Autour de la quatrième diapositive rouge et noire, montrant une silhouette voilée tapant de manière menaçante sur un ordinateur portable, quelque chose de prévisible se produit dans la salle : les gens cessent de se pencher en avant et commencent à consulter leurs téléphones. Le présentateur, prenant le silence pour de la gravité, ajoute une autre statistique. La salle devient plus silencieuse. Personne ne se souvient d’un seul point d’action d’ici lundi. C’est cette partie que personne ne mentionne dans les notes de rétrospective — la présentation « s’est bien passée » et a presque rien changé. J’ai assisté à assez de ces présentations pour remarquer un schéma qui n’a rien à voir avec la gravité de la menace, qui est très réelle, et tout à voir avec ce que la diapositive demande réellement au public de ressentir par rapport à ce qu’elle doit faire.

La diapositive qui est censée vous effrayer pour vous faire vous soucier

Ouvrez un deck sur la cybersécurité conçu par une équipe IT bien intentionnée et vous trouverez généralement une diapositive qui fait tout le travail émotionnel : un compte à rebours des « jours depuis le dernier incident », une muraille d’icônes rouges, une citation sur le fait que les attaques ont lieu « toutes les 39 secondes ». C’est dramatique. Pourtant, à mon expérience, c’est la diapositive la moins persuasive du deck — pas parce que les chiffres sont faux, mais parce qu’elle ne répond jamais à la question qu’elle vient de poser dans l’esprit du public : *et alors, que dois-je faire personnellement différemment à 14h demain ?* La peur fonctionne comme un projecteur. Elle ne fonctionne pas comme une boussole. Une diapositive peut faire monter le rythme cardiaque de quelqu’un pendant ninety secondes et le laisser sans aucune idée de quel comportement changer réellement.

La peur sans prochaine étape n’est pas un avertissement, c’est juste du bruit

Ce n’est pas seulement une intuition sur les durées d’attention. Une recherche résumée à partir d’un travail publié dans *Frontiers in Human Neuroscience* décrit ce qui se passe quand un message s’appuie sur la gravité de la menace sans l’associer à quelque chose que la personne peut réellement contrôler : cela pousse les gens vers l’anxiété et le désengagement plutôt que vers la vigilance que le présentateur souhaitait. En d’autres termes, le cerveau ne classe pas « je suis maintenant plus prudent(e) » — il classe « cela est effrayant et en plus, ce n’est pas vraiment mon problème à résoudre », et passe à autre chose. Voici le retournement qui rend les messages de sécurité axés sur la peur pire que simplement inefficaces : une recherche publiée par Beauceron Security a révélé que les employés qui ont peur d’être punis pour avoir cliqué sur un lien de phishing sont environ deux fois moins susceptibles de dire à quelqu’un qu’ils ont cliqué dessus. Ainsi, le deck conçu pour rendre les gens plus vigilants peut, dans un sens très littéral, rendre les mêmes personnes plus susceptibles de cacher l’erreur qui a le plus besoin d’être signalée rapidement. Ce n’est pas un problème de ton que l’on corrige en choisissant une police plus amicale. C’est la diapositive qui travaille activement contre son propre objectif.

La diapositive « tout ce que nous avons trouvé » fait le travail de la panique gratuitement

Entre l’introduction et les recommandations se trouve la diapositive que chaque présentation de sécurité semble pousser toute seule : un tableau de toutes les vulnérabilités que l’audit a révélées, triées par gravité, sur douze lignes, en rouge. Personne n’a prévu de construire une muraille de texte rouge — elle s’est accumulée, une « on peut aussi ajouter cette découverte ? » à la fois, jusqu’à ce que la diapositive cesse d’être un graphique et devienne une feuille de calcul déguisée en graphique. La salle ne traite pas douze découvertes. Elle traite « il y a douze choses qui ne vont pas et je n’en ai compris aucune », ce qui produit exactement la réaction de blocage que toute la présentation essayait d’éviter. C’est à peu près le même schéma d’échec que vaut mieux supprimer de toute présentation — la diapositive qui s’est développée au lieu d’être décidée. Conservez la liste complète des découvertes en annexe. Montrez à la salle les deux ou trois qui changent réellement ce qu’ils doivent faire ce trimestre, et laissez le reste exister quelque part où les gens peuvent le trouver s’ils le demandent.

Tous les decks de sécurité qui se ressemblent font partie de ce qui les rend alarmants

Voici la partie un peu embarrassante à admettre en tant que quelqu’un qui a construit ces decks : une grande part de la « panique » n’est pas le contenu, c’est l’esthétique. Fond sombre, couleur d’accent rouge, icônes de verrou, un graphique de bouclier quelque part près du titre — cela est devenu une grammaire visuelle si figée pour la « cybersécurité » que le format lui-même se lit comme une menace avant que le présentateur dise un seul mot. Ce qui pourrait sembler un avantage en pratique signifie que le public entre en se préparant à une leçon, et être « prêt à une leçon » n’est pas la même chose que « prêt à écouter ». Ce n’est pas unique aux sujets de sécurité — c’est la même dérive vers le « par défaut » qui se produit dans la plupart des decks corporatifs, simplement avec une palette de couleurs de départ plus effrayante. Un registre visuel plus calme — des couleurs neutres, des icônes sobrement choisies, un vrai schéma de la voie d’attaque au lieu d’une photo de stock d’un hacker en capuche — ne rend pas le sujet moins sérieux. Il évite simplement de signaler « préparez-vous » avant que le public ait eu la chance d’entendre le point réel.

La panique n’est pas un style de design — la hiérarchie est ce qui manque

Ce qui tend à remplacer la panique, une fois qu’on l’a retirée, n’est pas la platitude. C’est la hiérarchie : une seule chose claire que le public doit comprendre en premier, énoncée simplement, avec tout le reste soutenant plutôt que concurrencant cette idée. Le même principe qui rend une diapositive de style conseil lisible sous pression s’applique directement ici — une diapositive qui dit « voici le comportement qui aurait évité le quasi-accident du trimestre dernier » fait plus qu’une diapositive hurlant que les attaques ont lieu toutes les 39 secondes, car elle donne au cerveau quelque chose de spécifique à retenir plutôt qu’une impression diffuse de crainte. Je ne recommanderais pas non plus de supprimer totalement l’urgence — une discussion sur la sécurité sans aucun enjeu attaché est elle-même une forme d’inutilité, la version corporate-safe de la même erreur. La solution n’est pas moins de sérieux. C’est remplacer la crainte vague et universelle par une instruction spécifique et personnelle.

Ce qui fait vraiment bouger les gens

Les présentations que j’ai vues changer réellement les comportements partagent une caractéristique peu glamouruse : elles passent moins de temps à prouver que la menace est réelle — les audiences croient généralement déjà cette partie — et plus de temps à montrer exactement à quoi ressemble une bonne réponse, dans un scénario assez proche du travail réel du spectateur pour qu’il puisse s’imaginer le faire. C’est une diapositive plus difficile à construire qu’un minuteur rouge en compte à rebours. C’est aussi celle que les gens peuvent encore décrire une semaine plus tard. La prochaine fois qu’un deck de sécurité traverse votre bureau, essayez un test avant son envoi : couvrez la diapositive effrayante et demandez quelle est l’action unique que le public est censé retenir d’elle. Si la réponse honnête est « soyez plus prudent(e) », cette diapositive n’est pas encore terminée — elle est juste alarmante.