Nous rencontrons le plus souvent des exemples de biais cognitifs dans la vie quotidienne et dans les relations interpersonnelles, car ils imprègnent tous les domaines de la vie. Dans cet article, nous avons décidé d’enrichir les connaissances sur les biais cognitifs avec des exemples issus de la cybersécurité, en particulier de la gestion des mots de passe, des autres identifiants et des informations sensibles.

Quels biais peuvent donc influencer directement notre comportement en matière de cybersécurité et nos pratiques de gestion des mots de passe ?

En voici la liste :

1. Effet Dunning-Kruger
2. Conservatisme et effet d’ancrage
3. Réactance
4. Biais de confirmation et ses effets
5. Biais de croyance
6. Cascade de disponibilité et effet de mode
7. Biais du statu quo
8. Erreur logique ou sophisme
9. Effet de cadrage
10. Biais du survivant
11. Loi de futilité
12. Justification de l’effort
13. Biais de pessimisme/d’optimisme
14. Biais égocentrique

Nous examinons ci-dessous en détail les sept premiers de ces biais et la manière de les contrer.

Effet Dunning-Kruger

Il s’agit d’un biais cognitif qui pousse une personne ne disposant que de connaissances fragmentaires sur un sujet à surestimer sa propre compétence.

Quel impact sur votre gestion des mots de passe et vos pratiques de cybersécurité :

Si vous connaissez les cybermenaces, vous essayez sans doute de les réduire au minimum. Si vous savez ce qu’est le phishing, par exemple, vous ne cliquez peut-être pas sur les liens d’e-mails suspects. Mais vous ne pensez peut-être pas à d’autres types de menaces, estimant qu’il suffit d’être vigilant avec les e-mails. Or il existe aussi une forme de phishing appelée quishing, dans laquelle des malwares ou des liens vers des sites de phishing sont diffusés via des QR codes.

Ou bien vous connaissez les règles pour créer des mots de passe sûrs, mais vous créez un mot de passe « P@ssword123! » qui, malgré toutes les caractéristiques d’un mot de passe sûr, est prévisible et facile à casser.

Comment atténuer ce biais :

Malheureusement, il n’existe pas de méthode simple pour surmonter rapidement cet effet. Nous sommes fiers d’avoir appris quelque chose de nouveau, mais nous devons toujours garder à l’esprit que, quoi que nous apprenions, il restera toujours des informations que nous ignorons.

C’est pourquoi nous devons développer progressivement nos connaissances (par exemple en suivant sur les réseaux sociaux une page qui vulgarise la cybersécurité) et les rafraîchir (en passant des tests gratuits ou en suivant des formations).

Nous devons essayer d’évaluer objectivement nos capacités et ne pas négliger les conseils des experts.

Conservatisme et effet d’ancrage

L’ancrage désigne la tendance à se fier à la première information reçue sur un sujet : les nouvelles informations sont alors traitées à travers le prisme de cette première information, au lieu de l’être objectivement. Le conservatisme désigne le refus de changer d’avis face à de nouvelles informations : nous préférons nous fier à nos convictions antérieures.

Effets négatifs :

Par exemple, vous avez lu dans la presse qu’un gestionnaire de mots de passe connu avait subi une fuite de données. Vous en concluez que les gestionnaires de mots de passe ne sont pas fiables et votre confiance diminue. Pourtant, ils réduisent les cyberrisques et sont en moyenne bien plus sûrs que les applications ordinaires qui ne sont pas conçues pour la sécurité.

Comment atténuer ce biais :

L’ancrage est un biais cognitif très puissant qui ne peut pas être totalement éliminé. Si vous avez repéré un ancrage en vous, une stratégie efficace pour réduire son influence consiste à trouver ou à imaginer des arguments montrant pourquoi il est faux.

Dans notre exemple, il pourrait s’agir de comparer les statistiques des secteurs touchés par des violations de données (où le secteur informatique est loin d’être en tête) ou d’étudier les utilisateurs selon leurs habitudes de gestion des mots de passe (ceux qui utilisent un gestionnaire de mots de passe restent moins exposés que les autres).

Réactance

Le biais de réactance désigne notre tendance à faire le contraire de ce que nous pensons que les autres veulent nous imposer, afin de démontrer notre liberté de faire ce que nous voulons.

Effets négatifs :

Nous voyons souvent des recommandations répétées sur la protection des données et la cybersécurité. Même si elles sont publiées avec de bonnes intentions, nous les ignorons souvent par réactance, tout en sachant qu’elles pourraient être justes. Simplement parce que nous n’aimons pas qu’on nous dise quoi faire.

Comment atténuer ce biais :

Un bon moyen de réduire la réactance est de trouver un modèle qui incarne les valeurs que vous souhaitez adopter. Avec un bon exemple sous les yeux, il est plus facile de suivre les bonnes pratiques.

Divisez le processus d’adoption des nouvelles pratiques en petites étapes et avancez progressivement.

