Serious game cybersécurité : pourquoi l'e-learning ne suffit plus

Un RSSI d'une banque française me disait l'an dernier que sa plus grande frustration n'était pas le budget - c'était le désengagement total de ses collaborateurs face aux modules de formation cyber. « On a tout essayé : vidéos, quiz, simulations de phishing. Tout le monde clique pour valider, personne ne retient. » Sa première session de serious game cyber, organisée en physique avec 60 personnes, a changé sa vision. « Pour la première fois depuis trois ans, ils parlaient cybersécurité au déjeuner. »

Le format physique change tout, mais il faut le concevoir correctement. Un mauvais serious game est pire qu'un bon e-learning : il discrédite le sujet et démobilise les équipes pour des mois.

Pourquoi le serious game change la donne en cyber

Selon l'ANSSI, 80 % des attaques cyber réussies exploitent une erreur humaine (phishing, mot de passe faible, mauvaise gestion des données). L'e-learning cybersécurité classique affiche un taux d'engagement faible (15 à 25 %) et une rétention médiocre. Un serious game cybersécurité bien conçu inverse ces ratios : engagement de 70 à 90 %, rétention multipliée par 3, comportements modifiés durablement.

Les DSI et RSSI intègrent désormais le serious game dans leur dispositif de sensibilisation annuel, en complément du phishing simulé et des modules e-learning obligatoires.

Formats efficaces en cybersécurité

Trois formats fonctionnent pour un serious game cybersécurité. Le jeu de cartes "défense réseau" : 80 cartes représentant menaces (phishing, ransomware, social engineering) et défenses (MFA, VPN, gestion mots de passe), à jouer en équipes. Le plateau "parcours collaborateur sécurisé" : 6 à 8 joueurs traversent une journée typique avec choix de comportement (cliquer ou pas, ouvrir ou pas, partager ou pas). L'escape game cybersécurité : équipes résolvent une attaque simulée en 60 minutes.

Le choix dépend du public et du contexte : cartes pour les sessions courtes en équipe, plateau pour les ateliers d'1h30, escape game pour les événements managers ou tech.

Contenu et conformité ANSSI

Le contenu d'un serious game cybersécurité doit couvrir les 10 thèmes prioritaires de l'ANSSI : mots de passe, phishing, navigation web, e-mail, USB et supports amovibles, mobiles et BYOD, télétravail, données personnelles, ingénierie sociale, signalement incident. Pour un public technique (DSI, RSSI, équipes IT), on approfondit la chaîne d'attaque MITRE ATT&CK et les mécanismes EDR/SIEM.

Imprim'ton jeu collabore avec des experts cybersécurité pour valider les contenus avant impression. Notre formulaire précise vos thématiques prioritaires.

3 erreurs à éviter

1. Contenu trop technique : un serious game pour tous les collaborateurs doit rester accessible aux non-IT. Réserver le technique aux équipes spécialisées.
2. Pas d'animation : le jeu sans animateur formé à la cyber perd 50 % de son impact pédagogique.
3. Ignorer la mise à jour : les menaces évoluent. Prévoir une mise à jour annuelle des cartes ou cas d'usage.

Coûts et MOQ : ce qu'on ne vous dit pas dans le devis initial

Le devis initial d'un projet de serious game cybersecurite cache presque toujours trois variables qui font basculer le budget final. Première variable : la MOQ réelle par composant. Un fabricant peut afficher un MOQ global, mais imposer des minimums distincts par sous-élément (cartes spécifiques, pelliculage soft-touch, pions bois imprimés). Le devis annoncé en MOQ globale est donc rarement le devis réel à l'arrivée - d'où l'importance d'exiger une décomposition par composant pour évaluer la cohérence du chiffrage.

Deuxième variable : le coût d'outillage des matrices et plaques. Pour une série offset, les plaques représentent un investissement initial amorti sur la quantité. Sur les petites séries, ce coût d'outillage est mécaniquement plus lourd par unité - ce qui peut transformer la perception du prix unitaire affiché. Tout devis sérieux distingue le coût matière, le coût outillage et le coût main-d'œuvre. Si votre devis affiche un seul prix unitaire sans décomposition, demandez-la systématiquement.

Troisième variable : le coût logistique post-production. Cellophane individuel, mise en carton master, palettisation, étiquetage, transport multi-sites, assurance : ces lignes sont régulièrement oubliées dans le premier chiffrage. Pour les projets B2B livrés sur plusieurs sites France (cas typique d'un grand groupe distribuant son serious game cybersecurite à plusieurs antennes régionales), exigez une simulation logistique chiffrée avant signature. Cette précaution évite la surprise d'une facture finale supérieure au prévisionnel.

Côté MOQ, plusieurs paliers économiques structurent le marché : un petit volume pour un projet test (coût unitaire élevé mais investissement maîtrisé), un volume intermédiaire pour un déploiement initial (coût unitaire qui descend), un grand volume pour un déploiement large (coût optimisé), un très grand volume pour un projet stratégique multi-année (coût plancher). Choisir le bon palier suppose d'arbitrer entre risque commercial et économie d'échelle - l'erreur classique est de viser entre deux paliers et de payer le coût unitaire d'une petite série sans bénéficier d'une vraie économie d'échelle. Pour un devis cadré sur votre besoin réel, notre équipe revient vers vous sous 48h.

Les 5 pièges classiques à éviter sur un projet serious game cybersecurite

Sur les centaines de projets de serious game cybersecurite que nous avons accompagnés depuis 2018, cinq erreurs reviennent plus souvent que les autres. Les identifier permet de gagner plusieurs semaines sur le calendrier projet et de mieux maîtriser le budget. Voici la liste, dans l'ordre de fréquence observée.

Piège n°1 : briefer le fabricant trop tôt. Avant le contact fabricant, quatre décisions internes doivent être tranchées : public cible précis, contexte d'usage (réunion, salon, kit envoyé), comportement attendu, circuit de validation interne. Sans ces quatre décisions, tout devis est arbitraire - donc inutile. Cette erreur génère systématiquement plusieurs allers-retours commerciaux et plusieurs semaines de calendrier perdues.

Piège n°2 : sous-estimer le délai de validation interne. Le délai annoncé par le fabricant démarre généralement après validation du Bon À Tirer. Or la validation du BAT (Bon À Tirer, validation avant impression) prend souvent plus de temps que prévu côté client : allers-retours graphisme, validation juridique pour le packaging, vérification conformité interne. Anticipez ce temps de validation dans votre rétro-planning.

Piège n°3 : ne pas tester le prototype en conditions réelles. Un prototype validé "au bureau" peut révéler des défauts critiques en condition d'usage (lumière de salle, durée d'attention, contexte multi-joueurs). Une session test structurée avec des testeurs représentatifs du public final révèle la majorité des défauts critiques avant la production série.

Piège n°4 : négliger la phase post-fabrication. Conditionnement, mise sous kit, stockage, expédition fractionnée : ces étapes représentent une part non-négligeable du budget total mais sont souvent oubliées dans les premières estimations. Cadrez-les dès le brief initial pour éviter les mauvaises surprises au moment de la livraison.

Piège n°5 : sous-investir dans le briefing créatif. Un briefing créatif riche en références visuelles et précisions textuelles réduit massivement le nombre d'allers-retours en phase maquette. Un brief vague génère mécaniquement des coûts de réajustement importants et un calendrier qui dérape. Investissez du temps dans le brief avant de lancer la fabrication - c'est le meilleur ROI sur un projet de serious game cybersecurite.