📄 social_science

Development and Validation of the Organizational Cybersecurity Perception Scale: A Protection Motivation Theory Instrument Contextualized by NIST CSF 2.0

Cette étude développe et valide psychométriquement l'Échelle de Perception de la Cybersécurité Organisationnelle (PMT-OCPS), un instrument de 27 items à six facteurs fondé sur la Théorie de la Motivation de la Protection et contextualisé par le NIST CSF 2.0, qui mesure efficacement les évaluations cognitives des employés concernant les menaces et les capacités de cybersécurité organisationnelles à travers des analyses statistiques et de groupes connus robustes.

Auteurs originaux : Soner Çankaya, Fatih Samet Atasoy, Muhammet Kusan, Mustafa Tolga Bayraktar, Hakan Can Altunay, Erkan Faruk Şirin

Publié 2026-07-28

📖 8 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Soner Çankaya, Fatih Samet Atasoy, Muhammet Kusan, Mustafa Tolga Bayraktar, Hakan Can Altunay, Erkan Faruk Şirin

Article original sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez le monde numérique comme une ville immense et bouillonnante où chaque bâtiment est une entreprise, chaque route est un câble de données et chaque citoyen est un employé. Dans cette ville, des monstres invisibles appelés « cybermenaces » tentent constamment de s'introduire, de voler des trésors ou de semer le chaos. Pendant longtemps, les urbanistes (les experts en technologie) ont pensé que la seule façon de sécuriser la ville était de construire des murs plus solides, d'installer de meilleures serrures et d'embaucher plus de gardes. Mais ils ont réalisé quelque chose d'important : même le château le plus fort tombe si les gens qui y vivent ne croient pas que les murs sont réels, ou s'ils pensent que les gardes sont inutiles, ou s'ils trouvent que les règles sont trop contraignantes à suivre.

C'est là qu'intervient une idée célèbre appelée la Théorie de la Motivation à la Protection. Considérez cela comme une liste de contrôle mentale que notre cerveau exécute face à un danger. D'abord, nous demandons : « À quel point serait-ce grave si cela arrivait ? » (Évaluation de la menace). Ensuite, nous demandons : « Puis-je l'arrêter ? Y a-t-il un plan ? Est-ce trop de travail ? » (Évaluation du coping). Si la réponse à la deuxième partie est « Oui, je peux gérer », nous sommes motivés à agir. Cependant, la plupart des études n'ont examiné que la façon dont les individus se sentent par rapport à leurs propres mots de passe ou au clic sur des liens. Elles n'ont pas vraiment demandé : « Comment un employé se sent-il par rapport à la capacité de toute son entreprise à combattre ces monstres ? »

Entrez dans le Cadre de Cybersécurité du NIST, qui est comme un immense plan officiel de la manière dont une ville doit gérer sa sécurité. Il ne vous dit pas quoi ressentir, mais il énumère les six tâches qu'une ville doit accomplir : Gouverner (établir des règles), Identifier (trouver les points faibles), Protéger (construire des murs), Détecter (repérer les intrus), Répondre (combattre) et Récupérer (réparer les dégâts). La grande question que cette équipe de recherche voulait répondre était : pouvons-nous créer un outil pour mesurer précisément comment les employés perçoivent la sécurité de leur ville, en utilisant la liste de contrôle mentale de la Théorie de la Motivation à la Protection, mais en la remplissant avec les tâches spécifiques du plan NIST ?

La Grande Idée : Un nouveau « Radar de Sécurité » pour les entreprises

Une équipe de chercheurs de Turquie a décidé de construire un nouvel outil, qu'ils appellent l'Échelle de Perception de la Cybersécurité Organisationnelle (PMT-OCPS). Vous pouvez considérer cette échelle comme un « Radar de Sécurité » que les entreprises peuvent utiliser pour scanner l'esprit de leurs employés. Au lieu de demander : « Savez-vous comment changer votre mot de passe ? » (qui est un test technique), ce radar demande : « Croyez-vous que l'équipe de sécurité de votre entreprise est réellement efficace pour arrêter les hackers ? » et « Avez-vous l'impression que les règles de sécurité sont trop ennuyeuses à suivre ? »

Les chercheurs ont commencé avec une énorme pile de 46 questions. Ils ont demandé à un panel d'experts — psychologues, professionnels de la cybersécurité et magiciens de la langue — de les examiner. Les experts ont dit : « Elles sont bonnes, mais rendons-les plus claires et éliminons le superflu. » Après avoir poli la liste et effectué un petit test avec 47 personnes, ils ont réduit la liste à 29 questions, puis finalement à un radar de 27 questions très serré.

