Cybersécurité scolaire : ce que la pédagogie peut apporter, et ce qui reste à prouver

Le 27 octobre 2026, le Center for Internet Security (CIS), le MS-ISAC et l’association professionnelle CoSN publiaient un rapport sur la cybersécurité scolaire américaine. Le lendemain, EdTech Magazine proposait aux districts scolaires une trajectoire vers une « maturité avancée ». Les deux publications n’apportent pas le même type d’information : le rapport documente des incidents déclarés et des lacunes de préparation; l’article recommande une architecture technique, sans en évaluer les effets.

Pour les équipes éducatives québécoises, l’enjeu est de distinguer trois dimensions : protéger les infrastructures, enseigner des compétences et vérifier les résultats obtenus.

Des incidents déclarés, pas un taux national

Le rapport The State of K-12 Cybersecurity 2026 repose sur une enquête menée en août et septembre 2026 auprès de 426 responsables de la technologie ou de la cybersécurité dans des écoles et districts américains. Il comprend aussi des données opérationnelles du MS-ISAC pour l’année scolaire 2025–2026. Ces deux ensembles ne doivent pas être confondus.

Dans l’enquête :

• 51 % des organisations sondées déclarent avoir connu un incident pendant la dernière année; 34 % rapportent un incident ayant affecté les opérations scolaires.
• 87 % des répondants signalent l’hameçonnage ou la compromission de courriels parmi les principaux incidents.
• 83 % déclarent mettre en œuvre l’authentification multifacteur, ou MFA, et des protections du courriel.
• 59 % déclarent disposer d’un plan de réponse, mais 15 % seulement disent l’exercer régulièrement; 9 % rapportent une stratégie de cybersécurité pleinement déployée.
• Près de 80 % disent avoir besoin de soutien, de ressources ou de conseils supplémentaires. 56 % rapportent un sous-financement et 70 %, des retards de projets, d’investissements ou d’embauche liés aux contraintes budgétaires.
• 33 % déclarent disposer de politiques formelles encadrant l’intelligence artificielle.

Ces proportions décrivent les réponses recueillies, pas l’ensemble des écoles américaines. Elles ne mesurent pas non plus la qualité d’application des mesures : déclarer la MFA ne précise ni la couverture des comptes ni la résistance à l’hameçonnage. De même, posséder une politique d’IA ne démontre pas qu’elle est appliquée.

Les plus de 11 600 incidents également rapportés correspondent, eux, aux incidents ayant nécessité une escalade et une réponse dans les données opérationnelles du MS-ISAC. Ce n’est pas un décompte exhaustif.

La CISA, agence fédérale américaine de cybersécurité, souligne cette difficulté de mesure. Son rapport de 2023 répertoriait plus de 1 300 incidents publiquement signalés entre 2018 et 2021, tout en jugeant impossible de quantifier fiablement le total faute de données consolidées. Ces chiffres couvrant des périmètres différents, leur rapprochement ne permet pas de calculer une progression des incidents.

Une trajectoire technique, pas une efficacité démontrée

EdTech Magazine recommande une MFA résistante à l’hameçonnage, une approche « zéro confiance », la segmentation des réseaux et l’intégration d’outils EDR, SIEM et SOAR. S’y ajoutent la surveillance continue, la gestion des expositions, le suivi des délais de détection et de réponse ainsi que des simulations.

L’article s’appuie sur le cadre du NIST et des pratiques issues d’autres secteurs. Les passages consultés ne présentent toutefois ni comparaison entre districts, ni mesure avant-après, ni estimation d’un effet sur les incidents ou les apprentissages. Ils ne démontrent donc pas que cette combinaison a permis à des établissements d’atteindre une « maturité avancée ».

La CISA recommande également de prioriser la MFA, la correction des vulnérabilités connues, les sauvegardes testées, les exercices de réponse et la formation régulière. Il s’agit de recommandations institutionnelles, pas d’une évaluation indépendante de leur impact dans les écoles. Le rapport CIS–MS-ISAC–CoSN, produit par des organismes de cybersécurité et une association professionnelle, ne constitue pas davantage une validation causale de cette architecture.

Des pratiques pédagogiques documentées, mais peu comparées

La recherche permet de décrire des approches de formation et certaines évolutions des connaissances. Elle départage beaucoup moins solidement les méthodes.

La revue systématique d’Ibrahim et de ses collègues, publiée en 2024 dans IEEE Access, suit le cadre PRISMA. Elle retient 24 publications académiques portant sur 2013–2023 et 19 sources de littérature grise. Les travaux concernent surtout le secondaire; le primaire est largement négligé. Les auteurs constatent un enseignement souvent peu systématique. Ce corpus hétérogène ne constitue cependant pas un ensemble d’essais contrôlés permettant de calculer un effet moyen.

