Un lundi matin, le DSI d’une PME industrielle pose sa démission. Motif : depuis deux ans, il alerte sur le sous-effectif de son équipe. Depuis deux ans, le recrutement est reporté. Trois semaines plus tard, un rançongiciel paralyse l’entreprise. Les correctifs de sécurité n’avaient pas été appliqués depuis six mois. Personne n’avait eu le temps.
La faille n’était pas technique. Elle était humaine et organisationnelle. Et c’est le cas de la majorité des incidents : 60 % des brèches confirmées en 2025 impliquaient une action humaine, un clic, un appel, un identifiant réutilisé (Verizon, DBIR 2025). Et 8 % des employés concentrent 80 % des incidents. Le problème est localisé, identifiable, et donc adressable. À condition que le comité de direction s’en saisisse.
Ce qu’on appelle « facteur humain » en cybersécurité, et pourquoi cette expression est trompeuse
Quand on dit « facteur humain », beaucoup de dirigeants entendent « le salarié qui a cliqué sur un mauvais lien ». C’est réducteur. Le facteur humain en cybersécurité recouvre trois dimensions distinctes.
L’erreur individuelle. Un clic sur un lien piégé, un RIB envoyé sans vérification, un mot de passe réutilisé entre compte personnel et accès professionnel. Le Verizon DBIR 2025 le confirme : même avec des programmes de sensibilisation, le taux de clic sur les simulations de phishing plafonne à 1,5 %. Ce n’est pas un échec de formation. C’est un plancher humain.
La manipulation. Phishing ciblé, fraude au président, deepfakes audio. L’attaquant exploite la confiance, la hiérarchie, l’urgence. Les deepfakes sont déjà identifiés dans 9 % des attaques recensées en France en 2025 (baromètre CESIN / OpinionWay). Ce n’est plus un risque futur.
La faille organisationnelle. Des accès jamais révoqués quand un salarié part. Des règles de sécurité que personne n’a le temps d’appliquer. Une équipe IT en sous-effectif qui choisit entre maintenir les systèmes et surveiller les alertes. En appliquant le cadre NIST Cybersecurity Framework sur des périmètres réels, on constate que cette faille organisationnelle est presque toujours la première cause de défaillance. Et l’organisation, c’est le dirigeant qui en est responsable.
Trois scénarios concrets qui arrivent chaque semaine
Le mail qui ressemble à celui du patron. Vendredi 17h, la comptable reçoit un mail du dirigeant : virement urgent, confidentiel, à exécuter avant la fermeture des banques. L’adresse est presque identique, à une lettre près. Elle exécute. Le lundi, le dirigeant découvre qu’il n’a jamais envoyé ce mail. En France, la fraude par manipulation a représenté plus de 380 millions d’euros de préjudice en 2024, selon l’Observatoire de la sécurité des moyens de paiement (Banque de France). Votre entreprise dispose-t-elle d’une procédure de double validation pour les virements inhabituels ?
Le logiciel téléchargé pour dépanner. Le rapport de l’ANSSI (Panorama de la cybermenace 2025) décrit le cas : en février 2025, plusieurs entreprises agroalimentaires découvrent qu’un faux navigateur web, installé par des salariés, aspirait silencieusement tous les mots de passe depuis des semaines. Le salarié n’a pas commis de faute intentionnelle. C’est l’absence de règle claire sur l’installation de logiciels qui a ouvert la porte. Vos salariés savent-ils ce qu’ils ont le droit d’installer sur leur poste professionnel ?
L’ancien salarié qui a toujours accès. Un collaborateur quitte l’entreprise. Personne ne désactive ses accès. Trois mois plus tard, ces identifiants sont récupérés par un attaquant. Le Verizon DBIR 2025 rappelle que 22 % des brèches commencent par l’utilisation d’identifiants volés. Avez-vous un processus de désactivation des accès au départ d’un salarié ou d’un prestataire ?
