La courbe de l'oubli d'Ebbinghaus
Pourquoi une formation annuelle unique ne suffit pas : ce que disent l'ENISA, le NIST, le NCSC et la CISA sur la conception et la mesure.
En 30 secondes
- Où ça arrive
- Dans toute organisation qui limite la sensibilisation à une séance annuelle.
- Ce qu'il faut retenir
- Le guide du NIST décrit une approche en cycle de vie, avec des méthodes d'évaluation pour l'améliorer et la mettre à jour régulièrement3.
- Le réflexe
- Signaler tout de suite un message suspect, sans attendre la prochaine formation.
- Si c'est déjà fait
- Si vous avez répondu à un message douteux, prévenez votre équipe sécurité sans tarder. Le NCSC, service britannique, publie une page sur la façon de signaler un message suspect et sur la marche à suivre après une réponse à une arnaque par courriel5.
De quoi parle-t-on
Une séance de sensibilisation d'une heure, une fois par an, laisse-t-elle des traces durables ? La courbe de l'oubli d'Ebbinghaus sert de point de départ à cette fiche pour en douter. Cette fiche en tire une idée simple : mieux vaut des rappels courts et répétés qu'une grande séance isolée.
Une précision d'abord. Les pages consultées pour cette fiche sont des guides et des pages d'orientation de l'ENISA, du NIST, du NCSC britannique et de la CISA. Aucune ne décrit la courbe d'Ebbinghaus ni ne chiffre ce qu'un salarié retient après quelques semaines. La fiche ne donne donc aucun pourcentage d'oubli. Elle s'en tient à ce que ces organismes disent de la conception et du suivi des programmes de sensibilisation.
Questions directes
Que dit la courbe de l'oubli d'Ebbinghaus ?
Aucune des sources citées ici ne la décrit. La fiche ne peut donc pas en citer les valeurs. Son rapport avec la formation annuelle reste une hypothèse de travail de cette fiche, non un résultat établi par les pages consultées.
Une formation par an suffit-elle ?
Les pages consultées ne le disent pas en ces termes. Le NIST décrit en revanche une approche en cycle de vie, qui gère ensemble la sensibilisation, la formation et l'éducation, avec des méthodes d'évaluation pour améliorer et mettre à jour le programme régulièrement3. On peut en déduire, sans que la source le dise, qu'un tel programme dépasse une séance par an.
Qu'attendent les guides d'un programme de sensibilisation ?
Le NIST écrit : « The program should encourage behavior change as part of risk management and lead to developing a privacy and security culture in the organization. »3 Le but visé est donc un changement de comportement.
Existe-t-il un guide européen sur la culture de sécurité ?
Oui. L'ENISA a publié le 16 avril 2019 un rapport consacré aux aspects humains de la cybersécurité. Il couvre la psychologie et la sociologie, mais aussi l'ethnographie, l'anthropologie, la biologie humaine et l'économie comportementale1.
1Ce que ça change pour un salarié1 min
Pour le salarié, l'enjeu pratique est de ne pas dépendre d'un souvenir. Une séance suivie une fois ne remplace pas un geste simple à portée de main.
Le NCSC en donne un exemple : signaler un message d'hameçonnage. Selon sa page, le signalement est gratuit et ne prend qu'une minute : « Reporting a scam is free and only takes a minute. »5 Le NCSC explique que ces signalements permettent de réduire le nombre de communications frauduleuses reçues, de devenir une cible plus difficile et de protéger les autres5. Le service dit aussi avoir le pouvoir d'enquêter sur les adresses et sites frauduleux et de les faire retirer5.
Le NCSC ajoute une habitude qui ne demande aucune formation : les criminels utilisent les informations disponibles en ligne, réseaux sociaux compris, pour rendre leurs messages plus convaincants. Réfléchir à ce que l'on publie et revoir ses réglages de confidentialité réduit le risque d'être visé5.
La CISA résume les gestes de base en quatre points, présentés pendant le mois de la cybersécurité, en octobre : éviter et signaler l'hameçonnage, utiliser des mots de passe robustes, activer l'authentification multifacteur avec un gestionnaire de mots de passe, mettre à jour les logiciels6. Chaque rappel (une affiche, un message interne, un court point d'équipe) peut en reprendre un seul.
2Ce que ça change pour la directionDirection2 min
Pour la direction, les sources consultées vont dans le sens de la mesure plutôt que du simple décompte des participants. Le NIST indique que son guide comprend des indicateurs et des méthodes d'évaluation proposés, afin d'améliorer régulièrement le programme3. Il précise aussi que les recommandations sont adaptables, pour des organisations grandes ou petites, y compris celles qui bâtissent un programme de zéro3.
