# Heuristique de disponibilité URL: https://neexit.com/heuristique-de-disponibilite/ Publié le : 2026-07-29 Mis à jour le : 2026-08-07 L'heuristique de disponibilité est un biais cognitif : on estime la probabilité ou l'importance d'un événement selon la facilité avec laquelle des exemples nous reviennent en tête. Plus un souvenir est récent, marquant ou médiatisé, plus on le croit fréquent ou probable, même quand les statistiques disent l'inverse. Les événements chargés d'émotion paraissent ainsi plus probables qu'ils ne le sont réellement. ### Un exemple concret pour l'illustrer Il suffit qu'une faille logicielle soit largement relayée par les médias pour que les équipes informatiques concentrent toute leur attention sur ce vecteur d'attaque. Le réflexe se comprend : quand une vulnérabilité fait la une, on cherche à s'en protéger rapidement. Le risque, c'est de surinvestir dans une parade très ciblée, parfois au détriment du reste du système. Ce biais porte un nom en psychologie : l'heuristique de disponibilité. Nous jugeons un risque d'autant plus probable qu'il nous vient facilement à l'esprit. Et rien ne rend une menace plus « disponible » qu'un titre anxiogène partagé mille fois. Le problème, c'est que la couverture médiatique ne suit pas la fréquence réelle des attaques. Elle suit le spectacle. ![IA style — Une équipe informatique entoure une seul](https://neexit.com/wp-content/uploads/2026/08/inline-157-662.webp) Pendant que les projecteurs pointent la faille du moment, des menaces bien plus courantes continuent leur travail dans l'ombre. Statistiquement, ce sont souvent les classiques qui font le plus de dégâts : - **Le phishing et l'ingénierie sociale**, qui restent le point d'entrée privilégié de la plupart des compromissions. Aucune faille zero-day là-dedans, juste un e-mail bien tourné et un collègue pressé. L'[CISA](https://www.cisa.gov/topics/cyber-threats-and-advisories) le rappelle régulièrement dans ses avis. - **Les identifiants faibles ou réutilisés**, qui ouvrent la porte sans effraction. Le [Top Ten de l'OWASP](https://owasp.org/www-project-top-ten/) place les défauts de contrôle d'accès et d'authentification en très bonne position, année après année. - **Les correctifs jamais appliqués**, sur des vulnérabilités connues depuis longtemps. Beaucoup d'intrusions n'exploitent pas la faille exotique du jour, mais un vieux CVE que personne n'a pris le temps de patcher. - **Les erreurs de configuration**, du bucket cloud laissé ouvert au port exposé par mégarde. Rien de sophistiqué, juste un paramètre oublié. Ces menaces ont un point commun : elles sont peu photogéniques. Une case « mot de passe complexe » cochée ne fait pas de gros titre. Un correctif appliqué à temps non plus. Elles manquent donc de couverture presse, et par ricochet de budget et d'attention, alors même qu'elles concentrent l'essentiel du risque réel. Pour un collectif de développeurs, l'enjeu n'est pas de courir après chaque annonce sensationnelle. C'est de bâtir une posture de sécurité robuste et équilibrée, calibrée sur les données plutôt que sur l'émotion du moment. Concrètement, cela passe par quelques principes simples : - Fonder ses priorités sur des sources fiables et régulièrement mises à jour, comme le catalogue des vulnérabilités activement exploitées de la [CISA (KEV)](https://www.cisa.gov/known-exploited-vulnerabilities-catalog), plutôt que sur le buzz du jour. - Mettre en place une gestion des correctifs disciplinée, avec un inventaire à jour et des délais d'application clairs. - Renforcer l'authentification, notamment via l'authentification multifacteur, et former les équipes à reconnaître les tentatives d'hameçonnage. L'[ENISA](https://www.enisa.europa.eu/) publie des ressources utiles sur le sujet. - Auditer régulièrement ses configurations d'infrastructure, en particulier côté cloud, pour traquer les erreurs silencieuses. L'idée n'est pas d'ignorer la faille médiatisée. Si elle vous concerne, il faut évidemment la traiter. Mais elle ne doit pas aspirer toute l'attention. La sécurité efficace est rarement spectaculaire : elle repose sur des fondations solides, entretenues avec constance, loin des feux de l'actualité. C'est moins glorieux qu'un plan d'urgence contre la menace du moment, mais nettement plus fiable sur la durée. ![Un technicien accroupi vérifie les branchements d'un tableau électrique dans un local technique, tournevis en main, câbles ordonnés par couleurs, étiquettes manuscrites et voyants verts allumés en arrière-plan.](https://neexit.com/wp-content/uploads/2026/07/inline-157-654.webp) ### Quel impact avec l'intelligence artificielle ? Quand un assistant IA cite avec assurance des exemples tirés de ses données d'entraînement, ceux-ci deviennent le cadre de référence de l'utilisateur, quelle que soit leur représentativité. Une IA médicale entraînée surtout sur les dossiers de centres hospitaliers universitaires oriente ses cas disponibles vers des pathologies complexes, au point de faire passer des présentations courantes pour inhabituelles. L'aplomb de l'IA amplifie l'effet : elle ne signale pas que ses exemples sont biaisés. ### Comment en tenir compte dans vos projets ? Restez attentif aux utilisateurs, comme aux systèmes d'IA, qui accordent trop de poids aux événements récents ou spectaculaires. Ce travers porte un nom : le [biais de disponibilité](https://fr.wikipedia.org/wiki/Biais_de_disponibilit%C3%A9). Concevez pour des distributions de données représentatives, pas seulement pour les cas les plus frappants. Et faites apparaître explicitement les [taux de base](https://fr.wikipedia.org/wiki/Oubli_de_la_fr%C3%A9quence_de_base) ainsi que les classes de référence dans les réponses de l'IA.