nouvelle loi ou révision de cadre réglementaire peut rendre une formation obsolète quelques mois seulement après sa publication.
Des bibliothèques de contenu énormes ne résolvent rien. Les grandes bibliothèques de contenu clé en main (comme KnowBe4 par exemple) donnent l'impression de répondre à un besoin de formation spécifique grâce à une offre considérable. Mais le volume à lui seul ne garantit pas toujours la spécificité.

Riot Studio facilite la création de formations de sensibilisation sur mesure

Riot Studio permet aux équipes sécurité, conformité ou RH de créer des formations personnalisées qui correspondent exactement à leur réalité opérationnelle, plutôt que de s'appuyer sur une bibliothèque de modules génériques.

Mieux encore, c'est rapide : ce qui prenait auparavant des semaines à construire ne prend plus que quelques minutes. Riot met aussi régulièrement à jour sa bibliothèque de formations de base pour suivre les évolutions réglementaires : HIPAA, PCI DSS, RGPD, NIS2 ou encore OWASP.

Comment ça marche ?

Décrivez votre secteur d’activité, vos contraintes règlementaires et votre public cible en termes simples, et Studio vous génère une ébauche de formation adaptée à vos besoins. Cette approche est la même que celle utilisée par Albert, le coach en cybersécurité de Riot, qui affiche un taux de réussite supérieur à 91 %.
Vous pouvez aussi alimenter Studio avec un article d'actualité pertinent sur la cybersécurité, et l’outil créera la formation correspondante.
Vous gardez le contrôle tout au long du processus. Partez du contenu existant et fiable de Riot et adaptez-le à votre contexte, ou partez d'une page blanche si vous avez besoin de quelque chose d'entièrement nouveau.
La collaboration en temps réel permet aux équipes sécurité, conformité et RH d’élaborer ensemble une formation. Cette option peut s’avérer particulièrement utile lorsqu’une formation, comme celle sur la loi HIPAA, nécessite l’aval à la fois des équipes sécurité et juridique.
Une fois la formation prête, elle est diffusée directement dans les outils de messagerie instantanée habituels de vos collaborateurs ; Teams, Slack et Google Chat, sans effort d'intégration supplémentaire.

Résultat : des formations rapides et faciles à créer, fidèles à la réalité du quotidien de vos équipes : environnement réglementaire, poste et niveau d'expertise. Avec Studio, les responsables IT et sécurité n'ont plus à fouiller dans une vaste bibliothèque de formations en espérant trouver celle qui pourrait répondre à leurs besoins.

La formation sur mesure à la cybersécurité est un processus continu

Gardez en tête que créer la première version d'une formation propre à un secteur d’activité n'est que la première étape pour instaurer un vrai changement des comportements. Une fois votre formation mise en place, passez à la phase d’amélioration continue.

Vos apprenants auront leur propre avis sur ce qui fonctionne ou non. C'est en prenant ces retours au sérieux et en y répondant dans vos contenus que vous garderez une formation pertinente, au lieu de la laisser dépérir en un simple exercice annuel ennuyant.

Les cadres réglementaires évoluent, de nouvelles menaces apparaissent et vos équipes changent. Continuez à recueillir les retours de vos apprenants et à collaborer avec eux en continu pour proposer des contenus de formation à jour et pertinents. Avec Studio, cette tâche est très facile.

Une formation à la cybersécurité doit être ciblée et marquante

Pour susciter de réels changements de comportement, les formations à la cybersécurité doivent tenir compte à la fois du secteur d’activité de chaque participant et du poste qu’il occupe. Les contenus génériques et les simulations universelles ne suffisent pas, car les collaborateurs savent reconnaître quand une formation n’a pas été conçue pour eux.

La bonne nouvelle, c'est que la création de contenus sur mesure n’a pas à vous accaparer tout le temps, toute l'énergie ou le budget de votre équipe. Avec les bons outils, il est possible de mettre en place des formations adaptées à votre secteur d'activité, aux métiers et aux profils de risque.

Pour découvrir Studio, créer une formation sur mesure que vos équipes vont adorer avec des modules de sensibilisation spécifiques à chaque secteur d’activité, contactez l'un de nos experts.

FAQ

Qu'est-ce qu'une formation à la cybersécurité spécifique à un secteur d’activité ? C'est une formation de sensibilisation à la sécurité articulée autour des exigences réglementaires, des surfaces d'attaque et des processus opérationnels propres à un secteur donné. Par exemple, une formation orientée HIPAA pour le secteur de la santé, ou orientée sur les technologies opérationnelles (OT) pour l’industrie, plutôt qu'un contenu générique qui s’applique à tous.
Quels secteurs d’activité ont besoin d'une formation à la cybersécurité sur mesure ? Tous les secteurs ont besoin d'une formation spécialisée, en particulier quand des données sensibles ou des systèmes critiques sont en jeu : le secteur de la santé (HIPAA, données des patients), de la finance et des paiements (PCI DSS, données de cartes bancaires), l’industrie et les infrastructures critiques (sécurité OT, sécurité physique), ainsi que les équipes logicielles ou technologiques (codage sécurisé, risques liés à la supply chain). Les risques et les réglementations varient d'un secteur à l'autre, la formation générique n’est donc pas adaptée.
En quoi une formation sur mesure est-elle plus impactante ? Les collaborateurs s'impliquent davantage dans des scénarios dans lesquels ils se reconnaissent, et les auditeurs s'attendent de plus en plus à ce que les formations soient adaptées à des cadres réglementaires, des postes et des besoins spécifiques. Les formations génériques ont tendance à être vite oubliées et ne répondent souvent pas aux exigences réglementaires.
Faut-il un gros budget pour proposer des formations sur mesure ? Non, des outils comme Riot Studio sont conçus pour permettre aux équipes de créer en quelques minutes des formations personnalisées à partir d’un brief rédigé en termes simples ou d’un article de presse, sans avoir forcément une équipe dédiée ni un budget alloué important.
Qu'est-ce que Riot Studio ? Studio est l'outil de création de formations de Riot, qui permet aux équipes sécurité, conformité et RH de créer des formations à la cybersécurité spécialement pour leur équipe, leur secteur d’activité et leurs contraintes réglementaires.
Comment fonctionne Riot Studio ? Vous renseignez et décrivez votre secteur d’activité, les réglementations qui vous concernent et le public ciblé (ou vous insérez un article de presse pertinent) et Studio génère une ébauche de formation qui reprend le ton et la structure propres à Riot. Vous pouvez ensuite l'adapter, collaborer en temps réel avec vos équipes et la diffuser directement dans les outils habituels de vos collaborateurs.