Cybervécu : on ne vous raconte pas l’attaque, on vous la fait vivre.

Temps 1

Apprendreposer la règle et les mots

Un cours court, animé par Roomy, dit ce qu'est l'hameçonnage, à quoi sert la double authentification, ce que le RGPD attend de vous. Cinq minutes, à son rythme, entre deux mises en situation.

• 
  Le minimum utileLe strict nécessaire pour comprendre ce qui se joue. Une notion qui ne sert dans aucune décision n'est pas au programme.
• 
  Court, découpé, rejouableDes modules brefs qu'on termine. Un cours abandonné en route n'apprend rien : la complétion est la première chose que vous verrez.
• 
  L'obligation aussiUn module RGPD, parce que la sensibilisation est une obligation avant d'être une bonne idée.

Associer texte, image et interaction enrichit la compréhension, à condition que chaque élément porte une information utile. Ce qui décore sans informer dégrade l’apprentissage. Mayer (2021), Moreno & Mayer (2000)

Le cours ne conditionne jamais la mise en situation. On peut très bien jouer l’immersion d’abord et lire la règle ensuite : c’est même souvent ce qui marche le mieux.

Temps 2

Vivredécider sous pression, sans conséquence réelle

On vous place dans des situations d'attaque, de doute, de routine. Des situations plus ou moins à risque, où vous pouvez vous tromper face à une simulation, sans aucune conséquence réelle.

1. 1
   Immersion et contexte

   Une scène métier crédible, un objectif à tenir, une contrainte de temps. Vous êtes dedans avant d'avoir compris que c'est un exercice.

2. 2
   Explication immédiate

   Après la décision seulement : l'indice que vous auriez pu voir, les chiffres, la règle de vérification, le canal de signalement. Court, et relié à ce que vous venez de faire.

3. 3
   Mini-jeu d'ancrage

   Une activité brève qui oblige à réutiliser la règle pour réussir, et qui allège la séquence. Le jeu ancre, il ne décore pas.

L’apprentissage par l’essai est l’un des mieux documentés en sciences de l’apprentissage. On retient ce qu’on a décidé, pas ce qu’on a lu. Kapur (2008), Freeman et al. (2014), PNAS

La scène s’adapte au secteur, au métier et aux cas de chacun, sur les 10 secteurs couverts et la bibliothèque transverse. Contextualiser ne consiste pas à changer un logo : un service comptable n’arbitre pas comme une équipe commerciale.

Temps 3

Ancrerfaire revenir le réflexe, partout

La même règle prend le visage d'une affiche, d'un message, d'un QR code, d'un quiz en direct. Réactiver la règle dans plusieurs contextes, c'est ce qui la rend disponible ailleurs que dans l'immersion.

• 
  Lundi matinUn message de Roomy dans Slack ou Teams, juste après une campagne.
• 
  Chaque moisUne immersion à jouer, calibrée sur le métier de chacun.
• 
  En continu, au murDes affiches de sensibilisation et de quishing : plus de 200 créations à faire tourner pour éviter la lassitude.
• 
  Dans la boîte mailUn signal qui prévient quand un message paraît étrange, au moment où il arrive.
• 
  Quelques fois par anUne simulation de quishing (et bientôt d'hameçonnage), non culpabilisante. Et un quiz en direct, exceptionnellement.

Sans réactivation, une large part d’une information neuve s’efface en quelques jours. La mémoire tient par réexposition espacée, pas par une dose unique. Ebbinghaus (1885), Cepeda et al. (2006)

Permanent ne veut pas dire incessant : un flux trop dense devient du bruit. La permanence recherchée est une disponibilité organisée, et la lassitude se mesure comme le reste.

Temps 4

Mesurersavoir si quelque chose a bougé

Chacun des trois temps précédents laisse une trace chiffrée, et ces traces se lisent ensemble : par équipe, par pôle, par secteur, mois après mois.

• 
  Ce qui a été apprisComplétion des modules, temps réel passé, score au quiz. La première question reste la plus bête : le cours a-t-il été terminé ?
• 
  Ce qui a été décidéRéussite de l’immersion, décision prise sous contrainte, taux de scan sur les QR codes piégés envoyés en conditions réelles (le taux de clic arrive avec les simulations d’hameçonnage).
• 
  Ce qui a été signaléLe taux de signalement, avec ses faux positifs. Un signalement massif dont on ne mesure pas les faux positifs ne prouve pas une vigilance juste.

Ces familles d’indicateurs se lisent côte à côte et ne se remplacent jamais : un bon taux de complétion ne prouve aucun transfert, et un score élevé ne dit rien de ce qui se passera un mardi à 17 h.

Ces indicateurs servent à piloter, pas à noter les personnes. Les vues nominatives sont un réglage, jamais un défaut, et le classement peut rester collectif, anonyme ou désactivé.