Top 10 des plateformes de Human Risk Management pour 2026 [Guide complet]

Le Human Risk Management , c'est ce qui arrive lorsque le marché de la formation à la sensibilisation à la sécurité gagne en maturité. Forrester l'a officialisé en 2024 en retirant la catégorie « security awareness and training » (SA&T) de sa couverture analyste pour la remplacer par le Human Risk Management (HRM). La première Forrester Wave consacrée au HRM est parue au troisième trimestre de cette même année. Le raisonnement était simple. Environ 90 % des violations impliquent encore le facteur humain. Après deux décennies de formation de sensibilisation, les taux de clic restent élevés, les récidivistes du clic existent toujours, et la plupart des plateformes continuent de mesurer l'achèvement des formations comme si terminer un module équivalait à être compétent.

Le HRM est la réponse. Plutôt que de vérifier si une personne a regardé une vidéo, la question devient : que fait réellement cette personne lorsqu'une attaque survient, quel est son score de risque, comment évolue-t-il dans le temps, et quelle intervention le fait bouger. Le livrable n'est pas un rapport d'achèvement. C'est un changement de comportement mesurable et un risque que l'on peut démontrer en baisse.

Ce guide passe en revue 10 plateformes de Human Risk Management qui méritent d'être évaluées en 2026. Certaines sont HRM-natives depuis le départ. D'autres étaient des éditeurs SAT qui se sont reconstruits de façon crédible autour de la nouvelle catégorie. Quelques-unes restent majoritairement du SAT avec un discours HRM par-dessus, et nous serons clairs sur ce qui relève de l'un ou de l'autre. Nous détaillons ce que fait chaque plateforme, à qui elle convient le mieux, et où se situent ses limites concrètes.

Qu'est-ce que le Human Risk Management, au juste ?

Il vaut la peine de le préciser avant d'aller plus loin, car le terme est souvent étiré. La définition de Forrester repose sur trois piliers : détecter les comportements de sécurité humains, identifier les risques posés par et pour les humains, et adapter les politiques, les formations et la technologie pour protéger ces humains. En pratique, cela suppose une plateforme capable de :

• Quantifier le risque humain par utilisateur, par équipe et par organisation, avec un score qui évolue dans le temps
• Détecter les comportements et événements qui influencent ce score (phishing cliqué, phishing ignoré, phishing signalé, identifiants compromis, réutilisation de mots de passe faibles, non-acceptation des politiques, etc.)
• Déclencher automatiquement des interventions lorsque le risque franchit un seuil (formation, rappels, diffusion de politiques, notification du manager)
• Démontrer le changement de comportement et la réduction du risque dans des rapports que les conseils d'administration et les auditeurs acceptent

Si une plateforme délivre des formations et lance des simulations de phishing mais ne quantifie pas le risque par personne et n'intervient pas en fonction de celui-ci, il s'agit encore de formation de sensibilisation avec une nouvelle étiquette. C'est une distinction utile lorsqu'on compare ce que propose le marché.

Que rechercher dans une plateforme de Human Risk Management

Quelques critères distinguent les véritables plateformes HRM de celles qui ont simplement changé d'étiquette.

Un véritable score de risque humain. Par utilisateur, par équipe, par organisation, recalculé en continu à partir des comportements observés. Pas un simple agrégat des taux d'achèvement des formations.

Des sources de données comportementales, au pluriel. Les résultats des simulations de phishing ne sont qu'une donnée d'entrée. Les plateformes HRM matures intègrent aussi les vrais phishing signalés, l'exposition d'identifiants sur le dark web, les écarts d'acceptation des politiques, l'engagement aux formations, et idéalement des signaux issus de l'ensemble de la pile de sécurité (sécurité de la messagerie, identité, DLP). Les Leaders de la Forrester Wave ont précisément été distingués pour l'ampleur des intégrations alimentant leurs scores de risque.

Des interventions adaptatives. Lorsque le risque d'un utilisateur augmente, quelque chose se déclenche automatiquement : formation ciblée, rappel du manager, rappel de politique, cadence resserrée des simulations de phishing. La plateforme doit boucler la boucle, pas seulement l'observer.

