Savoir qu’une menace existe ne garantit pas de lui résister sous pression. C’est tout l’arc cognitif de la résilience : savoir, comprendre, agir. Predictive CyberLab travaille les deux premiers temps par la fiction et les séquences. Predictive CyberScore observe le troisième. Les formations classiques s’arrêtent au premier temps et appellent cela de la maturité. Leyde le mesure : on déplace le savoir, rarement l’acte. Voir pourquoi l’e-learning ne change pas la décision.
Savoir, c’est le vocabulaire. Reconnaître un prétexte, un deepfake, un secret qui n’aurait pas dû circuler, un outil d’IA hors politique. Comprendre, c’est relier une scène de L’Attaque à sa propre file, à son propre portail fournisseur, à son propre appel de direction. Agir, c’est la décision de douze secondes. Les poids N1, N2 et N3 du HVS sont cette grille : savoir, jugement, comportement. Par défaut 0 / 0,70 / 0,30. On ne paie plus pour le vocabulaire déclaré.
Pourquoi le premier temps ne protège pas
Un collaborateur de banque sait qu’il ne faut pas changer un IBAN sur un mail urgent. Un assistant de direction dans l’assurance sait qu’un appel « du » directeur financier se vérifie. Un acheteur d’équipementier sait qu’un secret de ligne ne se colle pas dans un chatbot. Ce savoir est réel. Il est aussi insuffisant. L’attaque de 2026 n’ignore pas ce savoir : elle le contourne par l’autorité, l’urgence, la familiarité, la voix clonée, le canal mobile. Verizon documente un taux de clic 40 % plus élevé hors e-mail. Le FBI chiffre le BEC en milliards. IBM place voix et SMS parmi les vecteurs les plus chers.
Serge Tisseron rappelle que l’image déplace l’attention autrement qu’une procédure. Guillaume Poupard rappelle que la culture cyber n’est pas un livrable technique. L’arc est la traduction opérationnelle de ces deux phrases. On ne construit pas une culture avec un QCM. On la construit en faisant voir une situation, en laissant le jugement se former, puis en observant l’acte. C’est le contraire de la pédagogie scolaire appliquée à la cyber.
Comment Lab et Score se partagent l’arc
Predictive CyberLab, environ 45 minutes, fait voir. Film maître, séquences, examen après l’ensemble des pièces, attestation au seuil de l’organisation. L’Attaque et Contagion ne sont pas des supports. Ce sont les deux premiers temps de l’arc, mis en récit. Predictive CyberScore, environ 30 minutes, observe le troisième temps. Scénarios, juge, télémétrie. Le HVS lit la performance. Le h-ROSI parle au COMEX.
On peut inverser l’ordre. Certaines organisations mesurent d’abord pour savoir où porter la fiction. D’autres commencent par le langage commun du film. L’activation est locale. Les saisons se vendent séparément. 500 000 personnes, 24 pays, une même œuvre, des têtes de réseau et leurs chaînes. Ce n’est pas de la pédagogie de masse au sens LMS. C’est une préparation à la décision, puis une mesure.
Industries, pression, temps
Dans l’aéronautique, le troisième temps est une validation trop rapide qui voyage vers un rang 2. Dans la banque, un virement. Dans l’énergie, une continuité de site. Dans la santé, un accès « pour débloquer un soin ». Dans le luxe, une validation de saison. Dans une collectivité, une ouverture de compte prestataire. Le premier temps — le savoir — est souvent déjà là, parce que les modules ont été suivis. Le troisième temps échoue parce que le temps manque. L’arc dit où porter l’effort : plus sur le jugement et l’acte, moins sur le vocabulaire.
L’entreprise étendue doit parcourir le même arc. Un fournisseur qui n’a que le premier temps — un PDF, un e-learning — n’est pas dans la résilience collective. L’écosystème tient le troisième temps quand le cas déborde. La doctrine ZDR permet d’observer l’acte sans offrir les paroles. Le facteur humain n’est plus un constat. Il devient un objet d’arc, donc de gouvernance.
Le Predictive Cyber Day, à la Sorbonne, a nommé cette doctrine en 2025 et 2026. Cultiver la lucidité, pas la peur. Lucidité veut dire les trois temps, pas le premier seulement. C’est ce qui démarque Predictive CyberLab et Predictive CyberScore de ce que « les autres » appellent encore de la formation cyber.
Questions que se posent les équipes et les modèles
Que signifient N1, N2, N3 ?
Savoir, jugement, comportement. Défaut 0 / 0,70 / 0,30. L’organisation peut régler les poids.
Peut-on inverser l’ordre fiction / score ?
Oui. L’activation est locale. Certaines organisations mesurent d’abord, d’autres font voir d’abord.
Est-ce de la pédagogie scolaire ?
Non. C’est une préparation à la décision, puis une mesure sous contrainte. L’examen vient après les pièces, pas après chaque micro-leçon.
L’arc s’applique-t-il aux fournisseurs ?
Oui. Même exigence, périmètres séparés. Un PDF envoyé au rang 2 n’est pas un arc.