Beaucoup de mesures d'awareness souffrent du même vieux problème : elles sont correctes, importantes, et malheureusement souvent aussi passionnantes qu'un mode d'emploi de destructeur de documents.
C'est précisément ce qui rend l'approche de notre Cyber Snack si intéressante. Au lieu de submerger les collaborateurs de règles, il met le sujet en scène comme un Cyber Security Game Show : quatre catégories, des points, des médailles et un trophée à la fin.
Au centre se trouvent quatre thèmes volontairement proches du quotidien : social engineering, réseaux sociaux, mots de passe et malware.
Pourquoi une awareness ludique fonctionne mieux
Le vrai point fort n'est pas l'effet show. Le point fort, c'est que les collaborateurs ne se voient pas seulement expliquer les risques : ils doivent les reconnaître, les comparer et les classer eux-mêmes. C'est cela qui reste.
Pour les CISOs et awareness managers, c'est plus qu'une question de style. Le Verizon DBIR 2025 montre que le facteur humain continue de jouer un rôle dans environ 60 % des violations de sécurité, et que les attaques de social engineering restent un problème central. Pour rendre l'awareness efficace, il ne faut donc pas seulement transmettre du savoir, mais entraîner le jugement.
C'est exactement ce que fait le Cyber Snack. Il ne travaille pas avec la prochaine slide d'avertissement fatiguée, mais avec de petites situations de décision. C'est plus intelligent didactiquement, car les attaques du quotidien ressemblent rarement à des cyberattaques. Elles ressemblent plutôt à une histoire plausible, un post inoffensif, un clic rapide ou une pièce jointe tout à fait normale.
Quatre champs de risque présents en permanence au quotidien
Ces quatre thèmes sont abordés et transmis de manière ludique :
1. Social Engineering
Les joueurs évaluent quelles méthodes d'attaque sont les plus fréquentes en pratique : phishing, pretexting, MFA bombing, tailgating ou baiting. Cela déplace le regard des définitions vers l'évaluation réelle du danger, exactement là où les erreurs décisives se produisent ensuite.
2. Social Media
Les risques sont volontairement banals : un mot de passe sur un post-it en arrière-plan, un badge d'entreprise publié, un post de vacances avec une information d'absence explicite. C'est précisément ce qui rend la catégorie forte : elle montre que le danger naît souvent non pas de l'ignorance, mais de l'inattention.
3. Mots de passe
Pas de leçon moralisatrice, mais une perception réaliste de la robustesse des mots de passe. Les joueurs associent différents types de mots de passe à une durée estimée de craquage, parce que les personnes comprennent souvent mieux les durées que les règles abstraites de mots de passe. Le script utilise volontairement des comparaisons parlantes, du clignement d'oeil au séquoia géant.
4. Malware
Ici aussi, l'objectif n'est pas d'apprendre des termes techniques par coeur, mais de reconnaître des symptômes. Des fichiers chiffrés avec demande de rançon, une avalanche de publicités sur le bureau, une webcam qui s'active toute seule : les joueurs doivent déterminer s'il s'agit de ransomware, adware ou spyware. Plus proche de la réalité que n'importe quelle définition sèche.
Ce que les CISOs et awareness managers peuvent en retenir
La vraie valeur de ce format ne réside pas dans le fait qu'il soit « divertissant ». Le divertissement seul ne protège aucune organisation. Sa valeur tient au fait qu'il sert ici d'ouvre-porte à l'attention, et dans l'awareness, l'attention n'est pas un supplément agréable, mais la condition de base.
Le Cyber Snack traduit des risques abstraits en situations concrètes du quotidien. Il rend visible qu'une attaque ressemble parfois à une pièce jointe, parfois à un post de vacances, parfois à une demande MFA apparemment anodine. C'est précisément pourquoi un format ludique peut être stratégiquement plus pertinent que la prochaine formation obligatoire classique avec index levé.
Conclusion
Quand l'awareness est construite comme un game show, le sujet n'est pas banalisé, il est mieux transmis. Et c'est cela qui compte au final : non pas que les collaborateurs puissent réciter une définition, mais qu'ils deviennent méfiants au bon moment.