Biais de confirmation et ses effets

Il peut ressembler au conservatisme, mais la différence est que nous nous concentrons sur les informations qui confirment nos convictions et que nous les interprétons de manière à confirmer ces convictions ou préjugés.

Il existe aussi un effet retour de flamme (backfire effect), par lequel nous renforçons nos convictions lorsque nous rencontrons des informations qui les contredisent, ainsi qu’un effet de perception sélective : nos perceptions sont influencées par nos attentes.

Effets négatifs :

Supposons que, pour une raison quelconque, vous pensiez qu’utiliser un gestionnaire de mots de passe ou un antivirus ne sert à rien. Compte tenu de cette conviction, tous les articles, publications et vidéos vantant les avantages de ces applications vous semblent être des arguments marketing.

Comment atténuer ce biais :

Malheureusement, le seul moyen de combattre ce biais est d’approfondir consciemment le domaine de connaissances concerné. L’autoréflexion et les échanges avec une personne qui maîtrise le sujet sont également utiles.

Biais de croyance

On parle de biais de croyance lorsque des personnes acceptent les arguments qui correspondent à leurs convictions et rejettent ceux qui les contredisent, même si la logique est erronée. En bref, elles jugent qu’une chose est vraie ou fausse en fonction de ce qu’elles croient déjà, et non de faits ou d’arguments réels.

Effets négatifs :

Beaucoup de gens pensent que les pirates n’attaquent que les grandes entreprises et pas les particuliers. Même face à des faits montrant combien de personnes ordinaires sont victimes de cyberattaques et perdent leurs données et leur argent, ils sont moins enclins à les accepter que des faits sur les cyberattaques visant de grandes entreprises ou des administrations.

Comment atténuer ce biais :

Une méthode efficace pour surmonter ce biais consiste à prendre le temps d’examiner les arguments qui contredisent votre opinion. Ne les rejetez pas d’emblée : réfléchissez-y attentivement, comparez-les aux arguments qui soutiennent votre opinion ou renseignez-vous à leur sujet.

Nous avons aussi tendance à analyser plus attentivement les arguments présentés sous un jour négatif que ceux présentés de manière neutre.

Cascade de disponibilité et effet de mode

La cascade de disponibilité se produit lorsque nous rencontrons d’autres personnes partageant notre opinion, ce qui renforce notre propre croyance en quelque chose (qui n’est pas forcément vrai). L’effet de mode (ou effet « bandwagon », la tendance à suivre ce que font les autres) se produit lorsque nous adhérons à l’opinion d’un groupe.

Effets négatifs :

Par exemple, la croyance autrefois répandue selon laquelle il fallait changer souvent de mot de passe a conduit les utilisateurs à modifier simplement le dernier caractère d’un mot de passe (souvent faible) en pensant que cela suffisait. Cette politique était imposée dans les entreprises. Aujourd’hui, il n’existe pas de consensus clair sur la fréquence de changement des mots de passe, mais il vaut mieux créer un mot de passe long, fort et unique et le surveiller via un gestionnaire de mots de passe pour détecter les fuites sur le dark web, plutôt que de le changer souvent.

Comment atténuer ce biais :

L’opinion d’un groupe (surtout celle de non-experts) n’est pas forcément toujours juste. En cas de doute, mieux vaut étudier l’avis des experts. Si ces pratiques font partie de la politique de l’entreprise pour laquelle vous travaillez, votre marge de manœuvre est malheureusement plus réduite : soit vous les acceptez et les appliquez, soit vous collaborez avec le service informatique pour promouvoir des pratiques plus efficaces.

Biais du statu quo

Le biais du statu quo (c’est-à-dire préférer la situation actuelle et éviter les changements, même lorsqu’ils seraient objectivement plus avantageux) se manifeste lorsque vous résistez au changement pour conserver votre position actuelle.

Effet négatif :

Supposons que vous souhaitiez utiliser un gestionnaire de mots de passe mais que, comme vous devez d’abord y ajouter, organiser et étiqueter tous vos mots de passe et autres identifiants, votre cerveau sabote la transition par le biais du statu quo : pourquoi utiliser un gestionnaire de mots de passe si vos comptes n’ont pas encore été piratés ni vos données divulguées ?

Le simple nombre de gestionnaires de mots de passe disponibles sur le marché peut aussi vous dissuader d’en utiliser un, car comparer les alternatives demande du temps et des efforts.

Comment atténuer ce biais :

Dans cette situation, il est recommandé de chercher consciemment des arguments en faveur de la nouvelle initiative utile que vous souhaitez lancer et de peser tous les avantages et inconvénients potentiels de la nouvelle pratique par rapport à l’ancienne.

Essayez de réduire le nombre d’options. Et une fois votre choix fait, établissez un plan de mise en œuvre de la nouvelle pratique et avancez pas à pas, sans perdre de vue l’objectif.

Nous espérons que cet article vous a aidé à mieux vous comprendre et qu’il vous a motivé à améliorer votre niveau de cybersécurité. La seconde moitié des biais sera traitée dans le prochain article.