La cybersécurité mondiale souffre d'un paradoxe persistant. Alors que les menaces numériques se complexifient et ciblent de manière asymétrique les populations les plus vulnérables, les formations universitaires restent majoritairement centrées sur une approche purement technique, standardisée et déconnectée des réalités humaines. En Australie, un virage conceptuel majeur commence à s'esquisser sous l'impulsion de chercheurs qui préconisent d'intégrer l'intersectionnalité au sein des cursus académiques de cybersécurité.
Ce concept, issu des sciences sociales, permet d'analyser comment différentes formes de discrimination ou de vulnérabilité (genre, origine ethnique, barrière linguistique, statut socio-économique) s'entrecroisent. L'enjeu dépasse largement la simple question de la représentativité dans les amphis : il s'agit de repenser la conception même des systèmes de sécurité pour les rendre plus humains et plus efficaces.
Un constat alarmant : la vulnérabilité asymétrique face aux cybermenaces
Une étude récente, publiée sous forme de preprint sur la plateforme arXiv (référence arXiv:2608.17758v1), met en lumière les failles du modèle éducatif australien actuel. Menée par des chercheurs via des entretiens approfondis avec quinze universitaires chevronnés, cette recherche souligne que les femmes, les personnes de genre divers et les communautés culturelles et linguistiquement diverses (CALD) sont statistiquement plus exposées aux cybercrimes tels que le hameçonnage (phishing) ou l'usurpation d'identité.
Plusieurs facteurs expliquent cette vulnérabilité accrue : la barrière de la langue, un accès limité à l'acculturation numérique et un isolement social qui empêche le recours à des réseaux d'entraide. Pourtant, le secteur de l'enseignement supérieur australien continue de s'appuyer sur un tronc commun de compétences quasi exclusivement techniques, occultant l'impact des facteurs humains et sociologiques.
Il convient toutefois de préciser, dans une démarche de rigueur journalistique, que cette étude est un preprint. Elle n'a donc pas encore fait l'objet d'une évaluation formelle par les pairs. Néanmoins, elle s'inscrit dans un courant de recherche mondial qui questionne de plus en plus l'hégémonie de la technique pure dans les sciences de l'ingénieur.
Les leviers curriculaires : comment repenser les maquettes pédagogiques ?
Pour transformer ces constats en leviers d'apprentissage, les équipes pédagogiques doivent introduire une perspective de sécurité centrée sur l'humain (user-centered security). Cela implique de modifier en profondeur le contenu des cours :
1. L'analyse des menaces par scénarios de vie : Plutôt que d'étudier le phishing uniquement sous l'angle des protocoles de messagerie ou des filtres anti-spam, les étudiants doivent analyser comment un message frauduleux exploite la détresse d'un travailleur immigré en attente de visa, ou l'isolement d'une personne âgée.
2. La modélisation de menaces inclusive : Les futurs analystes doivent apprendre à concevoir des modèles de menaces qui intègrent des personas non standardisés. Par exemple, comment une application d'authentification multifacteur peut-elle exclure des utilisateurs ne maîtrisant pas l'anglais ou ne possédant pas de smartphone de dernière génération ?
3. La pluridisciplinarité obligatoire : Intégrer des modules de sociologie du numérique, d'éthique des données et de psychologie cognitive au sein des diplômes d'ingénieur et de sciences de la matière.
Les obstacles institutionnels à la transformation
La mise en œuvre d'une telle réforme se heurte à de solides résistances au sein des universités. Le premier obstacle est la rigidité des départements d'informatique. De nombreux enseignants-chercheurs, formés à l'école de la technique pure, perçoivent les concepts d'équité, de diversité et d'inclusion (EDI) comme des considérations politiques ou des « compétences douces » (soft skills) secondaires, dénuées de rigueur scientifique.
Le deuxième frein réside dans les processus d'accréditation des diplômes. Les agences nationales d'évaluation et les associations professionnelles (comme l'Australian Computer Society ou, en Europe, les instances de titre d'ingénieur) imposent des référentiels de compétences très denses, souvent centrés sur des standards internationaux rigides (comme le cadre de cybersécurité du NIST américain). Trouver de l'espace pour des enseignements socio-techniques relève parfois du parcours du combattant pour les directeurs de programmes.
Enfin, il existe un manque flagrant de ressources pédagogiques prêtes à l'emploi. Les manuels de cybersécurité traitent rarement de l'intersectionnalité, obligeant les enseignants volontaires à concevoir leurs propres études de cas sans soutien institutionnel.
Évaluer l'inclusivité : de la théorie aux pratiques évaluables
Pour que l'approche intersectionnelle ne se résume pas à une déclaration d'intention ou à un vernis éthique, elle doit se traduire par des évaluations rigoureuses et mesurables. Une approche d'équité ne devient une pratique pédagogique que si elle fait l'objet d'une notation objective.
Les enseignants peuvent concevoir des examens sous forme d'audits de sécurité socio-techniques. Par exemple, au lieu de demander aux étudiants de configurer un pare-feu, l'évaluation peut consister à auditer la politique de sécurité d'une municipalité. Les étudiants devront évaluer l'accessibilité des consignes de sécurité pour les populations non anglophones ou non francophones, identifier les biais potentiels dans les algorithmes de détection des fraudes utilisés par la ville, et proposer des mesures correctives.
Une autre méthode consiste à évaluer les projets de fin d'études selon des critères d'utilisabilité inclusive. Les étudiants doivent prouver que leur solution de sécurité a été testée auprès d'un panel d'utilisateurs diversifié et que les retours de ces utilisateurs ont directement influencé l'architecture technique du système.
Transférabilité et perspectives pour l'espace francophone
Les problématiques identifiées en Australie résonnent fortement avec les défis des systèmes éducatifs francophones, notamment en France, en Belgique ou au Québec.
Au Québec, où les politiques d'équité, de diversité et d'inclusion (EDI) sont déjà très ancrées dans le milieu universitaire sous l'impulsion des Fonds de recherche du Québec, l'intégration de l'intersectionnalité en cybersécurité dispose d'un terrain fertile. Les universités québécoises pourraient facilement adapter leurs programmes de génie logiciel en y intégrant des analyses d'impact social de la sécurité.
En France, la transition est plus complexe en raison d'une tradition universaliste réactive aux concepts issus des théories intersectionnelles. Pourtant, l'Agence nationale de la sécurité des systèmes d'information (ANSSI), à travers son label SecNumedu, encourage de plus en plus la diversification des profils pour pallier la pénurie de main-d'œuvre.
Pour les écoles d'ingénieurs françaises, le levier d'action le plus acceptable et efficace consiste à aborder la question sous l'angle de la « sécurité centrée sur l'utilisateur ». Présenter l'intersectionnalité comme un outil d'ingénierie permettant de réduire le taux d'erreur humaine — qui reste la cause de plus de 80 % des cyberattaques selon les rapports de l'industrie — permet de désamorcer les débats idéologiques et de concentrer l'effort sur l'efficacité opérationnelle.
En fin de compte, humaniser la cybersécurité n'est pas seulement une question d'éthique ou de justice sociale : c'est une nécessité stratégique pour bâtir des défenses numériques résilientes face à des attaquants qui, eux, savent parfaitement exploiter la complexité des failles humaines.
Discussion
Posez vos questions et partagez votre point de vue. Matania, l'assistante de recherche et de vérification des faits, lit les commentaires et y répond dès qu'elle peut apporter des sources fiables ou des précisions. Les liens ne sont pas autorisés : citez vos sources par leur nom.