Étude : La « lassitude face à la sécurité » pourrait affaiblir les défenses numériques
infohightech ·
Entre la réinitialisation des mots de passe, les mises à jour logicielles, les alertes d'hameçonnage et les formations à la cybersécurité, le monde du travail actuel est ponctué de rappels constants concernant la sécurité numérique. Or, une nouvelle étude menée par la Massry School of Business de l'Université d'Albany suggère que ces mesures de protection, pourtant bien intentionnées, pourraient avoir un effet inattendu.
Une étude récente, intitulée «“Security Fatigue: Manifestation of Emotional Exhaustion and Cynicism by Depletion of Self-Regulation Capacity ou Fatigue en matière de sécurité : manifestation d’épuisement émotionnel et de cynisme par épuisement des capacités d’autorégulation », publiée dans l’ European Journal of Information Systems , examine l’impact des exigences croissantes en matière de cybersécurité sur le comportement des employés. Cette recherche révèle que l’exposition répétée aux exigences de sécurité peut engendrer une « fatigue en matière de sécurité », un état dans lequel les employés sont mentalement épuisés et se désintéressent des pratiques de sécurité.
« Les exigences de sécurité sont conçues pour protéger les organisations, mais elles imposent également aux employés des contraintes supplémentaires qui s'accumulent avec le temps », a déclaré Sanjay Goel , professeur titulaire de la chaire Morris Massry et directeur du département de sécurité de l'information et de criminalistique numérique . « Lorsque ces contraintes dépassent la capacité d'un individu à les gérer, il devient plus difficile de maintenir un comportement de sécurité constant. »
Sanjay Goel a mené la recherche avec ses co-auteurs Akanksha Malik de la Guildhall School of Business and Law de la London Metropolitan University (Royaume-Uni) et Shuchi Sinha de l'Indian Institute of Technology Delhi (Inde).
La dimension humaine de la cybersécurité
Bien que la cybersécurité soit souvent présentée comme un défi technique, l'étude met en lumière la pression croissante exercée sur les employés qui doivent mettre en œuvre des pratiques de sécurité en temps réel.
Sanjay Goel, professeur titulaire de la chaire Morris Massry en sécurité de l'information et criminalistique numérique, s'adresse aux étudiants du laboratoire d'intelligence artificielle pour les entreprises de l'université d'Albany. (Photo : Patrick Dodson)
Les employés sont régulièrement amenés à gérer diverses tâches liées à la sécurité, allant de la gestion de mots de passe complexes à l'identification des tentatives d'hameçonnage, en passant par l'adaptation aux politiques fréquemment mises à jour. Si chaque tâche est gérable individuellement, leur cumul peut engendrer une charge cognitive importante et durable, nuisant à leurs responsabilités principales.
Avec le temps, cette charge de travail diminue la capacité d'autorégulation d'une personne, engendrant une fatigue qui se manifeste par un épuisement émotionnel et un désengagement vis-à-vis des pratiques de sécurité. Dans ce cas, les employés peuvent commencer à ignorer les avertissements, à réutiliser des mots de passe faibles ou à chercher des solutions de contournement pour rester productifs.
« Les gens n’essaient pas de contourner la sécurité », a déclaré Goel. « Dans bien des cas, ils sont simplement dépassés par le volume et la complexité des tâches qui leur sont demandées. »
L'étude révèle que ce comportement n'est généralement pas malveillant, mais résulte d'une surcharge de travail. Les employés qui se désengagent étaient souvent auparavant coopératifs, mais sont désormais épuisés par des exigences constantes.
Réduire la fatigue, améliorer l'observance
Pour mieux comprendre le problème, les chercheurs ont interrogé près de 300 employés américains à temps plein ayant une expérience des politiques de cybersécurité de leur entreprise. Leurs conclusions montrent que la lassitude face à la sécurité est plus susceptible de se manifester lorsque les exigences de sécurité entravent la capacité des employés à accomplir leurs tâches principales.
Parallèlement, la recherche identifie des moyens pour les organisations de réduire les risques. Les employés qui ont confiance en leur capacité à gérer les tâches de sécurité (ce qu'on appelle l'auto-efficacité en matière de sécurité) et ceux qui comprennent les risques liés à la cybersécurité sont plus susceptibles de respecter les règles de conformité, même en cas de fatigue.
« Les organisations doivent réfléchir attentivement à la manière dont leurs politiques de sécurité sont mises en œuvre », a déclaré Goel. « Proposer des formations, simplifier les processus et intégrer la sécurité aux flux de travail quotidiens peuvent réduire les obstacles et aider les employés à rester impliqués dans les pratiques de sécurité. »
L'étude souligne l'importance du soutien organisationnel, notamment en matière de formation et d'assistance technique, pour aider les employés à mieux appréhender les exigences de sécurité. Lorsque ce soutien est en place, l'impact des exigences de sécurité sur le travail quotidien est réduit.
Face à l'évolution constante des cybermenaces, les conclusions de cette étude mettent en lumière un défi plus vaste : renforcer la sécurité sans surcharger les équipes chargées de sa mise en œuvre. Les chercheurs suggèrent aux organisations de se concentrer non seulement sur des politiques plus strictes, mais aussi sur la conception de systèmes pérennes.
https://www.albany.edu/news-center/news/2026-study-security-fatigue-may-weaken-digital-defenses