Score de risque humain : comment mesurer le risque lié aux salariés

Les équipes sécurité connaissent par cœur leur délai de correctif, leur couverture EDR et le score CVSS de chaque vulnérabilité en attente. Mais demandez-leur de chiffrer le risque que représente la quatrième rangée de bureaux du service financier : la plupart n’ont aucun chiffre. Or le Verizon Data Breach Investigations Report 2026 indique que l’élément humain intervient dans 62 % des violations.

Le score de risque humain existe précisément pour corriger ce déséquilibre : un chiffre unique, mis à jour en continu, qui fait pour les personnes ce que le CVSS fait pour les logiciels. Il rend le risque comparable, suivable et actionnable. Ce guide explique ce qui doit entrer dans le score, comment construire un score qui résiste au contact du réel, et les erreurs qui transforment un indicateur utile en objet décoratif.

Pourquoi chiffrer le risque humain ?

Trois raisons, par ordre d’importance croissante.

La priorisation. Aucune équipe sécurité ne peut accompagner tout le monde individuellement. L’étude publiée à l’IEEE S&P 2025 sur 19 500 salariés a montré qu’une formation annuelle donnée à tous en même temps ne change presque rien aux comportements. Ce qui fonctionne, c’est l’intervention ciblée et opportune. Pour cibler, il faut savoir qui cibler : c’est ce que dit le score.

La communication. Le conseil d’administration ne lit pas les rapports de clics en simulation ; il lit des courbes de tendance. Un score qui passerait, par exemple, de 68 à 41 en deux trimestres est une histoire que le RSSI raconte en une seule diapositive, et qui transforme la sensibilisation d’un poste de coût en programme de réduction du risque mesuré. C’est aussi l’argument central de notre analyse du retour sur investissement de la sensibilisation.

La stratégie. Gartner prévoit que d’ici 2027, la moitié des RSSI des grandes entreprises auront adopté des pratiques de conception de la sécurité centrées sur l’humain. Le NIST SP 800-50r1 définit lui aussi la sensibilisation comme un programme continu et mesuré, et non comme un événement annuel. Ces deux tendances supposent la mesure. On ne pilote pas un programme centré sur l’humain à l’intuition.

Un score de risque humain n’est pas une note que vous donnez à vos salariés. C’est un système de priorisation que vous donnez à votre équipe sécurité.

Ce que le score doit contenir

Un score défendable combine deux dimensions : le comportement (ce que les gens font réellement) et l'exposition (ce qui se passe quand ils se trompent). Un salarié qui clique sur tous les leurres mais n’a accès à rien de sensible pose un problème moindre qu’un administrateur de domaine qui clique de temps en temps.

Deux remarques de conception sur ce tableau. D’abord, la difficulté compte. Cliquer sur un leurre grossier et cliquer sur un spear phishing parfaitement préparé ne sont pas le même signal. La NIST Phish Scale a été conçue précisément pour noter la difficulté de détection de chaque e-mail de phishing ; pondérez les échecs (et les signalements) par cette note. Ensuite, le signalement est un signal positif et doit visiblement faire baisser le risque. Une équipe qui clique parfois mais signale en quelques minutes est opérationnellement plus sûre qu’une équipe qui ne clique jamais mais ne signale jamais rien : c’est le signalement qui donne à votre équipe sécurité une chance d’arrêter les messages qui ont passé le filtre.

Construire un score en cinq étapes

1. Fixer l’unité et l’échelle. Notez les personnes, mais agissez au niveau collectif : équipe, service, site. Une échelle de 0 à 100 avec des tranches nommées s’explique bien plus facilement que des probabilités brutes. Décidez dès le départ si un score élevé signifie plus de risque, et n’en changez plus.

2. Partir des signaux dont vous disposez. La plupart des organisations peuvent calculer une première version avec les seuls résultats de simulation de phishing, les registres de formation, l’enrôlement MFA et la surveillance des fuites. N’attendez pas une télémétrie parfaite. Un score construit sur quatre signaux honnêtes vaut mieux qu’une feuille de route qui en promet quatorze.

3. Privilégier le comportement sur l’attitude, le récent sur l’ancien. Les actions observées (a cliqué, a signalé, a réutilisé un mot de passe) doivent l’emporter sur les réponses aux questionnaires. Appliquez une pondération décroissante dans le temps : l’effet de la formation s’érode en quelques mois, donc une erreur de la semaine dernière doit peser bien plus qu’une erreur de l’an dernier. Les progrès doivent aussi apparaître assez vite pour que les salariés sentent leurs efforts reconnus.