La formation et le phishing comme composantes du HRM, pas comme finalité. Les deux sont des données d'entrée et des mécanismes d'intervention nécessaires. Aucun n'est le livrable. Les plateformes où la formation est le centre de gravité et où le HRM est rajouté par-dessus tendent à sous-performer sur la quantification du risque.

La gestion des politiques. L'Annexe A 5.1 de l'ISO 27001, le CC2.2 de SOC 2 et l'Article 21 de NIS2 exigent tous des preuves que les collaborateurs ont lu et accepté les politiques qui régissent leur rôle. C'est en soi un signal de risque humain, qui doit se trouver au sein de la plateforme HRM et non dans un outil distinct.

Un reporting aligné sur le nouveau vocabulaire. Les conseils d'administration veulent voir le risque humain baisser. Les auditeurs acceptent de plus en plus les indicateurs comportementaux plutôt que les taux d'achèvement comme preuve d'un programme qui gagne en maturité. Le reporting de la plateforme doit parler les deux langages.

Une adéquation au modèle opérationnel. Les équipes IT internes ont besoin de peu d'administration et d'un reporting clair. Les MSP ont besoin d'une gestion multi-tenant et de marque blanche. Les grands comptes ont besoin d'intégrations à leur pile GRC et identité existante. La bonne plateforme HRM s'adapte à votre façon de travailler.

Vue d'ensemble comparative des plateformes

‍

Top 10 des plateformes de Human Risk Management pour 2026

1. usecure

https://usecure.io

usecure est une plateforme de Human Risk Management articulée autour de quatre modules qui alimentent un Human Risk Score unique : uLearn pour la formation de sensibilisation personnalisée, uPhish pour les simulations de phishing automatisées, uPolicy pour la diffusion et l'attestation des politiques, et uBreach pour la surveillance des identifiants sur le dark web. Chaque module produit des données comportementales ; le Human Risk Score les combine en une métrique unique par utilisateur, par équipe et par organisation, qui se met à jour en continu.

La plateforme correspond clairement à la définition du HRM de Forrester. Le comportement est détecté (clics de phishing, signalements, tentatives ignorées, expositions d'identifiants, statut d'acceptation des politiques). Le risque est quantifié à trois niveaux. Les interventions se déclenchent automatiquement lorsque les scores évoluent : attributions de formation ciblées, rediffusions de politiques, ajustements de la fréquence AutoPhish. Le reporting démontre l'évolution dans le temps, dans un langage qu'un conseil d'administration comprend et qu'un auditeur accepte.

Ce qui distingue usecure des plateformes HRM plus imposantes, c'est le modèle opérationnel. La plateforme est conçue pour les organisations qui n'ont pas d'équipe dédiée au risque humain. AutoPhish lance des simulations de phishing selon un calendrier glissant, sans aucune configuration de campagne. Vous définissez une fenêtre de fréquence et la plateforme choisit les modèles pour chaque utilisateur, dans sa langue, pendant ses heures de travail. L'inscription aux formations est automatique, déclenchée par le comportement. Les politiques se diffusent et relancent elles-mêmes les acceptations. La plupart des équipes internes déclarent 1 à 2 heures d'administration par mois au total.

Pour les équipes conformité, usecure publie des correspondances détaillées montrant comment la plateforme soutient le volet « risque humain » des principaux référentiels : ISO 27001, SOC 2, NIS2, et d'autres. Le Human Risk Score et les données comportementales qui le sous-tendent fournissent aux auditeurs les preuves qu'ils commencent à exiger, au-delà des pourcentages d'achèvement.

Pour les équipes IT et sécurité internes, l'offre dédiée aux équipes IT repose sur une administration minimale, une tarification par utilisateur et un reporting prêt pour l'audit. Pour les MSP et cabinets de conseil qui délivrent le HRM en service managé, l'offre MSP ajoute la gestion multi-tenant et la marque blanche.

Vous pouvez démarrer un essai gratuit sans appel commercial pour la tester sur vos propres utilisateurs.

Cible idéale : PME, organisations mid-market et MSP qui veulent une véritable plateforme HRM (score de risque, données comportementales, interventions adaptatives, politiques incluses) sans la complexité ni la tarification des solutions pour grands comptes.

