Les formations pour sensibiliser à la cybersécurité ne sont pas un simple exercice de conformité. Désormais, elles s’imposent comme un outil indispensable pour maîtriser les risques cyber. Dans son dernier Rapport 2025 sur la sensibilisation et la formation à la sécurité, Fortinet démontre des avancées notables, même si certains domaines restent fragiles et exposent les entreprises aux risques.
Des collaborateurs conscients des risques liés à l’IA, mais plus ou moins bien préparés
Les menaces optimisées par IA ont activement contribué à faire évoluer la perception des enjeux de cybersécurité chez les collaborateurs et les décideurs. Près de neuf entreprises sur dix déclarent que l’utilisation de l’IA par les cybercriminels a permis aux collaborateurs de mieux comprendre l’importance de se former à la sécurité. Cependant, cette prise de conscience n’implique pas forcément la préparation adéquate. Seuls 40 % des décideurs estiment leurs collaborateurs réellement capables d’identifier, d’éviter et de signaler les cybermenaces utilisant l’IA.
La plupart des entreprises réagissent en formant leurs équipes à une utilisation appropriée des outils d’IA générative (GenAI), en surveillant et en limitant le partage de données sensibles, puis en formalisant les politiques de sécurité pour l’IA. Le défi réside désormais dans le déploiement et la cohérence de ces pratiques.
Persistance des menaces externes, progression des risques internes
Pour 40% des répondants, les menaces externes, les incidents du passé et les incidents sectoriels demeurent les principales motivations des entreprises à investir dans la sensibilisation à la cybersécurité. Ce qui change néanmoins, c’est l’augmentation des préoccupations liées aux risques internes. Plus d’un quart des entreprises attestent que les risques internes les poussent à adopter un programme de formation.
Les priorités en matière de formation reflètent cette évolution. Si la sécurité et la confidentialité des données restent prioritaires, les outils et menaces basés sur l’IA gagnent rapidement du terrain. Les entreprises cherchent désormais à adapter leurs formations aux risques réels, plutôt que de les considérer comme une simple norme de conformité.
La formation à la sécurité réduit de manière éprouvée et mesurable les incidents
L’une des conclusions clés du rapport est que la formation porte ses fruits. Selon le rapport, 67 % des entreprises enregistrent une réduction modérée ou significative des intrusions, des incidents et des piratages après avoir instauré des programmes de sensibilisation et de formation à la sécurité.
De nombreuses entreprises ont combiné les formations avec des simulations, des évaluations et des actions régulières pour consolider les acquis. Les formations, autrefois ponctuelles, s’inscrivent désormais dans des dispositifs visant à transformer les comportements sur le long terme et à contenir les risques.
Formations à la sécurité : le taux de complétion et la régularité restent les maillons faibles
Malgré des indicateurs et des résultats qui s’améliorent, la plupart des entreprises rencontrent encore des difficultés dans le suivi des formations. Seule une minorité affiche des taux de réussite élevés, tandis que près de sept décideurs sur dix jugent leurs collaborateurs insuffisamment sensibilisés aux enjeux de sécurité.
Ce décalage entre investissements et résultats escomptés s’explique en grande partie par des formations inachevées, peu actualisées ou mal adaptées à l’évolution rapide des menaces. Le rapport préconise des pistes concrètes : des modules plus courts et récurrents, clarifier les responsabilités en matière d’achèvement des cursus, un meilleur alignement entre les contenus de formation et les menaces réelles, et un soutien visible du top management. Plus que jamais, le recours à des micro‑formations régulières s’impose pour tenir le rythme des avancées de l’IA.
La sécurité, une affaire de culture d’entreprise
À en croire la majorité des dirigeants, la sensibilisation à la sécurité doit être perçue comme une responsabilité partagée à l’échelle de l’entreprise, et non plus l’apanage des fonctions IT ou sécurité. Presque tous se déclarent favorables à l’application de politiques pour encadrer les comportements à risque, surtout lorsqu’elles s’accompagnent d’une formation qui en détaille les enjeux.
Ce changement marque une évolution majeure. Désormais, une formation à la sécurité ne se limite plus à la validation d’un test : elle a pour objectif d’influencer les décisions au quotidien, de consolider les bons réflexes et de réduire les risques dans le cadre du travail.
Perspectives pour 2026 et au‑delà
Un constat s’impose : la formation et la sensibilisation à la sécurité constituent aujourd’hui un bouclier solide contre les incidents. Mais la montée en puissance de l’intelligence artificielle change la donne, tant du côté des cybercriminels que des entreprises qui l’adoptent. Parallèlement, les risques internes poursuivent leur progression. Trop souvent encore, l’efficacité des programmes de formation s’émousse, entravée par des taux de complétion atones ou des contenus obsolètes.
Face à ces défis, la formation doit s’inscrire dans la durée, s’adapter en permanence et être érigée en pilier central de la gestion des risques, bien au-delà du statut de simple projet annexe.