4. Calibrer sur le réel. Le score est une prédiction ; testez-le comme une prédiction. Les utilisateurs au score élevé correspondent-ils réellement à plus d’incidents, plus de détections de logiciels malveillants, plus de vraies tentatives de phishing qui les visent ? Si, après quelques trimestres, la tranche supérieure du score n’explique pas une part disproportionnée des incidents réels, revoyez les pondérations. C’est ce qui distingue un modèle de risque d’un indicateur de façade.

5. Relier le score à l’intervention, pas à la sanction. Le score doit produire une action : les utilisateurs dont le risque monte reçoivent automatiquement des simulations plus fréquentes et plus difficiles et des formations courtes et ciblées ; pour les utilisateurs critiques disposant d’accès privilégiés, les politiques d’accès conditionnel sont durcies. Ce qu’il ne doit jamais déclencher, c’est une mesure disciplinaire. Dès que le score sert à punir, les salariés cessent de signaler, la qualité de vos données s’effondre et le score se met à vous mentir.

Un exemple de méthode publiée : les pondérations de NOUSEC

Décrire une méthode est facile ; publier ses pondérations demande davantage. C’est pourquoi nous publions le calcul de notre propre score. Le NOUSEC Human Risk Score va de 0 à 100 et se compose de sept composantes :

Les tranches sont les suivantes : Champion 0–25, Apprenant 26–50, À risque 51–74, Critique 75–100.

Les erreurs qui font échouer les programmes de score

Le piège du signal unique : un score fondé sur le seul taux de clic peut varier de 30 points au gré d’un modèle chanceux ou malchanceux. Le piège de la boîte noire : un score que personne ne sait expliquer s’effondre à la première contestation ; tout score montré à un salarié doit pouvoir être décomposé en ses composantes sur demande. Le piège du classement : publier un palmarès des « salariés les plus à risque » transforme un outil de sécurité en problème de moral. Partagez largement les tendances par équipe, et le détail individuel avec un cercle restreint.

La confidentialité n’est pas une note ajoutée après coup, elle fait partie de la conception. Dans l’Union européenne, le RGPD s’applique : informer les salariés de ce qui est mesuré et dans quel but, limiter les données à cette finalité, ne pas fonder sur le seul score une décision automatisée qui les affecte, et associer votre DPO dès le départ. La position la plus défendable rejoint la règle ci-dessus : le score sert l’intervention, pas la sanction.

Présenter le score au conseil d’administration

Le conseil pose les trois mêmes questions à chaque séance, et un score bien construit y répond sur une seule page.

« Où en sommes-nous aujourd’hui ? » Un score actuel unique pour l’organisation, et une ventilation par service qui montre où le risque se concentre. Dans la plupart des organisations, il se concentre là où on l’attend : équipes financières disposant d’un pouvoir de paiement, assistants de direction, nouveaux arrivants. Ne montrez pas seulement le chiffre ; montrez aussi la composante qui le fait monter.

« Progressons-nous ? » Une courbe de tendance mois par mois. Le point d’attention : rendre compte du résultat, pas de l’activité. « 4 000 formations achevées ce trimestre » est une phrase d’activité ; « le service financier est passé de la tranche À risque à la tranche Apprenant » est une phrase de résultat. C’est la seconde que le conseil demande.

« Où en sommes-nous par rapport aux autres ? » Une comparaison sectorielle. N’utilisez ici que des données de comparaison dont la source, l’édition et l’année sont connues ; une « moyenne du secteur » dont vous ne pouvez pas montrer la source vous coûtera votre crédibilité à la première question.

Une dernière recommandation : associez chaque variation du score à une action. « Le score a augmenté, cette équipe a reçu telle simulation et telle formation, et deux mois plus tard elle en était là » : cette phrase montre que le risque humain est un poste de risque qui se pilote.

Du score au programme

Le score de risque humain est le tissu conjonctif d’un programme de gestion du risque humain : les simulations et les données du réel alimentent le score, le score oriente la formation adaptative et les contrôles, et le changement de comportement qui en résulte revient dans le score. En faisant tourner cette boucle en continu, vous obtenez ce que les programmes de sensibilisation statiques n’ont jamais pu offrir : une réponse présentable au conseil, et vérifiable, à la question « notre risque humain diminue-t-il ? ».

Si vous voulez voir le comportement en simulation, l’hygiène des identifiants et les signaux de formation réunis dans un seul score calculé en continu, le NOUSEC Human Risk Score a été conçu exactement pour cela.