11/04/2025
Cybersecurity Insights
Sensibilisation à la cybersécurité : les enjeux de la gamification
Les limites de la sensibilisation traditionnelle
Les méthodes de sensibilisation prennent souvent la forme d’une conférence, d’une documentation, d’une présentation, ou encore d’un cours en ligne, etc. Il s’agit d’utiliser des moyens courants et connus de tous, par le biais desquels on souhaite transmettre des connaissances en cybersécurité.
Mais ces méthodes traditionnelles ne parviennent pas toujours à embarquer efficacement l’ensemble des participants, les rendant passifs face au processus d’apprentissage. Déjà vécu comme une contrainte par la plupart des participants, un format traditionnel peut renforcer cet a priori négatif et rendre la sensibilisation contre-productive. Plusieurs études confirment que ces méthodes peinent à toucher l’ensemble des participants et à les motiver à changer leurs comportements.
Quand le jeu entre au service de la sensibilisation
Face à ce désamour, deux concepts ont émergé ces dix dernières années. Il s’agit des « Serious Games » et de la « gamification » intégrant à différents degrés le concept de jeu dans un cadre éducatif.
D’une part, un « Serious Game » est, comme son nom l’indique, un « jeu sérieux ». Contrairement à un jeu traditionnel, sa finalité n’est pas l’amusement ou le divertissement, mais plutôt l’apprentissage. Il se doit donc d’osciller entre des éléments divertissants (résolution d’énigmes, de défis, implication dans l’histoire) tout un gardant le cap sur les savoirs qu’il doit transmettre. C’est cet équilibre, s’il est respecté, qui permettra au Serious Game d’être une réussite. Il peut prendre la forme d’un escape game, d’un jeu de société, d’un jeu vidéo, etc.
D’autre part, on appelle « Gamification » le processus d’amélioration de services, incluant des éléments motivants afin de (re)créer une expérience de jeu et d’influencer le comportement de ses utilisateurs. En d’autres termes, il s’agit d’ajouter dans un contexte qui n’en possède normalement pas, des éléments propres au jeu.
Voici une liste non-exhaustive de ces « éléments » :
- Système de classement et de points
- Badges
- Personnalisation des avatars
- Système progressif de niveaux
- Système de récompenses
- Feedback immédiat
Pour ce qui est de l’efficacité de ces méthodes, et en comparant les résultats de plusieurs études, il est possible d’affirmer que l’utilisation d’une méthode ludique impacte fortement et positivement :
- La motivation et la confiance en soi
- L’engagement
- L’apprentissage des participants et donc, l’adoption des bons gestes.
Dans les études comparatives menées sur le sujet, les personnes interrogées déclarent à hauteur de 80% préférer les méthodes ludiques.
Motivation, apprentissage et comportement : trois éléments à ne pas négliger
Bien que les Serious Games et la Gamification soient des alternatives sérieuses et pertinentes, leur intégration ne doit pas être laissée au hasard. L’objectif initial d’une session de sensibilisation à la cybersécurité est de pousser les participants à prendre conscience de l’importance de la cybersécurité mais aussi de les motiver à changer leur comportement en adoptant les bonnes pratiques au quotidien.
Si les méthodes traditionnelles ont du mal à atteindre ces objectifs, c’est peut-être parce qu’elles n’influencent pas assez sur les trois éléments clés : motivation, comportement et apprentissage.
Lorsqu’ils sont adressés, ces éléments forment un cercle vertueux. Renforcer la motivation des participants grâce à un environnement stimulant affectera positivement leur apprentissage dans la durée, ce qui leur donnera également la confiance en eux nécessaire pour oser changer leurs comportements et habitudes.
En résumé, utiliser de la gamification pour simplement créer l’illusion d’un jeu, sans profondeur, se révèlera contre-productif ou simplement infantilisant.
Et Almond dans tout ça ?
Quoi de mieux pour apprendre, que de passer à la pratique ?
En partant de ce constat, Almond a développé une nouvelle offre de sensibilisation à la cybersécurité : le Cyber Game.
Inspiré de l’Escape Game, l’objectif est de plonger les participants dans une expérience immersive et réaliste autour de la cybersécurité. L’enjeu n’est pas de s’échapper d’une salle, mais de prévenir une intrusion malveillante avant qu’elle ne compromette les systèmes de l’entreprise.
