Cybersécurité : et si on apprenait en jouant ?

InCyber a interrogé quatre experts qui utilisent cette approche ludique et particulièrement enrichissante pour les participants, mais également les concepteurs de jeux et les demandeurs. Voici leurs témoignages, leurs expériences et leurs conseils pour tirer le meilleur bénéfice du jeu comme outil de formation, de préparation, d’anticipation et d’amélioration continue dans un monde contemporain où l’incertain devient de plus en plus la norme.

Le casting des experts

• Cécile Wendling est prospectiviste et chercheuse associée en sciences sociales à Sciences-Po. Son domaine d’expertise est l’anticipation des risques et des crises. Elle a aussi travaillé pour l’Institut de recherche Stratégique de l’Ecole militaire (IRSEM) sur l’approche globale des crises. Avec son cabinet Pan-or-amiques, elle est aussi consultante et conférencière.
• Adrian Taylor est consultant au sein de son cabinet 4sing en anticipation stratégique et animateur d’ateliers de simulation et de scénarios prospectivistes. Quadrilingue, il a également été officier de l’armée, lobbyiste, fonctionnaire dans une organisation internationale et chercheur dans une université. Il accompagne différents secteurs industriels sur des sujets d’anticipation et de gouvernance.
• Patrick Ruestschmann est sous-directeur chargé du Wargaming interarmées au centre interarmées de concepts, doctrines et expérimentations (CICDE), centre de réflexion militaire de l’État-major des armées. Il conçoit et anime notamment des wargames/serious games pour les hautes autorités françaises pour leurs homologues des pays alliés.
• Frédéric Duflot est cofondateur et PDG d’Examin, une société créée en 2019 qui propose un logiciel d’aide à l’audit et à la conformité et à la certification en matière cyber. À l’origine, il est juriste spécialisé en cybersécurité issu du secteur public (ANSSI, Ministère de l’Intérieur). Fan invétéré de jeux de plateau, il a développé récemment Eveil Cyber, un jeu pour former différents publics à la cybersécurité. 

Pourquoi s’appuyer sur des jeux pour évoquer des sujets pointus comme la cybersécurité ou se préparer à la crise ? 

C.W. : Le jeu a l’incontestable mérite d’ouvrir les champs de réflexion sur différentes typologies de problématiques tout en offrant une format plus accessible et plus inclusif pour les participants qui peuvent parfois renâcler ou ne pas vouloir s’intéresser à un sujet qui est pourtant essentiel pour leur activité. Plutôt qu’avoir un long exposé didactique, les gens vivent une expérience collective pendant quelques heures. Ils apprennent des concepts et des notions mais pas uniquement. La dynamique du jeu les pousse à interagir avec les uns et les autres, à prendre des décisions face à des faits qui surviennent pendant une partie. Cela stimule la créativité et sollicite aussi les émotions. 

A.T. : L’humain évolue essentiellement par les expériences qu’il traverse au cours de sa vie. Le jeu permet précisément de créer des expériences à dessein pour sensibiliser et faire évoluer des comportements et des schémas de pensée. Il permet en outre de visualiser, de comprendre différents sujets et même de se frotter à des contextes qu’il ne connait pas ou mal. Avec le jeu, les participants font vite abstraction de la réalité. Ils se glissent dans un rôle, doivent développer une autre vision et en tirent des enseignements auxquels ils n’avaient pas forcément songé. 

P.R. : Recourir à un jeu permet d’obtenir des niveaux d’engagement et d’attention inégalés de la part des participants. C’est beaucoup plus puissant et enrichissant qu’un exposé linéaire classique. De plus, l’aspect collectif est générateur de discussions au cours du jeu, de prises de conscience, de questions nouvelles et d’envie de creuser des sujets auxquels on ne pensait pas. Enfin, le jeu est quelque chose de modulaire que l’on peut adapter en permanence en fonction des profils qui vont participer, des objectifs visés et du niveau pédagogique attendu. 