2. CybSafe

https://www.cybsafe.com

CybSafe a été nommé Leader dans la Forrester Wave for Human Risk Management Solutions, T3 2024, et à juste titre. La plateforme repose sur la science comportementale, avec la Security Behaviours Database (SebDB) qui sous-tend l'ensemble en tant que taxonomie structurée des comportements précis qui augmentent ou réduisent le cyber-risque. Les interventions ciblent des comportements, pas des thématiques.

Pour les organisations dont les échanges d'audit et le reporting au conseil dépassent les taux d'achèvement pour entrer dans de véritables indicateurs de changement comportemental, CybSafe fournit les données et le cadre pour raconter cette histoire de façon crédible. La plateforme identifie les points chauds de risque, automatise les interventions pour faire évoluer des comportements précis et quantifie le risque humain en temps réel. Le PDG Oz Alashe et l'équipe de recherche de l'entreprise sont des leaders d'opinion visibles dans l'univers du HRM, ce qui renforce la crédibilité auprès des analystes.

Compromis : CybSafe est positionné et tarifé pour les grands comptes. Sa bibliothèque de contenus est plus restreinte que celle des plateformes issues du SAT, de sorte que certains clients l'associent à un autre outil pour le volume de contenu. Sa reconnaissance dans les contextes d'audit progresse, mais reste en retrait de la notoriété de marque de KnowBe4.

Cible idéale : grands comptes et programmes de sécurité matures qui abordent le risque humain comme un problème de science comportementale plutôt que comme un problème de formation.

3. Living Security

https://www.livingsecurity.com

L'autre Leader de la Forrester Wave issu de l'évaluation du T3 2024. La plateforme Unify de Living Security adopte un angle différent : plutôt que de construire des scores de risque à partir des seules données de formation et de phishing, elle s'intègre à l'ensemble de la pile de sécurité et agrège plus de 250 comportements utilisateurs distincts issus de plus de 60 intégrations prêtes à l'emploi. Sécurité de la messagerie, identité, DLP, EDR, données de formation : tout alimente le Human Risk Index.

Pour les organisations dotées d'une pile de sécurité mature, cette agrégation constitue la proposition de valeur. Vous obtenez un score de risque par utilisateur qui reflète ce qui se passe réellement à travers l'ensemble de votre outillage de sécurité, et pas seulement au sein de la plateforme de sensibilisation. Forrester a spécifiquement souligné l'automatisation d'Unify : des workflows qui répondent aux événements à risque par des attributions de formation, des rappels et des changements de politique limités.

Compromis : Living Security est conçu pour les organisations disposant des points d'intégration nécessaires pour l'alimenter. Les PME sans pile de sécurité approfondie n'en tirent pas toute la valeur. La tarification reflète le positionnement grand compte. La mise en place est plus lourde que celle des plateformes HRM au périmètre fonctionnel plus resserré.

Cible idéale : grands comptes dotés d'opérations de sécurité matures qui veulent une vraie vision transverse du risque humain.

4. Hoxhunt

https://hoxhunt.com

Hoxhunt est HRM-natif et orienté engagement. La plateforme utilise une difficulté adaptative pilotée par l'IA : chaque utilisateur reçoit des simulations calibrées sur son niveau de compétence actuel, avec une gamification et des classements qui génèrent des taux de signalement surpassant régulièrement les plateformes héritées. Les simulations multicanales couvrent l'e-mail, Slack et Teams, et Hoxhunt propose du phishing par deepfake généré par IA pour la formation à l'usurpation de dirigeants.

Le volet scoring de risque est solide : Hoxhunt produit des indicateurs de risque par utilisateur fondés sur la performance aux simulations, les vrais phishing signalés et les schémas d'engagement. Des clients rapportent une baisse des taux d'échec d'environ 11 % en référence à 2 % en un an, avec des taux de signalement multipliés par dix. C'est précisément le type de changement comportemental que Forrester vise lorsqu'il parle de HRM mature.

