Pourquoi le collaborateur doit devenir partie intégrante du Security Stack
Date de publication :
- 4 septembre 2026
L’IA pousse la cyberdéfense à la vitesse de la machine. La réponse n’est pas de retirer l’humain de l’équation, mais de transformer le jugement humain en capacité de sécurité — de traiter la couche humaine comme une partie du Security Stack.
Le rapport IBM Cost of a Data Breach 2026 qualifie cette année de « AI tipping point », et les chiffres expliquent pourquoi. Les modèles d’IA de pointe raccourcissent le délai entre la découverte d’une vulnérabilité et son exploitation, tandis que l’IA générative réduit le coût et l’expertise nécessaires pour lancer une attaque. Les attaques pilotées par l’IA ont augmenté de 56 % par rapport à l’année précédente et ont alourdi de 1,01 million USD en moyenne le coût d’une violation malveillante. Dans le même temps, le coût moyen mondial d’une violation a progressé de 12 % pour atteindre un record de 4,99 millions USD, inversant la baisse de l’an dernier — nous avons examiné ce que coûte une violation de données en 2026 et pourquoi le temps de détection en représente une si grande part, dans un article distinct.
Cela devrait déclencher plus qu’un nouveau cycle d’investissements en outils de sécurité. Cela devrait nous amener à reconsidérer qui — et quoi — a sa place dans le Security Stack.
L’IA ne rend pas l’utilisateur superflu. Elle rend le jugement des collaborateurs plus précieux.
Le phishing aboutit toujours à une décision humaine
Pour la quatrième année consécutive, le phishing (y compris le smishing et le vishing / les attaques par deepfake) a été le principal vecteur d’attaque initial dans l’étude d’IBM. À cela s’ajoute : le phishing vocal et par SMS était impliqué dans 17 % des attaques et a généré le coût moyen le plus élevé de tous les vecteurs, soit 5,29 millions USD. L’ingénierie sociale, y compris l’usurpation d’identité au helpdesk et la fatigue MFA, représentait 13 % supplémentaires. Parmi les attaques pilotées par l’IA, les deepfakes et les usurpations d’identité représentaient 45 % — la catégorie la plus importante.
Un message convaincant peut passer un filtre de messagerie. Une voix réaliste peut joindre un collaborateur directement par téléphone. Un attaquant peut combiner e-mail, SMS, Teams et un appel en un récit cohérent. À ce moment-là, il y a une décision humaine : réagir, vérifier, refuser, supprimer — ou signaler.
Trop longtemps, la cybersécurité a considéré ce moment avant tout comme une faiblesse à gérer. Mais il existe une autre façon de le voir. Les collaborateurs perçoivent des signaux que les systèmes techniques ne verront peut-être jamais : un appel suspect, la demande inhabituelle, la conversation étrange ou le message qui, simplement, ne semble pas juste.
Si ces observations peuvent être recueillies, analysées et reliées aux opérations de sécurité, les équipes deviennent une part active de la cyberdéfense. Le collaborateur, et le signal qu’il envoie, deviennent une partie de la solution plutôt qu’une partie du problème.
De la Security Awareness au Behavioral Defense Engineering
L’Awareness traditionnelle reste une base de connaissances importante. Mais le savoir seul n’équivaut pas à un comportement sûr sous pression. La vraie question est de savoir si quelqu’un reconnaît une attaque, réagit correctement et la signale rapidement — c’est pourquoi les formations Awareness seules ne suffisent pas.
Nous appelons l’amélioration systématique du comportement « Behavioral Defense Engineering », ou BDE. L’idée est d’améliorer le comportement à risque mesurable par des exercices réalistes et personnalisés sur plusieurs canaux d’attaque, tout en transformant les réactions et les signalements des collaborateurs en signaux de sécurité exploitables.
Une étude de terrain randomisée menée avec la Haute école de Lucerne — Économie (HSLU), financée en partie par Innosuisse, appuie cette approche. Parmi 539 collaborateurs répartis aléatoirement entre un groupe témoin, un groupe de formation, un groupe de phishing conventionnel et un groupe de spearphishing par IA, les exercices réalistes et personnalisés ont produit le plus grand changement de comportement : le taux de clic vers un site malveillant est passé de 20,4 % dans le groupe témoin à 8,9 % — 56 % de moins — et la saisie d’identifiants a reculé d’environ 60 %, de 9,8 % à 3,9 %.
Le second enseignement de l’étude compte tout autant. La formation a modifié l’attitude face au risque mais a le moins influencé le comportement, tandis que l’exposition réaliste a le plus modifié le comportement sans guère toucher à l’attitude. Ce sont des mécanismes distincts, et les auteurs s’attendent à ce qu’un programme combinant les deux soit additif, voire plus efficace. C’est l’argument pour conserver l’Awareness au sein du système plutôt que de la remplacer.
Il en résulte une boucle de sécurité différente.
