N'aurions nous pas le même souci en cyber que le tri sélectif ?

Le carton souillé, poubelle jaune ou noire... ou bleue... ou verte ?

Souvenez-vous du tri sélectif à ses débuts.

C’était un vrai casse-tête !

Il fallait être capable de connaître toutes les subtilités pour ne pas se tromper :

• Papier ? Oui, mais pas s’il est gras.

• Carton ? Oui, mais pas s’il a touché une pizza.

• Aluminium ? Oui, mais pas s’il est collé à du plastique.

• Pot de yaourt ? Propre ou sale ?

Bref : un cauchemar pour s'y retrouver sachant qu'en plus les règles changeaient selon la commune (voire l'immeuble).

Résultat ? Peu de gens triaient.

Pas par mauvaise volonté, mais parce que c’était trop complexe, trop contraignant.

Donc, de peur de mal faire et de mettre le carton dans la poubelle à carton, alors qu'il avait une rondelle de tomate séchée dessus, les gens préféraient le mettre par défaut dans la poubelle principale.

Le système reposait sur l’effort individuel, sur la capacité de chacun à comprendre, se rappeler et exécuter des règles changeantes.

Un système, je pense, conçu par des ingénieurs :

"OK les gars c'est simple, de notre côté, on a créé des lignes de traitement par catégorie de déchets très spécifiques pour optimiser la chaîne, donc on va simplement demander aux gens de trier pour mettre le bon produit devant la bonne chaîne. Allez Micheline, tu nous fais 2 ou 3 affiches de communication là dessus et ça roule !"

Mais est-ce qu'on s'était mis à la place de l'utilisateur ?

Ok une bouteille de verre ça s'identifie bien (quoique attention un verre d'eau cassé c'est pas la même chose !)... mais entre les différents emballages alimentaires, le sujet est beaucoup plus complexe.

Les résultats n'étaient pas terribles au départ.

Et puis un jour, tout a changé. Les consignes se sont simplifiées.

On a pu mettre tout le papier, les cartons, l'aluminium, les conserves dans la même poubelle.

Les centres de tri se sont modernisés, les machines ont pris en charge une partie de l’effort.

Résultat : le tri est devenu pour beaucoup plus de personnes un réflexe.

Parce qu’il est devenu simple, automatique, presque naturel.

Et cerise sur le gâteau, les autocollants distribués pour les coller sur les poubelles et avoir le rappel de la bonne consigne au moment d'ouvrir la poubelle, un bon petit nudge bien utile ! 😉

QUEL LIEN AVEC LA CYBER ?

Pour moi le lien est très évident ! Pas pour vous ?

La vision d'une équipe cyber, composée d'ingénieurs :

"OK les gars c'est simple, on met en place des outils pour traiter les spams, d'autres les mails de phishing (mais attention on a ceux avec les trojans, les ransomwares, les vols d'identifiants...). Bon on va demander aux utilisateurs d'analyser les e-mails (adresse, lien, url de redirection...) et de nous les remonter si besoin via le canal approprié :

• Spam on ne remonte pas

• Phishing via le bouton "Report"

• Tentative de fraude par un ticket au support

• ....

Comme ça, le bon message arrive dans la bonne équipe pour traitement"

Et suite à cela, on entend de ces équipes :

"Mais c'est dingue cela, les gens ne comprennent rien ! Ils nous envoient tout, même un spam... on ne va pas tout traiter non plus !"

C'est strictement la même chose :

on reporte sur les épaules de l'utilisateur le fait de faire la bonne analyse, le bon tri pour mettre le message dans la bonne poubelle (pardon, le bon canal)

On multiplie les consignes, les exceptions, les nuances.

Et ensuite, on s’étonne que les gens “ne fassent pas attention”.

Mais le problème ne vient pas d’eux.Il vient de la conception du système.

Tant qu’on repose la sécurité sur la vigilance permanente de l’humain, on se condamne à

l’échec.

Comme le tri sélectif à ses débuts.

J'ai pris l'exemple des e-mails... mais pour la classification des documents, c'est la même chose !

Simplifier pour transformer

Ce qui a fait décoller le tri, ce n’est pas une campagne d’affichage plus agressive.

C’est la simplification du geste. Une seule poubelle. Une consigne claire. Le reste, c’est la technologie et les infrastructures qui s’en sont chargées.

La cybersécurité devrait suivre la même logique.

Au lieu de multiplier les règles, on devrait concevoir et investir dans des outils qui automatisent au maximum le traitement (que ce soit en amont par une meilleure détection des e-mails malveillants mais également en aval pour être capable d'automatiser le traitement des e-mails remontés par les utilisateurs... tous les e-mails remontés !)

Ce n’est pas à l’utilisateur de devenir un expert.

C’est au système de lui rendre la sécurité évidente.

À quand le compagnon capable d'analyser en temps réel nos e-mails pour nous suggérer la bonne poubelle de tri, mais de manière efficiente ?

Le déclic du tri… et celui de la cyber

Le jour où trier est devenu aussi simple que jeter, les gens ont adhéré.

Le jour où être cybersécurisé sera aussi simple qu’envoyer un mail, ils adhéreront aussi.

En attendant, notre rôle dans la sensibilisation n’est pas d’en rajouter une couche de complexité et de venir avec nos "Faut pas ceci, faut pas faire cela...".

C’est d’aider à rendre le geste juste plus simple, plus clair, plus humain.

Parce qu’en matière de changement de comportement, la simplicité n’est pas un détail.

C’est le moteur de l’adoption.

Et en cyber, il faut se l'avouer, on est loin d'être les meilleurs de la simplification !

👉 Alors la prochaine fois que vous souhaitez demander quelque chose à vos utilisateurs, pensez simplement à l'image des poubelles de tri 😉