Une autre revue de 2024, Cybersecurity Awareness in Schools, repère 816 références, retire 220 doublons, puis retient 14 études. Elle décrit notamment des jeux sérieux, des applications mobiles et des programmes adaptés. Elle relève aussi des difficultés de cohérence des programmes, de ressources et de participation parentale. Sa sélection se limite aux publications évaluées par les pairs en anglais, parues entre 2019 et 2024 : cette restriction linguistique réduit sa portée internationale. Le résumé disponible ne fournit pas d’estimation quantitative commune des effets.

La revue critique A Critical Review of Cybersecurity Education in the United States, publiée dans les actes de l’ACM en 2024, examine 50 articles : 21 sur les outils, 19 sur les contenus et 10 sur les méthodes d’enseignement. Seuls 8 articles, soit 16 %, comparent empiriquement au moins deux outils ou méthodes. Aucun article de la catégorie « contenus » ne présente une telle comparaison. Ce résultat signale un manque d’évaluations comparatives, pas une inefficacité démontrée des outils.

Enfin, une étude publiée en 2026 dans Educational Technology Research and Development évalue une formation multimédia auprès de 50 membres du personnel scolaire. Les auteurs rapportent une hausse statistiquement significative des connaissances entre les tests pré- et post-formation, comparés par des tests de Wilcoxon, ainsi qu’une appréciation favorable. Le résumé consulté ne précise toutefois ni la taille de l’effet, ni l’existence d’un groupe témoin, ni une mesure des comportements réels à long terme. Il serait donc incorrect d’affirmer, sur cette seule base, que l’étude ne comportait aucun groupe témoin — ou qu’elle démontre une baisse des incidents.

Un gain de connaissances n’équivaut pas à un changement durable de comportement, encore moins à des incidents évités. Les sources consultées ne permettent pas de déterminer quelle combinaison pédagogique produit durablement ce dernier résultat. Cette limite ne prouve pas que les approches sont inutiles.

Des ressources francophones, sans classement des systèmes

Au Québec, le cadre de référence de la compétence numérique inclut les usages sécuritaires et la protection des données personnelles et sensibles. Il offre donc un ancrage pour les activités scolaires. La source consultée ne permet toutefois de vérifier ni une mise en œuvre uniforme en classe ni un effet mesuré sur les risques.

En France, Éduscol articule l’éducation à la cybersécurité autour de la sensibilisation, de la formation et de l’orientation. Les travaux académiques mutualisés proposent des scénarios du CM2 à la seconde : enquêtes numériques, jeux d’évasion, jeux sérieux et programmation. L’opération Cactus associe une simulation d’hameçonnage à un débriefing. Les éléments consultés attestent l’existence de ces dispositifs, mais ne fournissent pas de résultats comparatifs démontrant une réduction durable des clics ou des compromissions.

En Belgique, le SPF Économie présente notamment l’EDUbox Cybersécurité, élaborée par la VRT avec des partenaires comprenant le Centre pour la Cybersécurité Belgique. Il mentionne aussi DATAK, jeu de la Radio Télévision Suisse sur les données personnelles. L’existence de ces ressources ne démontre ni leur adoption nationale ni leur efficacité mesurée.

Pour la Suisse et les systèmes scolaires d’Afrique francophone, les recherches réunies ne fournissent pas de statistiques nationales comparables ni d’évaluations pédagogiques permettant une comparaison robuste. Plus largement, aucune mesure harmonisée dans les sources consultées ne permet de classer les systèmes francophones et les districts américains. Les taux américains ne doivent pas être transposés au Québec ou ailleurs.

Cinq priorités à traiter comme des pistes évaluables

Pour vos équipes, les données suggèrent des pistes de travail, non des recettes dont l’efficacité serait établie :

1. Distinguer infrastructure et apprentissage. Les protections techniques et la formation répondent à des objectifs complémentaires; les unes ne remplacent pas les autres.
2. Mettre les plans à l’épreuve. La CISA recommande des exercices. L’écart déclaré entre possession d’un plan et entraînement régulier justifie d’examiner votre préparation, sans chiffrer à lui seul le bénéfice d’une simulation.
3. Contextualiser les activités. Courriels suspects, mots de passe et protection des données peuvent servir de situations concrètes, suivies d’un débriefing.
4. Inclure le primaire. La faible couverture de ce niveau dans la recherche invite à documenter des activités adaptées, plutôt qu’à présumer que les résultats du secondaire s’y appliquent.
5. Prévoir l’évaluation dès le départ. Distinguez connaissances, comportements observés et incidents. Documentez les publics, la durée et le maintien des acquis; une évolution avant-après ne suffit pas, seule, à établir une causalité.

La contribution pédagogique à la maturité cyber reste ainsi une question à évaluer : que les personnes apprennent-elles, que font-elles ensuite et quels résultats peut-on réellement attribuer à la formation?