Compromis : Hoxhunt est tarifé pour les grands comptes. La plateforme est forte sur le HRM piloté par la formation, mais plus légère sur la gestion des politiques et les signaux comportementaux externes. Certains clients l'associent à un outil distinct pour la conformité aux politiques.

Cible idéale : organisations mid-market et grands comptes pour lesquelles l'engagement et le changement comportemental sont les principaux moteurs.

5. Mimecast (Human Risk Management)

https://www.mimecast.com

Mimecast a été nommé Strong Performer dans la Forrester Wave consacrée au HRM, T3 2024. L'approche de la plateforme est singulière : le risque humain est calculé comme la composition de trois facteurs : les actions (comportement), les attaques (menace) et les accès (identité). Le scoring de risque s'appuie sur la base de 45 000 clients de Mimecast et s'intègre à des produits de sécurité tiers pour récupérer des signaux de risque supplémentaires.

Pour les organisations utilisant déjà la sécurité de la messagerie Mimecast, la plateforme HRM se greffe naturellement sur une source de données existante. La threat intelligence issue de la sécurité de la messagerie alimente directement le score de risque humain, de sorte que les utilisateurs ciblés par de vraies attaques sont notés différemment de ceux qui ne le sont pas. L'acquisition d'Elevate Security (désormais intégrée à la plateforme HRM de Mimecast) a ajouté de la profondeur en science des données comportementales.

Compromis : le HRM de Mimecast fonctionne mieux associé à la sécurité de la messagerie de Mimecast. En tant qu'outil HRM autonome, il est moins convaincant que les plateformes dédiées. La tarification et la complexité grand compte découlent du positionnement grand compte.

Cible idéale : grands comptes utilisant déjà Mimecast qui veulent un HRM lié à la threat intelligence de la messagerie.

6. SoSafe

https://sosafe-awareness.com

SoSafe est une plateforme européenne qui a su évoluer de façon crédible d'un SAT gamifié vers le territoire du HRM. L'Adaptive Difficulty Engine ajuste la formation et les simulations de phishing par utilisateur selon les comportements observés, le chatbot IA Sofie délivre du micro-apprentissage contextuel au moment du clic, et le Behavioural Security Maturity Model de la plateforme offre aux organisations une feuille de route de progression vers le HRM.

Les simulations multicanales couvrent l'e-mail, le SMS, les QR codes et (en accès anticipé) la voix. Le Phishing Report Button donne aux utilisateurs finaux un moyen natif de signaler les e-mails suspects, avec un retour intégré qui alimente la couche de scoring de risque. Pour les entreprises de l'UE, l'hébergement des données et la posture GDPR restent les différenciateurs marquants : SoSafe héberge les données au sein de l'UE avec de solides contrôles de confidentialité dès la conception.

Compromis : SoSafe se situe plus près de l'extrémité « SAT enrichi de fonctionnalités HRM » que de l'extrémité HRM-native du spectre. Son scoring de risque s'améliore mais n'est pas aussi approfondi que celui de CybSafe ou Living Security.

Cible idéale : organisations mid-market et MSP de l'UE qui veulent une évolution vers le HRM avec un fort hébergement des données.

7. KnowBe4 (AIDA)

https://www.knowbe4.com

KnowBe4 est le plus grand éditeur SAT, et la suite AIDA (Artificial Intelligence Defense Agents) est la réponse de l'entreprise au virage HRM. AIDA personnalise la formation à l'aide de l'IA, génère du contenu adaptatif et produit un score Virtual Risk Officer (VRO) par utilisateur. C'est un pas crédible vers le HRM, même si le centre de gravité de la plateforme reste la formation de sensibilisation plutôt que la gestion du risque comportemental.

Pour les organisations qui utilisent déjà KnowBe4 et veulent s'étendre vers des capacités de type HRM sans changer de plateforme, AIDA est la voie de montée en gamme évidente. L'intégration à l'infrastructure de campagnes existante de KnowBe4 est étroite, la bibliothèque de contenus est la plus vaste de la catégorie, et les auditeurs reconnaissent les rapports.

Compromis : AIDA se situe dans les paliers tarifaires supérieurs, la fatigue de contenu et la charge d'administration reviennent régulièrement dans les avis utilisateurs, et les capacités HRM sont moins matures que celles des plateformes HRM conçues à cet effet. Mérite d'être comparé aux options HRM-natives avant de s'engager.

