Human Vulnerability Assessment in Cybersecurity: A Systematic Literature Review of Methods, Models, and Instruments
Cette revue systématique de la littérature analyse les méthodes, modèles et instruments d'évaluation des vulnérabilités humaines en cybersécurité de 2017 à 2025, révélant que les approches actuelles demeurent fragmentées et statiques, soulignant ainsi le besoin critique de cadres dynamiques et holistiques qui traitent à la fois des facteurs humains involontaires et intentionnels.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez la cybersécurité comme un immense château high-tech. Pendant des années, les gardes (les experts en sécurité) ont été obsédés par la vérification des murs, des serrures et des douves. Ils s'assurent que les portes numériques sont solides et que les logiciels sont incassables. Mais cet article soutient que le château continue d'être pénétré, non pas parce que les murs sont faibles, mais parce que les personnes qui y vivent sont trompées, épuisées ou manipulées.
Cette recherche est une « revue systématique de la littérature », comparable à un bibliothécaire ultra-organisé qui a parcouru chaque livre, article et étude publiés entre 2017 et 2025 pour répondre à une grande question : « Comment mesurons-nous actuellement les faiblesses de l'esprit humain en cybersécurité, et cela suffit-il ? »
Voici la répartition de leurs découvertes, à l'aide d'analogies simples :
1. Le Problème : Nous Vérifions Seulement les « Portes », Pas les « Personnes »
Les auteurs ont constaté que la plupart des contrôles de sécurité actuels se concentrent sur ce que les gens font (comme cliquer sur un mauvais lien ou utiliser un mot de passe faible). Ils appellent cela les « Facteurs Comportementaux ».
- L'Analogie : Imaginez un médecin qui vérifie seulement si un patient tousse (le comportement) mais ne demande jamais pourquoi il tousse. Est-il allergique ? Est-il stressé ? Est-il malade ?
- La Réalité : L'article indique que nous sommes excellents pour repérer la « toux » (l'action risquée), mais que nous sommes terribles pour comprendre la « maladie » (la fatigue, le stress, les traits de personnalité ou la pression sociale qui ont provoqué la toux à l'origine).
2. La Nouvelle Carte : Une « Taxonomie des Facteurs Humains »
Pour corriger cette confusion, les auteurs ont créé une nouvelle « carte » (une taxonomie) pour organiser toutes les différentes façons dont les humains peuvent être vulnérables. Ils ont divisé ces faiblesses en quatre principaux quartiers :
- Le Quartier Psychologique (Le « Qui Vous Êtes ») : Cela inclut votre personnalité, vos émotions et votre éthique. Êtes-vous naturellement confiant ? Êtes-vous stressé ? Avez-vous une personnalité de « mauvaise pomme » qui pourrait vouloir voler des choses intentionnellement ?
- Le Quartier Cognitif (Le « Comment Vous Pensez ») : Il s'agit du traitement de votre cerveau. Vous fatiguez-vous facilement ? Faites-vous trop confiance à l'IA ? Avez-vous des raccourcis mentaux qui vous font tomber dans des arnaques ?
- Le Quartier Comportemental (Le « Ce Que Vous Faites ») : C'est l'action réelle. Avez-vous cliqué sur le lien ? Avez-vous partagé votre mot de passe ? C'est ce que la plupart des outils actuels mesurent.
- Le Quartier de l'État de Performance (Le « Comment Vous Vous Sentez Maintenant ») : C'est temporaire. Êtes-vous pressé ? Êtes-vous interrompu ? Faites-vous du multitâche ? Une personne fatiguée et pressée est plus vulnérable qu'une personne reposée, même s'il s'agit de la même personne.
La Surprise : La carte inclut également les « Conditions Météorologiques » (les modérateurs). Ce sont des éléments tels que votre âge, votre emploi, le niveau de formation que vous avez reçu ou la culture de votre bureau. Ces éléments ne causent pas directement la faiblesse, mais ils modifient la force ou la faiblesse de votre vulnérabilité.
3. La Grande Découverte : Nous Manquons la « Image Globale »
Les chercheurs ont examiné 54 études différentes et ont constaté d'importantes lacunes :
- Nous nous concentrons trop sur la « Toux » : La plupart des études ne regardent que le Comportement et la Pensée. Elles regardent rarement en profondeur la Personnalité ou les États Temporaires (comme la fatigue).
- Nous traitons les « Accidents » et les « Crimes » comme différents : La plupart des outils vérifient soit les erreurs accidentelles (comme cliquer sur un e-mail de hameçonnage), soit les crimes intentionnels (comme un employé volant des données). Très peu d'outils tentent de comprendre les deux en même temps. L'article soutient que les mêmes traits humains (comme le stress ou une mauvaise éthique) peuvent mener à la fois à des accidents et à des crimes, mais que nous les étudions séparément.
- Nous sommes « Statiques » alors que nous devrions être « Dynamiques » : Imaginez prendre une photo d'une personne et dire : « C'est son niveau de sécurité pour toujours. » C'est ce que font la plupart des outils. Mais les humains changent ! Si vous êtes fatigué aujourd'hui, vous êtes vulnérable. Si vous êtes bien reposé demain, vous pourriez être en sécurité. L'article dit que nous avons besoin de vidéos, pas de photos. Nous avons besoin d'outils qui observent comment la vulnérabilité évolue dans le temps.
- Nous ignorons le « Piège de l'IA » : L'article note que presque personne n'étudie encore comment les humains se font piéger par l'Intelligence Artificielle. Nous faisons trop confiance à l'IA, et nos cerveaux deviennent paresseux (un phénomène appelé « délégation cognitive »), mais nos outils de sécurité n'ont pas encore rattrapé ce nouveau danger.
4. La Conclusion : Nous Avons Besoin d'un « Système Intelligent et Vivant »
L'article conclut que nous utilisons actuellement une approche « fragmentée ». C'est comme avoir une équipe de spécialistes où l'un vérifie vos yeux, un autre vos pieds, et un troisième vos oreilles, mais où personne ne parle aux autres pour voir comment le corps entier va.
Le message final des auteurs :
Pour sécuriser véritablement notre monde numérique, nous devons cesser de regarder uniquement les « mauvais clics » et commencer à construire un système qui comprend l'humain dans son intégralité. Nous avons besoin d'outils qui :
- Examinent la personnalité, la pensée, les actions et les états temporaires tous en même temps.
- Observent comment la vulnérabilité change d'un jour à l'autre (dynamique).
- Comprennent comment la faiblesse d'une personne peut se propager aux autres (propagation).
- Tiennent compte du fait que les humains peuvent commettre des erreurs ou être malveillants, et que les causes profondes se chevauchent souvent.
En bref : Nous construisons de meilleures serrures pour le château, mais nous devons commencer à mieux comprendre les personnes qui y vivent.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.