Le NIST présente son programme comme un processus qui gère la sensibilisation, la formation et l'éducation pour un ensemble varié de publics d'employés fédéraux3. Un deuxième projet public de 2013, depuis remplacé, décrivait un modèle de formation par rôle pour les personnes ayant des responsabilités importantes en informatique ou en cybersécurité4. Dans cette fiche, on en déduit qu'un module annuel identique pour tous répond mal à cette diversité de publics, mais aucune source ne l'affirme.
La CISA propose de son côté une trousse d'outils pour le mois de la cybersécurité 2026, avec des visuels et des présentations que les organisations peuvent utiliser pour leurs propres campagnes6. L'ENISA décrit les politiques des États membres de l'Union selon quatre objectifs : sensibilisation, formation, défis et exercices2. La sensibilisation y est un objectif parmi d'autres, avec la formation et les exercices.
Aucune de ces pages ne fixe de seuil de fréquence, par exemple un nombre de rappels par an. La fiche n'en donne donc pas.
3Ce que dit le texteTexte officiel1 min
Le principal document consulté est la publication SP 800-50 révision 1 du NIST, intitulée « Building a Cybersecurity and Privacy Learning Program ». Elle fournit aux agences fédérales américaines et aux organisations des orientations pour bâtir un programme d'apprentissage en cybersécurité et protection de la vie privée selon une approche de cycle de vie3. Elle s'appuie sur des normes, des réglementations, des textes législatifs et des bonnes pratiques largement admis3.
Cette publication remplace la SP 800-50 de 2003 et la SP 800-16 de 19983. La page cite le Cybersecurity Enhancement Act et la circulaire OMB A-130 parmi les lois et réglementations associées3.
Une version antérieure de la SP 800-16 révision 1, datée d'octobre 2013, décrit un modèle de formation par rôle. Elle précise que chaque personne qui possède, utilise ou gère des informations doit bien comprendre ses responsabilités de sécurité4. Cette version est un second projet public et la page indique qu'elle a été remplacée le 14 mars 2014 par un troisième projet4.
Le rapport de l'ENISA de 2021 formule pour sa part cinq recommandations sur la pénurie de compétences en cybersécurité dans l'Union. Les pages consultées n'en détaillent pas le contenu2.
4Où en est l'application1 min
Les documents consultés sont des guides. Les pages ne parlent pas d'obligation légale pour une entreprise privée de former ses salariés à une fréquence donnée, et la fiche n'en affirme aucune.
Côté américain, la version finale de la SP 800-50 révision 1 date de septembre 2024, après deux projets publiés en septembre 2021 et en août 20233. Elle s'adresse aux agences fédérales et aux organisations3.
Côté européen, la page de l'ENISA sur la culture de cybersécurité classe son rapport de 2019 parmi les contenus écrits pour le secteur privé1. Elle liste aussi des rendez-vous : une troisième conférence européenne sur la sensibilisation, prévue le 11 novembre 20261. Les pages ne disent pas quelles organisations appliquent ces guides, ni avec quels résultats.
Quant à l'idée centrale de cette fiche, elle reste à vérifier dans une source dédiée. Une mesure des comportements réels, par exemple le taux de signalement des messages suspects, est cohérente avec les orientations du NIST. Aucun des documents consultés ne la chiffre.
Fiche
- Identifiant
- CP-388
- Aile
- 6. Gouvernance et GRC
- Compétence Brain
- Apprendre avec BRAIN (learn_with_brain)
- Réflexe Brain
- cr-015
- Schéma
- G2 · Comparatif Mythe vs Réalité
- Langues
- de, en, fr
- Sources
- 6 sources vérifiées le 3 novembre 2026
Sources6 sources
- ENISA, « Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity », 16 avril 2019. https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity (consulté le 3 novembre 2026)
- ENISA, « Addressing Skills Shortage and Gap Through Higher Education », 24 novembre 2021. https://www.enisa.europa.eu/publications/addressing-skills-shortage-and-gap-through-higher-education (consulté le 3 novembre 2026)
- NIST, « Building a Cybersecurity and Privacy Learning Program », 12 septembre 2024. https://csrc.nist.gov/pubs/sp/800/50/r1/final (consulté le 3 novembre 2026)
- NIST, « A Role-Based Model for Federal Information Technology/Cybersecurity Training », 24 octobre 2013. https://csrc.nist.gov/pubs/sp/800/16/r1/2pd (consulté le 3 novembre 2026)
- NCSC (Royaume-Uni), « Phishing scams: how to spot and report them », 26 novembre 2021. https://www.ncsc.gov.uk/collection/phishing-scams (consulté le 3 novembre 2026)
- CISA, « Cybersecurity Awareness Month ». https://www.cisa.gov/cybersecurity-awareness-month (consulté le 3 novembre 2026)
Citer cet article
Brain, « La courbe de l'oubli d'Ebbinghaus », Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp388_fr_2026,
author = {Brain},
title = {La courbe de l'oubli d'Ebbinghaus},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/fr/articles/courbe-oubli-ebbinghaus-formation-annuelle/},
note = {CC BY 4.0}
}