Quand le manque de moyens devient la première faille
C’est l’un des schémas les plus fréquents que l’on observe en PME, et il se traduit presque toujours par le même enchaînement.
L’équipe IT demande un recrutement pour maintenir les systèmes à jour et surveiller les alertes. Le dirigeant reporte. L’année d’après, il reporte encore. L’équipe tourne en sous-effectif, fait tenir l’existant, mais n’a plus la bande passante pour appliquer les mises à jour critiques ni vérifier les sauvegardes. Les règles de sécurité existent sur le papier. Personne n’a le temps de les mettre en œuvre.
L’étude ISC2 2025 confirme l’ampleur du problème : 33 % des organisations n’ont pas le budget pour dimensionner correctement leurs équipes de sécurité, et 88 % des répondants déclarent avoir subi au moins une conséquence significative liée à ce manque de ressources. Pour les PME, une étude Sophos le mesure concrètement : 74 % des attaques par rançongiciel aboutissent au chiffrement des données dans les petites structures, contre un taux bien plus bas dans les grandes entreprises. Moins de ressources pour détecter, moins de ressources pour réagir.
Des salariés responsabilisés aux conséquences, pas juste sensibilisés aux risques cyber
La formation annuelle PowerPoint de 45 minutes ne change pas les comportements. Le Verizon DBIR 2025 le montre : le taux de clic sur les simulations de phishing reste stable à 1,5 %, quel que soit le programme de formation.
Mais le même rapport révèle un chiffre plus intéressant : les salariés récemment formés signalent les mails suspects à un taux de 21 %, contre 5 % sans formation récente. Quatre fois plus. La vraie valeur de la sensibilisation n’est pas d’empêcher tous les clics. C’est de créer un réseau humain de détection.
Pour que ce réseau fonctionne, deux conditions. Première : le droit à l’erreur. Si celui qui clique est blâmé, personne ne signalera rien. Deuxième : la responsabilisation. Un salarié qui comprend qu’une attaque peut mettre l’entreprise à l’arrêt et menacer son emploi n’a pas besoin qu’on lui répète de ne pas cliquer. Il devient acteur de la sécurité, pas simple destinataire de consignes. Dans les organisations où cette culture est portée par la direction, on observe un changement de posture mesurable en quelques mois.
Le dirigeant, premier facteur humain de l’entreprise
Le dirigeant qui utilise son téléphone personnel pour tout. Qui partage ses identifiants « pour aller plus vite ». Qui refuse la double authentification. Qui se connecte au Wi-Fi de l’hôtel sans VPN. Si le sommet ne respecte pas les règles, personne ne les respectera.
Le dirigeant est la cible la plus exposée de l’entreprise. C’est lui qui a accès à tout, c’est son nom qui est utilisé dans les fraudes au président, et c’est souvent lui qui a les pratiques de sécurité les plus faibles, parce que personne n’ose lui dire non. Les réflexes de base existent, ils tiennent en quelques principes simples, et ils s’appliquent au dirigeant avant tout le monde.
Cybersécurité et facteur humain : comment structurer la réponse de votre entreprise
Le facteur humain ne se règle pas par une checklist. Il se règle par une décision de structuration, portée par la direction .
- Exiger un plan, pas une liste: le dirigeant doit exiger de son DSI ou de son prestataire IT un plan d’action structuré avec objectifs, délais et suivi. Trois volets minimum : gestion des accès, sensibilisation continue avec indicateurs, capacité de détection et de réaction.
- Mobiliser les managers : la cybersécurité est un sujet de chaque service. Le manager commercial qui tolère les mots de passe partagés sur un fichier Excel expose l’entreprise autant qu’une faille technique. Chaque manager est un relais. Le dirigeant doit les mobiliser, pas les contourner.
- Suivre comme on suit un budget : Un point cybersécurité une fois par trimestre au comité de direction, même vingt minutes, envoie un signal fort à toute l’organisation (À lire aussi : KPI et OKR : deux outils, un seul système de pilotage).