Ce qu'ils ont trouvé : Les six piliers du sentiment de sécurité

Lorsqu'ils ont testé ce nouveau radar sur deux grands groupes de personnes (519 personnes pour le premier test, et 400 personnes différentes pour confirmer les résultats), ils ont découvert que les employés n'ont pas seulement un grand sentiment concernant la sécurité. Au lieu de cela, leur esprit décompose ce sentiment en six piliers distincts. C'est comme avoir six capteurs différents sur un vaisseau spatial, chacun vérifiant un système différent :

Sévérité Perçue : « À quel point le monstre est-il effrayant ? » Cela mesure la gravité d'une cyberattaque pour l'entreprise selon les employés (ex. : perte d'argent, poursuites judiciaires ou destruction de la réputation).
Vulnérabilité Perçue : « Quelle est la probabilité que le monstre nous atteigne ? » Il s'agit de la perception qu'ont les employés de l'exposition des systèmes numériques de leur entreprise aux attaques.
Efficacité Préventive : « Les boucliers fonctionnent-ils ? » Cela mesure si les employés croient que les mesures préventives de l'entreprise (comme les mises à jour logicielles, la formation et les verrous) sont réellement efficaces pour stopper les attaques avant qu'elles ne commencent.
Capacité d'Intervention : « Pouvons-nous riposter ? » C'est une découverte inédite ! Les chercheurs ont découvert que les employés distinguent entre « prévenir » une attaque et « combattre » une attaque. Ce pilier mesure si les employés font confiance à la capacité de l'entreprise à détecter une attaque, à y répondre rapidement et à récupérer après les dégâts.
Auto-efficacité : « Puis-je aider ? » Cela ne concerne pas l'entreprise, mais l'employé. Se sentent-ils capables de repérer un e-mail de phishing ou de signaler un problème ?
Coût de la Réponse : « Est-ce trop contraignant ? » Cela mesure à quel point les employés trouvent les règles de sécurité ennuyeuses ou pénibles. Si les règles ressemblent à un sac à dos trop lourd, ce score augmente, et les gens sont moins enclins à les suivre.

Le moment « Eureka ! » : Prévention vs Intervention

La partie la plus excitante de cette étude est ce qui s'est passé avec la partie « Efficacité de la Réponse » de la théorie originale. Autrefois, les scientifiques pensaient que l'« Efficacité de la Réponse » n'était qu'un seul grand seau : « Est-ce que les mesures de sécurité fonctionnent ? ». Mais cette étude a montré que dans une entreprise, ce seau se divise en réalité en deux seaux distincts : la Prévention (arrêter les méchants à la porte) et l'Intervention (gérer le désordre s'ils entrent).

Les chercheurs suggèrent que les employés sont assez intelligents pour savoir que posséder une excellente serrure sur la porte (Prévention) est différent de posséder une excellente équipe d'urgence prête à éteindre le feu si celui-ci se déclare (Intervention). Ce fait est crucial car une entreprise peut être excellente dans l'un, mais médiocre dans l'autre, et ce nouveau radar peut faire la différence.

Quelle est la fiabilité du radar ?

Les chercheurs ont été très prudents. Ils n'ont pas simplement deviné ; ils ont analysé les chiffres.

Fiabilité : Le radar est cohérent. Si vous passez le test aujourd'hui et à nouveau dans trois semaines, vous obtenez presque le même score (un score de stabilité de .882).
Précision : Les six piliers qu'ils ont trouvés sont réels et distincts. Les données ont montré que la « Prévention » et l'« Intervention » sont effectivement deux sentiments différents, et non juste la même chose répétée.
Vérification en conditions réelles : Ils ont testé le radar sur deux groupes différents : des employés d'institutions sportives et du personnel universitaire. Ils ont constaté que les personnes ayant suivi une formation en cybersécurité se sentaient plus confiantes (auto-efficacité plus élevée) et trouvaient les règles moins ennuyeuses (coût de réponse plus faible). Les personnes qui connaissaient une « Unité de Cybersécurité » spécifique dans leur entreprise estimaient que l'entreprise était meilleure pour combattre (capacité d'intervention plus élevée). Cela prouve que le radar capte réellement les différences de perception.