F.D : Sur des thèmes pas toujours faciles à appréhender comme celui de la cybersécurité, le jeu apporte un impact cognitif bien meilleur. Cela aide à dépasser certains blocages et rendre moins aride certains concepts. L’apprentissage s’en trouve nettement amélioré avec même de l’émulation entre les différents participants. Autre point fort : le jeu peut être configuré pour des objectifs variés. Cela peut consister à sensibiliser un public assez large, faire de la remédiation sur la base d’expériences vécues ou encore réfléchir de manière prospective à des risques éventuels. La palette est large et s’adapte à tous les niveaux d’expertise. 

Quels sont les critères importants à intégrer en amont pour s’assurer de la réussite d’un programme de gamification ? 

C.W. : Il s’agit en premier lieu de ne pas jouer pour jouer ou céder à une certaine mode pour être dans le vent ! Il faut absolument d’abord se poser sur l’effet recherché si l’on décide d’utiliser un jeu. Il est nécessaire de prendre en compte les besoins spécifiques auxquels on cherche à répondre à travers un jeu, bien déterminer les attendus auprès de la population qui va jouer et concevoir un scénario et des règles en fonction des profils des participants. Cette phase est essentielle pour que le jeu soit bien reçu et apporte des bénéfices aux joueurs. 

A.T : À mes yeux, il y a deux dimensions qu’il est capital d’intégrer pour que le jeu conserve toute son efficacité. Il faut d’abord considérer la culture de l’entreprise ou de l’organisation dont sont issus les joueurs. Notamment d’un point de vue managérial et culturel. En effet, les rapports hiérarchiques ne se vivent pas de la même manière selon les secteurs d’activité, la taille de l’entreprise, la personnalité du dirigeant ou même la culture du pays. Les pays asiatiques par exemple n’ont pas la même approche du management que les pays occidentaux. C’est un point important à connaître lorsqu’on compose des groupes de joueurs. Sinon, cela peut biaiser le déroulement du jeu. L’autre dimension, c’est de parvenir à s’assurer de l’implication du dirigeant. Le fait qu’il accepte de se rendre disponible, aura une incidence bénéfique.

P.R. : Le cadrage initial est fondamental. Il faut s’accorder sur la question que le jeu doit traiter et définir clairement le périmètre des attentes et des objectifs visés. Tant que le demandeur d’un jeu n’est suffisamment précis sur ces points, mon équipe et moi-même ne démarrons pas la conception du jeu. Il est nécessaire d’avoir un pitch de quelques lignes sur lequel tout le monde s’accorde. Il ne faut pas hésiter à y passer du temps, le cas échéant. Il en va de la pertinence et de l’efficacité même du jeu !

F.D. : Entre autres, je m’attache à deux points incontournables pour m’assurer que le jeu va fonctionner positivement. Cela passe d’abord par tester l’ergonomie du jeu. J’ai coutume de dire que, lorsqu’on créé un jeu, pour une heure de conception effective, il faudra faire quatre heures de test. Un jeu de plateau doit être attractif avec des pions et des objets signifiants. Avec des cartes agréables et faciles à lire. Tous ces petits détails peuvent obérer le bon déroulement du jeu. Il faut accepter les critiques et revoir sa copie. Ensuite, pendant une partie, l’animation du jeu est clé. En premier lieu dans l’explication des règles. Quand le jeu démarre, l’animateur doit être le plus inclusif possible et identifier les différents profils, par exemple les extravertis et les introvertis. Chacun doit pouvoir s’exprimer et contribuer. Il faut aussi savoir gérer les casseurs de jeu et les neutraliser si besoin. Sinon, le jeu risque de déraper et de démotiver le groupe.

Quels sont les types de jeux que vous utilisez ? 

C.W. : Il existe aujourd’hui quantité de formats de jeux. En présentiel autour d’un plateau avec des cartes et des pions. Avec parfois l’adjonction d’écrans numériques. On peut également s’appuyer sur un modèle totalement immersif avec des jeux en ligne ou des casques de réalité virtuelle. Les scénarios peuvent être réalistes ou complètement fictionnels. En fait, le choix du format dépend étroitement de l’effet expérientiel recherché auprès de ceux qui vont jouer. S’agit-il d’acquérir des connaissances, de stimuler leur créativité ou encore d’inciter à la collaboration ? C’est cela qui doit orienter l’adoption d’un format.