Cible idéale : clients KnowBe4 existants s'étendant vers le HRM, et organisations qui valorisent l'étendue du contenu en parallèle du scoring HRM.

8. Proofpoint

https://www.proofpoint.com

Le positionnement HRM de Proofpoint s'appuie sur People Risk Explorer, un outil qui combine les données de formation de sensibilisation avec la threat intelligence de la sécurité de la messagerie de l'entreprise pour identifier les utilisateurs les plus susceptibles d'être ciblés ou de cliquer. Le scoring de risque est nourri par de vraies données d'attaque, un différenciateur significatif : savoir qui est attaqué est aussi important que savoir qui clique.

Pour les clients de la sécurité de la messagerie Proofpoint, cette intégration apporte une vraie valeur. Le cadre ACE (Assess, Change, Evaluate) personnalise les parcours de formation à partir des sorties de People Risk Explorer, et la compatibilité SCORM simplifie l'intégration aux LMS existants. Le reporting est de niveau grand compte.

Compromis : le HRM de Proofpoint est à son meilleur au sein de l'écosystème Proofpoint. En tant que plateforme HRM autonome, il est moins flexible que les outils dédiés, et l'engagement reste en retrait des options plus gamifiées.

Cible idéale : grands comptes utilisant déjà la sécurité de la messagerie Proofpoint et souhaitant un HRM lié à de vraies données de menace.

9. CultureAI

https://www.culture.ai

CultureAI est une plateforme HRM-native basée au Royaume-Uni, articulée autour de l'intervention au point de risque. Plutôt que des formations planifiées et des campagnes de phishing trimestrielles, CultureAI détecte les comportements à risque au moment où ils se produisent (exposition d'identifiants, partage de données sensibles dans les outils collaboratifs, mots de passe faibles, violations de politiques) et intervient sur l'instant. Certaines interventions sont des corrections automatisées ; d'autres sont des rappels pédagogiques adressés à l'utilisateur.

La plateforme s'intègre à l'ensemble de la pile SaaS pour détecter des comportements que d'autres plateformes HRM laissent passer. Pour les organisations dotées d'environnements Microsoft 365, Google Workspace et SaaS étendus, cette couche de détection en temps réel apporte un signal réel que les plateformes HRM pilotées par simulation ne captent pas.

Compromis : CultureAI est plus jeune et plus petit que les acteurs établis, avec une bibliothèque de contenus plus restreinte. La plateforme excelle dans la détection comportementale en temps réel mais est moins mature sur le volet formation structurée et reporting de conformité.

Cible idéale : organisations mid-market et grands comptes à l'empreinte SaaS étendue qui veulent une intervention comportementale en temps réel.

10. Right-Hand

https://www.right-hand.ai

Right-Hand est une plateforme HRM basée aux États-Unis, centrée sur les interventions contextuelles délivrées dans les outils que les utilisateurs utilisent déjà (Slack, Teams, e-mail). L'approche est légère : plutôt que de sortir les utilisateurs de leur flux de travail pour une formation, Right-Hand délivre des rappels, du micro-apprentissage et des incitations comportementales en contexte, au moment pertinent.

La plateforme s'intègre à la sécurité de la messagerie, à l'identité et à d'autres outils pour faire remonter les comportements à risque et intervenir. Le reporting inclut un score de risque humain par utilisateur, avec des données de tendance et une visibilité transverse qui s'enrichit à mesure que les intégrations gagnent en maturité.

Compromis : Right-Hand est plus récent sur le marché que CybSafe ou Living Security, avec moins de reconnaissance analyste et une base de clients plus réduite. À comprendre comme une brique d'une pile HRM plutôt qu'une plateforme tout-en-un unique.

Cible idéale : organisations mid-market qui veulent des interventions HRM légères, intégrées au flux de travail, en complément d'une plateforme de sensibilisation existante.

Comment choisir la bonne plateforme de Human Risk Management

La catégorie est plus large qu'il n'y paraît, ce qui signifie que le choix dépend davantage du type de HRM que vous cherchez à mettre en œuvre que de la plateforme « la meilleure ».