Ce que cela signifie (et ce que cela ne signifie pas)

Cette nouvelle échelle est un outil puissant pour les organisations. Elle ne vous dit pas si un ordinateur est infecté par un virus ; elle vous dit si les gens se sentent en sécurité et capables. Si une entreprise utilise ce radar et constate que son score de « Capacité d'Intervention » est bas, elle sait qu'elle doit montrer à ses employés comment fonctionne son équipe d'urgence. Si le score de « Coût de la Réponse » est élevé, elle sait que ses règles de sécurité sont trop compliquées et doivent être simplifiées.

Cependant, les chercheurs sont honnêtes quant aux limites. Cette étude a été réalisée en Turquie, principalement auprès de travailleurs du secteur public, nous ne savons donc pas avec certitude si le radar fonctionne exactement de la même manière dans une banque à New York ou une usine à Tokyo. De plus, cette étude n'a demandé aux gens que ce qu'ils ressentaient ; elle ne les a pas observés pour voir s'ils suivaient réellement les règles. Mais elle suggère fortement que la façon dont les employés pensent à la sécurité de leur entreprise est une pièce majeure du puzzle qui nous manquait.

En bref, cet article a construit une boussole à six parties pour aider les entreprises à naviguer dans la dimension humaine de la cybersécurité. Il montre que pour garder la ville numérique sûre, il faut construire des murs solides, mais il faut aussi s'assurer que les citoyens croient que les murs fonctionnent, qu'ils font confiance à l'équipe d'urgence et qu'ils ne sentent pas que les règles de sécurité sont trop lourdes à porter.

Résumé Technique : Développement et Validation de l'Échelle de Perception de la Cybersécurité Organisationnelle (PMT-OCPS)

Énoncé du Problème
Les instruments de mesure de la cybersécurité existants se concentrent principalement sur la sensibilisation individuelle, la conformité, les intentions comportementales ou les connaissances techniques. Il existe une lacune significative dans les outils psychométriquement validés capables d'évaluer les évaluations cognitives plus larges des employés concernant les processus de cybersécurité organisationnels. Plus précisément, la littérature actuelle manque d'un instrument fondé sur la Théorie de la Motivation de la Protection (PMT) qui évalue la manière dont les employés perçoivent la gravité des menaces organisationnelles, la vulnérabilité institutionnelle, les capacités de protection, les capacités de gestion des incidents et les coûts perçus des pratiques de sécurité. De plus, bien que le cadre NIST Cybersecurity Framework (CSF) 2.0 fournisse un vocabulaire opérationnel robuste pour la cybersécurité organisationnelle, il n'a pas été intégré efficacement comme référence contextuelle pour les modèles de mesure psychologique sans confondre les fonctions opérationnelles avec les construits psychologiques latents.

Méthodologie
L'étude a employé un processus rigoureux de développement et de validation d'échelle en plusieurs étapes, impliquant deux échantillons indépendants provenant de divers secteurs institutionnels en Turquie (éducation, santé, banque, administration publique, etc.) :

Développement des items : Un pool initial de 46 items a été généré sur la base de la PMT (évaluation de la menace et de l'adaptation) et contextualisé à l'aide des fonctions du NIST CSF 2.0 (Gouverner, Identifier, Protéger, Détecter, Répondre, Récupérer). Le NIST CSF 2.0 a servi strictement de référence contextuelle pour le contenu des items, et non comme structure de facteurs latents.
Validation par des experts : Un panel de huit experts a évalué les items pour la validité de contenu, aboutissant à une forme pilote de 32 items.
Étude pilote : Un pilote avec 47 participants a évalué la clarté et la stabilité temporelle (test-retest), menant au retrait de trois items et à une forme de 29 items.
Analyse Factorielle Exploratoire (AFE) : Réalisée sur un échantillon de $n=519$ . La qualité des données a été confirmée (KMO = .872). La factorisation par axe principal avec rotation Direct Oblimin a révélé une structure à six facteurs.
Analyse Factorielle Confirmatoire (AFC) : Réalisée sur un échantillon indépendant de $n=400$ . Le modèle a été affiné par le retrait de l'item 10 (faible saturation) et par la spécification de covariances d'erreur théoriquement justifiées au sein des construits latents.
Vérifications de la validité et de la fiabilité : L'étude a évalué la cohérence interne (alpha de Cronbach), la fiabilité composite (CR), la variance moyenne extraite (AVE), la validité discriminante (ratios HTMT) et le biais de méthode commune (test du facteur unique de Harman et VIF de colinéarité complète).
Validité de groupes connus : Des analyses supplémentaires ont été effectuées sur deux sous-échantillons spécifiques (institutions sportives publiques, $n=188$ ; employés universitaires, $n=113$ ) pour tester si l'échelle différenciait les groupes en fonction de la formation en cybersécurité, de la sensibilisation aux incidents et de la sensibilisation aux politiques.