Un collaborateur signale un message suspect. L’IA l’analyse et peut regrouper plusieurs signalements en un seul cas. Le signal est transmis aux processus SOC ou SOAR, où des actions automatisées peuvent bloquer des expéditeurs, supprimer des messages malveillants ou déclencher d’autres mesures de confinement. Dans le même temps, le collaborateur reçoit un retour immédiat — et la manière dont ce signalement se fait et ce qu’il contient fait une grande différence. Une attaque réelle peut alors être transformée en exercice sûr, même instantanément. Et des scénarios apparentés peuvent être réutilisés ensuite sur le phishing, le smishing, le vishing ou d’autres canaux.
Le résultat n’est pas simplement « plus de formation ». C’est un système dans lequel les collaborateurs, l’IA et les opérations de sécurité apprennent en continu des attaques.
La vitesse de la machine a besoin de signaux humains
Les conclusions d’IBM soulignent pourquoi la vitesse compte. Les organisations qui recourent largement à l’IA et à l’automatisation en sécurité ont réduit le coût des violations de 1,93 million USD en moyenne et raccourci de 65 jours le délai d’identification et de confinement par rapport à celles qui n’utilisent pas ces technologies. Pourtant, seules 36 % des organisations touchées font état d’un usage étendu sur l’ensemble du cycle de vie de la sécurité, et l’adoption reste inégale.
Une défense à la vitesse de la machine ne doit toutefois pas signifier une défense uniquement par les machines.
Le Behavioral Defense Engineering est conçu pour relier la couche humaine au reste de l’architecture de sécurité. Avec des principes API-first et AI-first, et des options de déploiement prenant aussi en charge les environnements on-premises, les signalements des collaborateurs, l’analyse comportementale, les simulations et le retour d’information peuvent s’intégrer aux workflows SOC existants plutôt que de constituer une énième plateforme d’Awareness isolée.
Le prochain Security Stack ne se compose donc pas uniquement d’EDR, de pare-feu, de systèmes d’identité, de SIEM, de SOAR et d’agents d’IA. Il inclut aussi les personnes qui reçoivent le message, répondent au téléphone et remarquent que quelque chose ne va pas.
L’objectif ne devrait pas être de gérer les collaborateurs comme le problème. Il devrait être de concevoir l’environnement dans lequel ils peuvent devenir une partie de la solution.
L’Awareness crée le savoir. Le Behavioral Defense Engineering transforme le jugement et l’action en défense. Et à l’ère de l’IA, c’est la vitesse qui décide.
FAQ : la couche humaine dans le Security Stack
Qu’est-ce que la couche humaine dans le Security Stack ?
La couche humaine est l’ensemble des décisions que prennent les collaborateurs lorsqu’une attaque les atteint directement — réagir, vérifier, refuser, supprimer ou signaler. Elle devient partie du Security Stack lorsque ces décisions et ces signalements sont recueillis comme des signaux et reliés aux opérations de sécurité, au lieu d’être traités uniquement comme un résultat de formation.
L’humain est-il le maillon faible de la cybersécurité ?
— premise rejected without the unapproved frame line Non. Cette façon de voir décrit un programme qui n’a jamais donné aux collaborateurs les moyens de contribuer. Ils perçoivent ce que les contrôles techniques ne voient pas — un appel étrange, une demande déplacée — et dès lors que signaler est simple et valorisé, ils deviennent la couche de détection la plus rapide dont dispose une organisation.
Qu’est-ce que le Behavioral Defense Engineering (BDE) ?
Le Behavioral Defense Engineering (BDE) est l’amélioration systématique du comportement à risque mesurable. Il associe des exercices réalistes et personnalisés sur plusieurs canaux d’attaque à une boucle qui transforme les réactions et les signalements des collaborateurs en signaux de sécurité alimentant les processus SOC et SOAR. La formation Awareness est une composante du BDE, et non quelque chose que le BDE remplace.
En quoi le Behavioral Defense Engineering diffère-t-il de la formation Security Awareness ?
La formation Awareness change ce que les gens savent. Le BDE change ce qu’ils font sous pression, et le mesure. Les deux agissent par des mécanismes différents : dans une étude randomisée portant sur 539 collaborateurs, la formation a modifié l’attitude face au risque mais a le moins influencé le comportement, tandis que les exercices réalistes ont le plus modifié le comportement sans guère toucher à l’attitude. Un programme a besoin des deux.
Comment les signalements des collaborateurs parviennent-ils au SOC ?
Un collaborateur signale un message suspect. L’IA l’analyse et regroupe les signalements apparentés en un seul cas. Le signal rejoint les processus SOC ou SOAR existants, où des actions automatisées peuvent bloquer des expéditeurs, supprimer des messages malveillants ou déclencher un confinement. Le collaborateur reçoit un retour immédiat, et l’attaque réelle peut être transformée en exercice sûr.
Sources
IBM, Cost of a Data Breach Report 2026 – The AI tipping point.
Pugnetti, C. and Stacho, P. (2025). Improving Cyber Risk Behavior through AI-Enabled Spearphishing – A Comparative Analysis. Institute of Financial Services Zug IFZ, Lucerne School of Business (HSLU), and Cyberdise AG. Funded in part by Innosuisse, grant Innocheck 73275.1 INNO-ICT.
CYBERDISE, Behavioral Defense Engineering press release, June 2026.
CYBERDISE, BDE security engineer use-case materials.