Si vous passez du SAT au HRM et voulez une plateforme complète sans la complexité des solutions pour grands comptes, usecure est le point d'atterrissage le plus fréquent. Scoring de risque, formation, phishing et politiques dans un seul système, faible administration, tarification transparente et correspondances de conformité claires. C'est la plateforme HRM que la plupart des PME et organisations mid-market finissent par choisir, parce que le modèle opérationnel correspond à la façon dont les équipes plus petites travaillent réellement.

Si vos échanges d'audit et de conseil portent sur la science comportementale et la quantification du risque, regardez CybSafe et Living Security, les deux Leaders de la Forrester Wave du T3 2024. Les deux produisent la profondeur de données comportementales et de modélisation du risque qu'exigent les programmes HRM matures. Living Security va plus loin sur l'intégration transverse ; CybSafe va plus loin sur la méthodologie de science comportementale.

Si l'engagement est votre principale lacune actuelle, Hoxhunt est l'option la plus forte. Le modèle de difficulté adaptative et la gamification surpassent régulièrement sur les taux de signalement aux simulations et le changement de comportement.

Si vous utilisez déjà une plateforme de sécurité de la messagerie pour grands comptes, Mimecast (clients Mimecast existants) ou Proofpoint (clients Proofpoint existants) vous permettent de vous étendre vers le HRM sans ajouter de nouvel éditeur. L'intégration à la threat intelligence de la messagerie est un vrai différenciateur si vous êtes déjà dans cet écosystème.

S'il vous manque l'intervention en temps réel, intégrée au flux de travail, CultureAI et Right-Hand sont les options les plus distinctives. Les deux détectent les comportements à risque au moment où ils surviennent plutôt que d'attendre le prochain cycle de formation.

Si vous opérez dans l'UE et que l'hébergement des données compte, SoSafe et CybSafe hébergent tous deux au sein de l'UE avec une solide posture de confidentialité dès la conception.

Si vous êtes un MSP, l'enjeu multi-tenant réduit vite la liste. usecure et SoSafe sont les deux options les plus solides pour le HRM en tant que service sur de nombreux tenants clients.

Pour la plupart des organisations qui évaluent le HRM pour la première fois, la décision pratique se joue entre usecure (HRM-natif, adapté de la PME au mid-market et aux MSP, faible administration) et l'un des Leaders de la Wave pour grands comptes si vous avez la maturité de sécurité et le budget pour l'exploiter. Mieux vaut en tester au moins deux avant de signer.

Si vous voulez voir à quoi ressemble le HRM en pratique sur vos propres utilisateurs, démarrez un essai gratuit usecure. Il se met en place en environ 15 minutes et vous montre un Human Risk Score fonctionnel sur votre environnement réel.

FAQ

Quelle est la différence entre la formation de sensibilisation à la sécurité et le Human Risk Management ?

La formation de sensibilisation à la sécurité délivre du contenu et mesure l'achèvement. Le Human Risk Management mesure et réduit le risque humain réel grâce aux données comportementales, au scoring de risque et aux interventions adaptatives. Forrester a officiellement retiré la catégorie SA&T en 2024 pour la remplacer par le HRM, le définissant comme une plateforme qui détecte les comportements de sécurité humains, identifie les risques posés par et pour les humains, et adapte en conséquence les politiques, les formations et la technologie. La formation et la simulation de phishing sont des outils au sein d'un programme HRM, pas le livrable.

Pourquoi le Human Risk Management est-il important aujourd'hui ?

Environ 90 % des violations impliquent un facteur humain, et des décennies de formation de sensibilisation n'ont pas réussi à faire bouger significativement les taux de clic, les récidivistes du clic et le non-respect des politiques. Le HRM est la réponse : plutôt que de mesurer si quelqu'un a regardé une vidéo, l'objectif est de quantifier et réduire le risque humain réel dans le temps. Les conseils d'administration et les auditeurs demandent de plus en plus des indicateurs comportementaux plutôt que des taux d'achèvement, et les grands cabinets d'analystes (Forrester, Gartner) ont suivi avec une couverture formelle de la nouvelle catégorie.