Résultats Clés

Structure Factorielle : L'échelle finale, l'Échelle de Perception de la Cybersécurité Organisationnelle (PMT-OCPS), se compose de 27 items répartis en six dimensions :
1. Gravité Perçue (Évaluation de la menace)
2. Vulnérabilité Perçue (Évaluation de la menace)
3. Efficacité Préventive (Évaluation de l'adaptation)
4. Capacité d'Intervention (Évaluation de l'adaptation)
5. Auto-efficacité (Évaluation de l'adaptation)
6. Coût de la Réponse (Évaluation de l'adaptation)
Ajustement du Modèle : Le modèle AFC modifié a démontré de bons indices d'ajustement ( $\chi^2/df = 1.761$ , RMSEA = .044, CFI = .952, IFI = .953).
Fiabilité : La cohérence interne était bonne à excellente, avec des alphas de Cronbach allant de .762 à .862 pour les sous-dimensions et de .863 pour l'échelle totale. Les valeurs de fiabilité composite (CR) variaient de .727 à .866.
Validité :
- Validité Convergente : Soutenue par des valeurs de CR > .70. Les valeurs d'AVE variaient de .480 à .532 ; bien que deux dimensions (Vulnérabilité Perçue et Efficacité Préventive) soient légèrement en dessous du seuil de .50, les auteurs soutiennent que la validité est maintenue grâce à une CR adéquate et une cohérence théorique.
- Validité Discriminante : Les ratios HTMT étaient tous inférieurs au seuil de .85, confirmant des construits distincts.
- Validité de Groupes Connus : L'échelle a réussi à différencier les groupes. Par exemple, les employés ayant reçu une formation en cybersécurité ont rapporté une auto-efficacité et des scores totaux plus élevés, tandis que ceux sensibilisés à des incidents antérieurs ont rapporté une gravité et une vulnérabilité perçues plus élevées.
Différenciation Théorique : Une découverte critique a été la différenciation empirique de l'« Efficacité de la Réponse » en deux dimensions distinctes : l'Efficacité Préventive (croyance en les mesures préventives) et la Capacité d'Intervention (croyance en la capacité de l'organisation à détecter, répondre et récupérer).

Principales Contributions

Extension Théorique : L'étude étend la PMT du niveau individuel des comportements de protection au niveau organisationnel, conceptualisant la perception de la cybersécurité organisationnelle comme une évaluation cognitive multidimensionnelle.
Intégration Contextuelle : Elle intègre avec succès le NIST CSF 2.0 comme contexte opérationnel pour la formulation des items sans le traiter comme un modèle latent concurrent, jetant ainsi un pont entre l'évaluation psychologique et les cadres de gouvernance organisationnelle.
Développement d'Instrument : Elle fournit le premier instrument psychométriquement validé spécifiquement conçu pour mesurer les évaluations cognitives des employés concernant les menaces de cybersécurité organisationnelles et les capacités d'adaptation institutionnelles.
Mesure Nuancée : En distinguant les capacités préventives des capacités d'intervention, l'échelle offre une vue plus granulaire de la perception de la sécurité organisationnelle que les outils existants qui confondent souvent ces concepts.

Signification et Revendications
Les auteurs affirment que la PMT-OCPS offre un outil théoriquement fondé pour les chercheurs et les organisations afin d'évaluer la préparation à la cybersécurité centrée sur l'humain. L'échelle est positionnée non pas comme une mesure des connaissances techniques, du comportement réel ou de la maturité organisationnelle, mais spécifiquement comme une mesure de la perception. Les auteurs déclarent que l'échelle permet aux organisations de diagnostiquer les faiblesses perçues dans les mesures préventives, les capacités de réponse aux incidents et la charge perçue des pratiques de sécurité.

L'étude conclut que la différenciation de l'efficacité de la réponse en dimensions préventives et d'intervention est une avancée théorique significative, suggérant que dans des environnements organisationnels complexes, les employés évaluent l'« efficacité » de la sécurité à travers deux prismes distincts : la capacité de prévenir les incidents et la capacité de les gérer lorsqu'ils surviennent. Les auteurs maintiennent une position modeste, notant que les résultats sont basés sur des données transversales d'auto-évaluation provenant de Turquie et que des recherches futures sont nécessaires pour établir l'invariance de mesure à travers les cultures et les secteurs, ainsi que pour tester la validité prédictive par rapport aux comportements de sécurité réels.