A.T : Dans le cadre de mes interventions, j’utilise souvent un jeu collaboratif qui s’appelle
« Neustart ». Ce jeu de plateau pour 2 à 12 joueurs s’inspire de « Black-out », un roman d’anticipation de l’écrivain autrichien Marc Elsberg. Le scénario évoque une vaste cyber-attaque qui coupe l’électricité dans plusieurs grandes villes européennes. Les joueurs sont membres d’une cellule de crise municipale et doivent maintenir l’approvisionnement de la population en produits de première nécessité ainsi que le calme et l’ordre le plus longtemps possible. C’est très immersif et interactif et pourtant, ce n’est jamais vraiment le même déroulement qui opère. J’apporte en permanence des ajustements aux procédures de jeu en fonction des profils des participants, de la taille de la ville qu’ils doivent protéger. C’est fondamental pour que les gens s’approprient pleinement la partie. Il n’y a pas de bon ou mauvais jeu en soi. Il faut qu’il soit adapté, presque sur mesure ! 

P.R. : Au CICDE, nous avons l’avantage de disposer d’une cellule conseil pour réfléchir à la création de nouveaux jeux et d’un studio qui va s’atteler à leur conception. Nous n’excluons rien. Nous réalisons beaucoup de jeux de plateau mais il nous arrive parfois d’élargir le jeu avec un environnement numérique pour nourrir le scénario comme des posts de réseaux sociaux, des vrais-faux journaux télévisés, des simulations pour produire des données quantitatives et des contenus générés par IA. Le format tout numérique peut aussi être envisagé bien qu’il limite un peu plus à mon sens l’interactivité qu’un jeu physique en présentiel suscite, en particulier avec les profils de nos participants.

F.D. : Pour le moment, je m’attache à développer et faire évoluer notre jeu de plateau. Le mode physique me semble particulièrement bien adapté pour rassembler des joueurs et les faire dialoguer sur la cybersécurité. En revanche, j’ai introduit des options dans le jeu selon le profil des participants. Par exemple, il existe un jeu de cartes plus orienté sur les réglementations sont introduites dans le jeu lorsqu’il y a des juristes. La modularité du jeu est importante. 

Si vous n’aviez que quelques mots pour convaincre des dirigeants et des équipes de recourir à la gamification dans leurs propres organisations, quel atout mettriez-vous en avant ? 

C.W. : En termes de dynamique d’équipes, le jeu offre un atout particulièrement intéressant : permettre à chacun de comprendre le point de vue de l’autre. Soit en endossant son rôle, soit en cherchant à comprendre le sens de son action. Cela accroît l’inclusivité et la collaborativité. Vivre cette expérience aide ensuite au quotidien à fluidifier les relations.

A.T. : Le jeu peut être un révélateur de personnalités. J’ai déjà vu des joueurs d’ordinaire réservés ou n’osant pas dire ou contribuer, avoir des comportements nettement plus proactifs pendant une partie. Pour des managers, c’est un grille de lecture supplémentaire très intéressante. Et puis, le jeu aide aussi à établir des listes d’actions et de correctifs à réaliser dans la vraie vie. Ce n’est pas juste une parenthèse. 

P.R. : Un des nombreux atouts du jeu est qu’il pousse les joueurs à sortir de leur zone de confort, à explorer des pistes et se poser des questions. Même si l’on n’a pas forcément les réponses à l’issue du jeu, cela contribue à revisiter ses schémas de pensée et à s’ouvrir à d’autres perspectives. Le jeu aide par ailleurs à observer les comportements et les réactions des uns et des autres. Cela permet de travailler la relation humaine et la collaboration. 

F.D. : Sur des notions complexes ou des savoirs pointus, le jeu est un excellent levier pour s’affranchir de certaines réticences ou résistances, voire un manque d’intérêt. Sur la cybersécurité, le jeu permet d’introduire de façon ludique des sujets à la base complexes ou très abstraits pour beaucoup de gens. Au bout du compte, ils sont même contents d’avoir des notions utiles pour leur propre quotidien, par exemple sur les risques d’usurpation d’identité ou d’hameçonnage.