Qu'est-ce qu'un score de risque humain ?

Un score de risque humain est une représentation numérique du cyber-risque par utilisateur (et par équipe, par organisation), fondée sur le comportement observé. Les données d'entrée incluent généralement les résultats des simulations de phishing, les vrais phishing signalés, l'engagement aux formations, l'acceptation des politiques, l'exposition d'identifiants sur le dark web et des signaux issus de l'ensemble de la pile de sécurité. Le score se met à jour en continu et déclenche des interventions automatisées lorsqu'il franchit des seuils définis. Chaque plateforme le calcule différemment ; ce qui compte, c'est que le score reflète le comportement réel, et pas seulement l'achèvement des formations.

Ai-je besoin d'une plateforme HRM si j'ai déjà de la formation de sensibilisation ?

Si votre plateforme actuelle produit un véritable score de risque par utilisateur fondé sur des données comportementales multi-sources et déclenche automatiquement des interventions adaptatives, vous faites du HRM. Si elle produit des pourcentages d'achèvement, des taux de clic et un rapport de campagne de phishing trimestriel, vous faites du SAT. La plupart des organisations qui évaluent le passage de l'un à l'autre le font parce que les échanges d'audit, de conformité ou de conseil ont commencé à exiger des preuves d'un changement comportemental que les indicateurs d'achèvement ne peuvent pas fournir.

Quelle est la différence entre les plateformes HRM-natives et les plateformes SAT dotées de fonctionnalités HRM ?

Les plateformes HRM-natives (usecure, CybSafe, Living Security, Hoxhunt, CultureAI, Right-Hand) ont été conçues dès le départ autour de la quantification du risque comportemental. La formation et le phishing y sont des données d'entrée et des mécanismes d'intervention au sein d'un cadre de risque plus large. Les plateformes SAT dotées de fonctionnalités HRM (KnowBe4, Proofpoint, MetaCompliance) ont ajouté le scoring de risque et le contenu adaptatif par-dessus une plateforme centrée sur la formation. Les deux peuvent être efficaces ; les plateformes HRM-natives tendent à disposer de données comportementales plus riches et de boucles d'intervention plus étroites, tandis que les plateformes issues du SAT tendent à offrir de plus grandes bibliothèques de contenus et une reconnaissance de marque plus forte auprès des auditeurs.

Comment le HRM s'articule-t-il avec des référentiels de conformité comme ISO 27001, SOC 2 et NIS2 ?

Les trois référentiels comportent des exigences explicites en matière de contrôles de sécurité liés aux humains : formation de sensibilisation, acceptation des politiques, surveillance comportementale et formation de l'organe de direction (au titre de l'Article 20 de NIS2 en particulier). Les plateformes HRM produisent les preuves qu'exigent ces référentiels, souvent accompagnées de correspondances publiées par référentiel. usecure publie des correspondances spécifiques pour ISO 27001, SOC 2 et NIS2. La plupart des autres plateformes HRM publient des ressources similaires pour les référentiels qu'elles privilégient.

Les MSP peuvent-ils délivrer le Human Risk Management en tant que service ?

Oui, plusieurs plateformes le permettent. usecure et SoSafe sont les deux plus utilisées par les MSP, toutes deux avec des portails multi-tenant, de la marque blanche et une facturation par utilisateur adaptées à un modèle de livraison en service managé. Le marché du HRM-as-a-service se développe à mesure que les MSP répondent à la demande des clients pour une réduction mesurable du risque comportemental plutôt qu'une formation de conformité annuelle.

Que délivre concrètement un programme HRM en matière de changement mesurable ?

Les programmes HRM matures démontrent généralement une baisse des taux d'échec au phishing, passant de niveaux de référence de 15 à 30 % à quelques pourcents sur 12 à 18 mois, une hausse significative des taux de signalement (souvent multipliés par 5 à 10), et des scores de risque par utilisateur en baisse au niveau des services et de l'organisation. Ce sont les indicateurs qui ont commencé à remplacer le « pourcentage d'achèvement des formations » dans le reporting au conseil et les échanges d'audit.