Le point de départ : un chevalier qui n'allait pas remporter la bataille
Lorsque Elske van der Horst a pris ses fonctions de responsable de la sécurité des systèmes d'information (RSSI) à la municipalité de Nunspeet, elle a hérité d'un programme de sensibilisation à la sécurité qui existait déjà depuis des années : une question par semaine, posée par un personnage animé appelé « le Chevalier », ainsi que plusieurs modules de formation en ligne.
Sur le papier, le programme semblait satisfaisant. Dans la pratique, le taux de participation était tombé à environ 50 % et ne dépassait pas ce seuil, quoi que fasse Elske. Les discussions avec les employés ont rapidement montré que cette approche n’était plus adaptée à l’organisation, à un moment où de nouvelles exigences imposaient justement un engagement accru en matière de sécurité de l’information et de protection de la vie privée.
« Je l’ai su tout de suite : je ne vais pas gagner ce combat contre le Cavalier. »
Elske s’est donc mise à la recherche d’une alternative, en collaboration avec le responsable de la protection de la vie privée de l’époque. Elles ont exploré le marché avec un cahier des charges précis : pas de formation reposant principalement sur la vidéo, car les employés travaillant dans un open space étaient peu susceptibles d’activer le son. Elles souhaitaient également un contenu varié couvrant non seulement la sécurité de l’information et la protection de la vie privée, mais aussi des sujets tels que la loi sur l’IA et la loi sur la transparence gouvernementale.
Mais plus importante encore que n'importe quelle exigence particulière, il y avait une chose : cela devait correspondre à l'organisation elle-même.
Lorsque Elske a découvert Guardey et appris qu’une autre commune l’utilisait déjà avec succès, Nunspeet a décidé de lancer un projet pilote avec des ambassadeurs issus de différents services de l’organisation. Tous les participants se sont immédiatement montrés enthousiastes. Pour Elske, c’est à ce moment-là qu’elle a su qu’ils avaient trouvé la solution idéale.
Pourquoi cette approche a fait mouche
L’une des premières choses qui a retenu l’attention, c’est à quel point tout cela semblait familier. Au lieu de photos d’archives un peu distantes, les illustrations montrent des personnes dans des situations que les employés reconnaissent dans leur quotidien professionnel : consulter son téléphone, être assis devant un écran ou faire face à une situation de travail courante. Elske a également apprécié la diversité des personnages, avec des genres et des couleurs de peau variés, ce qui permet aux gens de se reconnaître plus facilement dans ce qu’ils voient.
Mais ce qui a vraiment permis à cette approche de prendre son essor, c'est la dimension ludique.
La commune de Nunspeet est une organisation naturellement compétitive, et cela ne s’est pas fait attendre. Équipe contre équipe, jeunes collègues contre plus âgés, les employés comparaient leurs scores et se lançaient des défis pour rester dans la course. Elske n’avait plus besoin de courir après les gens elle-même, car les collègues s’en chargeaient déjà entre eux.
Et les employés ne se sont pas contentés de répondre aux questions avant de passer à autre chose. Ils ont commencé à en discuter.
Certains se sont tournés vers Elske parce qu’ils ne comprenaient pas pourquoi ils avaient donné une mauvaise réponse. D’autres ont ouvertement admis avoir cherché la réponse ou demandé de l’aide à un collègue. Pour Elske, c’était justement le but recherché. Les participants réfléchissaient activement au contenu au lieu de se contenter de cocher une case pour valider une formation obligatoire.
« Nous sommes une organisation où règne l'esprit de compétition, et cela s'est tout de suite vu. Équipe contre équipe, jeunes contre moins jeunes, tout le monde compare ses scores. Je n'ai plus besoin de courir après qui que ce soit, les collègues s'en chargent entre eux. Et ils ne se contentent pas de répondre à la question et de passer à autre chose, ils en discutent vraiment. »
L'adoption ne se fait pas toute seule
La commune de Nunspeet a mis en service Guardey en mars 2026, mais Elske savait que le simple fait d'introduire une nouvelle plateforme ne se traduirait pas automatiquement par une participation accrue.
