Serious games de sensibilisation à la cybersécurité

Le critère tient en une question : le risque est-il propre à votre organisation ? Plus il dépend de vos procédures, de vos outils et de vos incidents, plus une conception sur mesure se justifie.

Ces options se combinent : une campagne courte pour tous, puis un temps fort scénarisé, comme un escape game d'entreprise, pour les populations exposées. Une limite : un serious game de sécurité informatique agit sur les comportements (hameçonnage, ingénierie sociale, mots de passe, données sensibles, signalement, télétravail). Pour l'architecture réseau ou le durcissement des systèmes, une formation d'expert reste plus adaptée.

La gamification de la cybersécurité ne se résume pas à des points et à un classement : la mécanique reproduit la décision que le collaborateur aura à prendre.

• Comprendre une attaque : une enquête en équipe, à partir d'indices, de traces et de déclarations, pour reconstituer l'incident et appliquer les procédures de continuité.
• Ancrer les réflexes quotidiens (repérer un message suspect, vérifier une URL, activer la double authentification, signaler et escalader un incident) : des défis courts répétés sur plusieurs jours, principe d'un challenge connecté. La Safe Week de Pomona, sur la sécurité au travail, enchaîne ainsi trois défis progressifs en une semaine.
• Voir tous les points d'entrée : un escape game en équipe, où chaque espace correspond à un point d'entrée à sécuriser (utilisateurs, site, hébergement, réseau).
• Déjouer l'ingénierie sociale : l'approche inversée. À partir des informations publiques d'un profil fictif, le participant devine un mot de passe et mesure la facilité de l'attaque.
• Réagir en cas de crise (rançongiciel, intrusion) : une cellule de crise reconstituée, avec des rôles répartis et des décisions à prendre dans l'urgence.

Quelle que soit la mécanique, le débrief relie chaque décision à votre politique de sécurité : sans lui, la cybersécurité gamifiée reste une animation.

Équipes IT et techniques. Pour Naval Group, en 2025, le scénario enchaîne une cellule de crise, un data center en feu et un réseau de secours à rétablir. Il a concerné 660 collaborateurs ; Naval Group fait état de 93 % de satisfaction (enquête NPS). En 2026, le groupe nous a confié un nouveau dispositif, sur la cohésion et la culture IA.

Forces commerciales. Pour les B.Talks 2024 de Bouygues Telecom Entreprises, nous avons conçu un escape game cybersécurité hybride : des entreprises menacées font appel à une agence de cybersécurité, et les équipes doivent sécuriser tous leurs points d'entrée, sur tablette, dans des bureaux virtuels, au contact des 12 partenaires de l'événement.

La méthode décrite plus haut repose sur ce que vos équipes apportent. Avant le cadrage, réunissez :

• votre politique de sécurité ou charte informatique, et la procédure de signalement d'incident ;
• quelques incidents récents, anonymisés ;
• les populations prioritaires et leurs contraintes (sites, horaires, langues) ;
• les contraintes techniques : LMS, accès par simple lien, restrictions d'installation.

Les livrables sont jalonnés : synopsis et mécaniques, contenus relus par vos équipes sécurité, version de test soumise à un groupe pilote, version finale avec guide animateur et tableau de bord. Le scénario reste une fiction plausible, inspirée de vos procédures sans reproduire vos systèmes, vos noms ni vos documents : les suspects de l'enquête de Naval Group sont fictifs. Anticipez les circuits de validation : sécurité, juridique, communication interne.

Trois points techniques se vérifient dès le cadrage.

• Des postes verrouillés : les dispositifs digitaux s'ouvrent par un simple lien, dans le navigateur, sans logiciel à installer, ce qui compte quand les postes sont restreints.
• Plusieurs sites en même temps : l'application web du challenge de Naval Group en 2026, consacré à la cohésion et à la culture IA, était prévue pour 650 à 700 utilisateurs simultanés sur 10 sites.
• Un LMS existant : les modules digitaux s'intègrent à votre LMS au format SCORM.

Comptez 8 à 24 semaines selon la complexité. Un projet cyber s'allonge avec les circuits de validation, les langues, l'intégration au LMS et le déploiement multi-sites. Pour un lancement pendant le Mois européen de la cybersécurité, en octobre, démarrez le cadrage au printemps.

La plupart de nos dispositifs sur mesure représentent un investissement supérieur à 20 000 € HT ; nous cadrons le budget lors d'un premier échange. Les variables propres au cyber : la profondeur technique du scénario (public IT ou tous les collaborateurs), le nombre de mécaniques, l'animation (guide animateur ou nos équipes) et les supports physiques.

La directive (UE) 2022/2555, dite NIS2, élargit le champ des entités concernées et responsabilise la direction, qui approuve les mesures de gestion des risques et en supervise la mise en œuvre (article 20, paragraphe 1). Sur la formation :

• article 20, paragraphe 2 : les membres des organes de direction des entités essentielles et importantes sont tenus de suivre une formation ; les entités sont encouragées à en offrir régulièrement une similaire à leur personnel ;
• article 21, paragraphe 2, point g : les mesures de gestion des risques comprennent au moins « les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ».

À la date de rédaction (octobre 2026), la loi française de transposition n'est pas promulguée ; le contexte national figure sur la page NIS 2 de l'ANSSI.

En pratique, mieux vaut pouvoir montrer que la sensibilisation a eu lieu et sur quels risques : qui a été formé, sur quoi, quand, avec quels résultats. Nos dispositifs digitaux suivent participation, scores et complétion par équipe ou par site, avec export ; en présentiel, la preuve repose sur la liste de présence de chaque session et sur le débrief. Ces suivis documentent une action de formation sans remplacer les autres mesures de l'article 21. Pour les dispositifs par public concerné, voir notre article sur la formation NIS2 ; pour l'anticorruption, le RGPD ou l'éthique, voir nos formations obligatoires et conformité.