Notre Cyber Game se concentre sur les bonnes et mauvaises pratiques en sécurité informatique. Le scénario ainsi que les énigmes confrontent les participants à leurs gestes du quotidien dans le cyberespace, leur permettant de questionner leur niveau de vigilance. Ces énigmes s’articulent autour d’éléments physiques (agenda, téléphone, portable, cadre photo, etc…) et digitaux (adresse mail, compte sur les réseaux sociaux, sms, etc…).
A la fin du chronomètre , les participants sont invités à participer à un quiz interactif afin de renforcer et consolider les notions abordées durant les 45 minutes de jeu. Ils reçoivent également un diplôme pour récompenser leur participation et leur engagement.
Sources
- Al-Daeef, et al. “Security Awareness Training: A Review.” Proceedings of the World Congress on Engineering, vol. 1, 2017.
- Alotaibi et al. “A Review of Using Gaming Technology for Cyber-Security Awareness.” International Journal for Information Security Research, vol. 6, no. 2, 2016.
- Aloul, A. Fadi. “The Need for Effective Information Security Awareness.” Journal of Advanced in Information Technology, vol. 3, no. 3, 2012, https://doi.org/10.4304/jait.3.3.176-183
- Alruwaili, Ahmed. “A Review of the Impact of Training on Cybersecurity Awareness.” International Journal of Advanced Research in Computer Science, vol. 10, no. 5, 2019, https://doi.org/10.26483/ijarcs.v10i5.6476
- Bada, Maria, et al. “Cyber Security Awareness Campaigns: Why Do They Fail to Change Behaviour?” International Conference on Cyber Security for Sustainable Society, 2015.
- Deterding et al. From Game Design Elements to Gamefulness: Defining “Gamification.” 2011, https://doi.org/10.1145/2181037.2181040.
- Gwenhure, and Rahayu. “Gamification of Cybersecurity Awareness for Non-IT Professionals: A Systematic Literature Review.” International Journal of Serious Games, vol. 11, no. 1, 2024, https://doi.org/10.17083/ijsg.v11i1.719.
- Joint Task Force Transformation Initiative. “NIST SP 800-39: Managing Information Security Risk: Organization, Mission, and Information System View.” NIST, 2011, https://doi.org/10.6028/NIST.SP.800-39.
- Hammady, Ramy, and Sylvester Arnab. “Serious Gaming for Behaviour Change: A Systematic Review.” Information, vol. 13, no. 3, 2022, https://doi.org/10.3390/info13030142.
- Laamarti et al. “An Overview of Serious Games.” International Journal of Computer Games Technology, vol. 2014, no. 1, 2014, https://doi.org/10.1155/2014/358152.
- Rieff, Iris. Systematically Applying Gamification to Cyber Security Awareness Trainings A Framework and Case Study Approach. TU Delft, https://repository.tudelft.nl/record/uuid:bf832ca0-91d9-4be1-9a25-fe284c23d115
- Sharif, and Ameen. “A Review on Gamification for Information Security Training.” International Conference of Modern Trends in Information and Communication Technology Industry, 2021
- Ullah et al. “Serious Games in Science Education: A Systematic Literature Review.” Virtual Reality & Intelligent Hardware, vol. 4, no. 3, 2022, pp. 189–209, https://doi.org/10.1016/j.vrih.2022.02.001.
- Zhonggen, Yu. “A Meta-Analysis of Use of Serious Games in Education over a Decade.” International Journal of Computer Games Technology, vol. 2019, 2019, p. 8, https://doi.org/10.1155/2019/4797032
- SANS Institute (2019), SANS Security Awareness Report
https://www.prnewswire.com/news-releases/sans-security-awareness-report-highlights-the-rising-era-of-awareness-training-300885660.html - « Evaluating the effectiveness of a cybersecurity awareness campaign » (2019) – Computers in Human Behavior, Volume 96, pp. 102-111.
- « A systematic review of cybersecurity training effectiveness » (2018) – Journal of Information Security, Volume 9, Issue 2, pp. 147-164.
- « Cybersecurity awareness and behavior: A study of university students » (2017) – Cyberpsychology, Behavior, and Social Networking, Volume 20, Issue 10, pp. 683-691.
Adèle BRUNAGEL
Consultante Governance, Risks & Compliance
Florence EXMELIN
Manager Governance, Risks & Compliance