En collaboration avec le RSSI, le délégué à la protection des données, le responsable de la vie privée, l’administrateur système et même le coordinateur municipal chargé de la loi sur la transparence administrative, elle a soigneusement planifié le déploiement. Les modèles de communication de Guardey ont servi de point de départ, mais l’équipe a tout réécrit en adoptant le ton propre à la municipalité et a mis en place au moins deux moments de communication par semaine à l’approche du lancement.
La direction a également été impliquée dès le début. Chaque responsable d'équipe a assisté à une brève présentation et s'est vu clairement indiquer qu'il avait un rôle à jouer pour mobiliser ses équipes. Il a été demandé à l'équipe de direction de soutenir le lancement par le biais de la communication interne et, tout aussi important, d'y participer elle-même.
Et puis, il y avait le prix.
La commune de Nunspeet a mis en jeu un barbecue d'équipe pour l'équipe totalisant le plus de points. Ce n'était pas un prix symbolique, mais quelque chose que les gens avaient vraiment envie de remporter. À Nunspeet, la gastronomie est une affaire sérieuse ; du coup, tout le monde s'est mis à convoiter ce barbecue. Les collègues se sont mutuellement encouragés à relever leurs défis, car ils voulaient que leur équipe s'impose.
Depuis, cette approche a évolué. Au lieu de récompenser à chaque fois l'équipe la plus performante, c'est désormais la personne ayant obtenu le meilleur score au sein de chaque équipe qui peut remporter un prix, ce qui favorise également une saine compétition au sein des équipes.
À mi-parcours de la première saison, Nunspeet a ajouté une petite incitation supplémentaire : un prix d’encouragement « intermédiaire », des tablettes Tony’s Chocolonely portant la mention « Winnaar Aanmoedigingsprijs Guardey ». Selon Elske, un petit prix comme celui-ci, remis à mi-parcours de la saison, est très efficace pour motiver tout le monde à continuer à s’entraîner.
Cette importante récompense a permis de lancer le mouvement, mais après la première saison, Elske a remarqué quelque chose de plus important encore : les employés avaient de moins en moins besoin d’être encouragés. C’était devenu une habitude. Le mardi, c’était tout simplement devenu synonyme de :« C’est mardi, c’est l’heure de Guardey. »
Résultat : le taux de participation est passé de 50 % à 86 %
Avant l'arrivée de Guardey, le taux de participation à la commune de Nunspeet stagnait autour de 50 %. Aujourd'hui, il s'élève à 86 %.
Elske se réjouit de ce chiffre, d'autant plus qu'il y aura toujours des employés absents pendant de longues périodes ou des collaborateurs externes qui ne travaillent pour la commune que quelques heures par semaine.
Les simulations de hameçonnage montrent elles aussi un changement notable. Lors de la première simulation, 40 % des employés cliquaient encore sur les liens. Après une saison d'utilisation de Guardey, ce chiffre était tombé à 20 %, ce qui représente une amélioration significative en seulement trois mois.
Mais le changement le plus important ne transparaît pas forcément dans les chiffres.
Auparavant, les employés s'adressaient rarement à Elske pour poser des questions concernant des e-mails suspects ou des incidents de sécurité. Il régnait une certaine confusion quant à la différence entre le spam, le hameçonnage, les incidents de sécurité et les fuites de données, et les employés ne signalaient pas activement ces problèmes.
Désormais, ses collègues l'appellent ou passent à son bureau pour lui demander si un e-mail est authentique. Ils savent qu'ils peuvent signaler les messages suspects dans Outlook, et ils échangent entre eux sur ce qu'ils ont appris grâce à Guardey. Parfois, ils discutent même de la manière dont ils mettent ces connaissances en pratique chez eux.
Pour Elske, ce petit moment de vigilance fait toute la différence. Les gens vérifient avant d’agir, et cela la rend sincèrement heureuse. La sécurité de l’information n’est plus une simple obligation pour les employés, mais fait désormais partie intégrante de leur travail quotidien.
Sensibilisation à la sécurité, d'en haut vers le bas
Cette évolution ne se limite pas aux salariés.
Le directeur des opérations y participe chaque semaine, et le nouveau comité de direction de la commune s'est désormais lui aussi joint à Guardey. L'importance de cette initiative est apparue avec une clarté particulière lors d'une campagne de hameçonnage, lorsque la commune de Nunspeet a constaté que les personnes ne disposant pas d'un compte Guardey obtenaient des résultats nettement moins bons que leurs collègues qui avaient déjà suivi la formation.
