Apprendre la cybersécurité par l’immersion et par le test
On retient ce qu’on a dû retrouver soi-même.
Relire une règle donne l’impression de la savoir. Se tromper face à un faux mail, puis comprendre pourquoi, la grave. C’est le principe de l’apprentissage par la mise en situation et de l’effet de test, deux leviers parmi les mieux établis en sciences de l’apprentissage.
L’effet de test : se tester fait mieux retenir que relire
En 2006, les chercheurs Henry Roediger et Jeffrey Karpicke ont comparé deux groupes d’étudiants : l’un relisait un texte, l’autre s’entraînait à le restituer. Juste après, ceux qui avaient relu s’en sortaient un peu mieux. Une semaine plus tard, ceux qui s’étaient testés retenaient 61 % du texte, contre 40 % pour ceux qui l’avaient relu.
Pour la cybersécurité, la leçon est directe : une page qui explique le phishing s’oublie, une situation où l’on doit décider seul s’il faut cliquer reste.
L’immersion : apprendre dans le contexte où l’erreur arrive
Une attaque n’arrive jamais dans un cours. Elle arrive entre deux réunions, sous pression, dans une boîte mail pleine. L’immersion reproduit ce contexte : l’interface, l’urgence, l’interlocuteur pressé. Le réflexe appris là est celui qui ressortira le jour J.
Les quatre ingrédients d’une bonne mise en situation
- Une décision à prendre seul, pas une réponse à cocher parmi trois évidentes.
- Une conséquence visible : ce qui se passe si l’on clique.
- Une explication juste après, au moment où la question est encore vive.
- Du retour régulier : se retester à intervalles fait durer le souvenir.
Des situations, pas des diapositives
Chaque immersion enchaîne des blocs : un profil à vérifier, un appel, une décision. Voici à quoi ils ressemblent.
Comment ROOMCA applique l’immersion et le test
Des immersions courtes et réalistes
De 5 à 15 minutes : vraie boîte de réception, appel, SMS, QR code, faux virement. On décide, on voit la conséquence, on comprend.
Pas validé si pas réussi
Dans les cours Roomy Academy, une notion n’est validée que si la question de contrôle est réussie ou l’atelier terminé.
Des relances régulières
Campagnes avec échéance et relances cadencées, simulations de phishing au fil de l’année : on se reteste, on n’oublie pas.
Un débrief immédiat
Chaque immersion se termine par l’explication de ce qui s’est passé, et Roomy, le coach, répond aux questions.
Questions fréquentes
Qu’est-ce que l’effet de test ?
Le fait que chercher une réponse en mémoire renforce le souvenir davantage que relire la même information. Il est documenté depuis des décennies, notamment par Roediger et Karpicke (2006).
Une mise en situation, est-ce un piège tendu aux collaborateurs ?
Non : l’apprenant sait qu’il s’entraîne. L’objectif est de lui faire vivre la situation sans risque, avec l’explication juste après, pas de le prendre en défaut.
Combien de temps par mois faut-il prévoir ?
Quelques minutes suffisent : une immersion de 5 à 15 minutes, régulièrement, vaut mieux qu’une longue session par an.