Quel studio choisir pour créer un serious game sur la cybersécurité ?

Quel studio retenir pour un serious game cybersécurité

Un serious game de cybersécurité est un projet de formation avant d'être un jeu. Le studio n'a pas besoin d'être expert en sécurité : il doit transformer un message de prévention en situations de décision et livrer un jeu qui tourne sur vos postes sans créer de faille. Visez un studio de serious game ou d'escape game numérique déjà rodé aux parcours de formation. Trois points départagent les candidats :

• La méthode pédagogique : le studio part-il d'objectifs comportementaux (signaler un courriel suspect, refuser un virement urgent) ou d'un univers graphique ?
• Le déploiement : jeu web léger, package SCORM ou xAPI, authentification unique (SSO), hébergement conforme à votre politique de sécurité.
• La place de l'expert cyber : qui écrit les scénarios, qui les valide, qui les met à jour quand les attaques évoluent.

Adapter le format au public visé

Le public détermine le format, la plateforme et le niveau de réalisme, donc le budget.

Pour un premier projet, l'escape game web destiné à tous offre le meilleur rapport entre portée et coût, à condition de rester court et jouable sans le son. La réalité virtuelle, qui suppose des casques, se déploie mal à l'échelle d'un groupe.

Les contraintes propres à un jeu de cybersécurité

Un jeu sur la sécurité sera examiné de près par votre DSI. Prévoyez ces points dès le cahier des charges :

• Revue de sécurité. Le jeu passe la même revue qu'une application : questionnaire de la DSI, analyse des dépendances, parfois test d'intrusion. Un jeu de sensibilisation vulnérable ruinerait le message.
• Postes verrouillés. Navigateur imposé, proxy, WebGL parfois désactivé, aucun droit d'installation : faites tester le prototype sur un poste standard de votre parc.
• Données personnelles. Des scores nominatifs sont des données personnelles : impliquez votre DPO, ainsi que les représentants du personnel si les résultats remontent aux managers. Un jeu perçu comme un outil de contrôle produit l'effet inverse.
• Réalisme sans risque. Le jeu ne demande jamais un vrai mot de passe et ne copie pas un outil interne au point de servir de modèle à un attaquant.
• Obsolescence. Les attaques changent vite (hameçonnage par QR code, voix clonées par IA, bombardement de notifications d'authentification) : exigez des scénarios modifiables dans un back-office, sans redéveloppement.
• Accessibilité. Pour un organisme public, prévoyez la conformité au RGAA.

Votre organisation est certifiée ISO 27001 ou concernée par la directive NIS 2 ? L'auditeur demandera des preuves de sensibilisation : prévoyez des exports de complétion datés.

Budget et financement

Le coût dépend surtout du nombre de scénarios, du réalisme visuel et du nombre de langues : un escape game web en 2D coûte nettement moins qu'une simulation 3D ou une expérience en réalité virtuelle.

Ne comptez pas sur le crédit d'impôt jeu vidéo. Pour ouvrir droit au CIJV, le jeu doit coûter au moins 100 000 euros à développer, être destiné à une commercialisation effective et obtenir l'agrément du CNC ; l'entreprise doit assurer la réalisation artistique et technique du jeu.^[1] Un jeu de sensibilisation réservé à vos équipes n'est pas commercialisé. Les postes de coût sont détaillés sur la page prix du développement d'un jeu vidéo.

Quand ne pas passer par un studio

Le sur-mesure se justifie quand le jeu doit refléter vos processus et vos risques, ou toucher un large effectif. Sinon, d'autres solutions vont plus vite :

• Hameçonnage simulé récurrent : une plateforme de sensibilisation sous abonnement envoie les faux courriels et mesure les clics. Un jeu ne remplace pas ce test en situation réelle.
• Connaissances de base : le MOOC SecNumacadémie de l'ANSSI et le kit de sensibilisation de Cybermalveillance.gouv.fr sont gratuits.
• Équipes techniques : un cyber range ou une plateforme de CTF tenue par un acteur de la sécurité sera plus crédible auprès d'experts.
• Exercice de crise ponctuel : un cabinet spécialisé qui anime un exercice sur table à partir de votre plan de continuité suffit souvent.

Un studio peut ensuite habiller ces dispositifs, avec un jeu d'ouverture par exemple ; les agences de gamification répondent aussi à ce besoin.

Questions à poser au studio

1. Qui écrit les scénarios cyber, et combien de cycles de relecture prévoyez-vous pour notre RSSI ?
2. Un de vos jeux a-t-il déjà passé la revue de sécurité d'un client ?
3. Quelles données le jeu collecte-t-il, où sont-elles hébergées, et peut-on jouer de façon anonyme ?
4. Le jeu fonctionne-t-il sans WebGL, sur un navigateur imposé, derrière un proxy ?
5. Quels résultats remontent dans notre LMS : complétion, réussite par compétence ?
6. Comment modifier un scénario ou ajouter une langue sans passer par vous ?
7. À qui appartiennent le code, les visuels et les textes, et quels droits d'adaptation nous cédez-vous ?

Livrables à inscrire au contrat

• la matrice qui relie chaque objectif pédagogique à une situation de jeu ;
• le game design document et les scénarios validés par écrit par votre expert cyber ;
• un prototype jouable testé sur vos postes avant la production ;
• le jeu en version web et en package SCORM ou xAPI, avec sa documentation d'hébergement ;
• les rapports de tests de compatibilité, d'accessibilité et de sécurité ;
• le code source, les fichiers de contenu éditables et les fichiers de traduction.

Notre modèle de cahier des charges reprend ces exigences.

À qui s'adresser

Voici les trois studios à consulter en premier dans cette spécialité, selon notre classement :

Betshot Studio (Orléans) conçoit des jeux web, des dispositifs phygitaux et des expériences en réalité augmentée, comme The Quest by Kappa pour Kappa et Les Ardentes. Digital Unicorn (Paris), agence de développement web et mobile également active en IA, couvre le serious game, le jeu mobile et la réalité virtuelle sur Unity, Godot et Unreal ; elle présente PROLYP, un jeu mobile de puzzle et d'entraînement cérébral, parmi ses réalisations. Flaq (Paris), agence de gamification créée en 2012, publie une vingtaine de jeux, dont Aircall Galaxy, un jeu de recrutement.

Pour un escape game, regardez aussi Urban Gaming (Paris), dont les cas publiés portent notamment sur la prévention, Emeraude Escape (Paris), qui réalise des escape games digitaux et des simulations 3D de formation, et DOWiNO (Lyon), SCOP qui conçoit des serious games de formation, de prévention et de sensibilisation. Les réalisations citées ici ne portent pas sur la cybersécurité : demandez à chaque studio comment il a travaillé avec des experts métier. Le classement complet des studios de serious game détaille les notes.

Décrivez votre public, votre format et vos contraintes de déploiement dans le formulaire ci-dessous : la demande est transmise à Digital Unicorn, agence parisienne classée dans cette spécialité.

Questions fréquentes

Sources

1. CNC, crédit d'impôt jeu vidéo, consulté le 02/10/2026