Elske s'est appuyée sur ce constat en interne pour insister sur un message simple : tout le monde doit participer, y compris le comité de direction et les administrateurs. N'importe lequel d'entre nous peut constituer le maillon faible, et plus on s'entraîne, moins on risque de se faire piéger par une attaque.
Cet engagement de la direction a permis de faire de la sensibilisation à la sécurité une responsabilité partagée par l'ensemble de l'organisation, plutôt qu'une tâche incombant exclusivement au RSSI.
« Avant de commencer à utiliser Guardey, nous avons mené un test de hameçonnage et 40 % de nos employés ont cliqué sur le lien. Après une saison de défis hebdomadaires avec Guardey, nous avons refait le même type de test et seuls 20 % ont cliqué. Cela représente une baisse de moitié en trois mois. C'est là que j'ai compris que cette approche fonctionnait vraiment, et pas seulement en théorie. »
S'appuyer sur ce qui fonctionne
La commune de Nunspeet s'appuie désormais sur les analyses fournies par Guardey pour affiner encore davantage sa stratégie globale de sensibilisation à la sécurité.
Pour les simulations de hameçonnage, par exemple, l'équipe de sécurité peut utiliser des modèles spécifiques adaptés à différents groupes et analyser les résultats afin d'identifier les points nécessitant une attention particulière. Les équipes qui rencontrent des difficultés sur un sujet précis peuvent alors bénéficier d'une formation plus ciblée.
Elske continue également à associer les défis hebdomadaires de Guardey à des séances d'équipe et à des formations ciblées pour des postes spécifiques. L'objectif n'est pas simplement de suivre une formation, mais de maintenir les connaissances à jour et de continuer à s'entraîner à des situations auxquelles les employés pourraient être confrontés dans leur travail.
Ses conseils aux autres organisations qui lancent un programme de sensibilisation à la sécurité s'inspirent directement de ce qui a fait ses preuves à la commune de Nunspeet : ne pas considérer la mise en œuvre comme une simple formalité. Choisissez une récompense pour laquelle les employés auront véritablement envie de se battre, et impliquez la direction dès le début afin que cette sensibilisation ne devienne pas « le projet du RSSI ».
Et faites appel à des ambassadeurs issus de l'ensemble de l'organisation. Ceux-ci peuvent partager leurs propres expériences avec leurs collègues, ce qui, selon Elske, s'avère souvent plus efficace que d'entendre le message uniquement de la part du RSSI.
Quand la sécurité devient un sujet de conversation autour de la machine à café
Peut-être que le signe le plus évident de progrès ne se trouve pas du tout dans un tableau de bord. C'est plutôt près de la machine à café.
Les employés comparent leurs scores, discutent des questions auxquelles ils ont mal répondu et se rappellent mutuellement de relever leur défi hebdomadaire. La sensibilisation à la sécurité est désormais un sujet dont les collègues discutent entre eux, plutôt qu'un sujet sur lequel Elske doit constamment insister.
Ces derniers temps, les discussions autour de la machine à café tournent plutôt autour de savoir si vous avez déjà relevé le défi Guardey ou ce que vous avez pensé de cette question particulièrement délicate.
Et c’est exactement là où Elske souhaite que la sensibilisation à la sécurité s’inscrive : au cœur des discussions, au quotidien, et comme une responsabilité partagée par l’ensemble de l’organisation.
« Le plus grand changement ne se trouve pas dans un tableau de bord, mais à mon bureau. Avant Guardey, personne ne me demandait jamais si un e-mail semblait légitime. Les gens ne savaient même pas faire la différence entre un spam et un véritable incident de sécurité. Désormais, mes collègues passent me voir ou m’appellent pour vérifier avant de cliquer, et ils échangent entre eux sur ce qu’ils ont appris, parfois même sur la façon dont cela leur est utile à la maison aussi. »
Vous vous demandez à quoi pourrait ressembler un taux de participation de 86 % au sein de votre entreprise ? Réservez une démonstration et nous vous expliquerons tout en détail, ou lancez un essai gratuit pour vous en rendre compte par vous-même.
