MtoM Mag - Le journal de l'MtoM.

Les risques liés à l’IA, la dissimulation des incidents et la souveraineté des données s’imposent comme des enjeux majeurs dans une enquête menée auprès de plus de 1 200 professionnels de la sécurité.

Bucarest, Roumanie, et San Antonio, Texas – Le 2 juillet 2026 – Bitdefender, leader mondial de la cybersécurité, annonce la publication de son “Rapport d’évaluation de la cybersécurité 2026”, un rapport annuel fondé sur une enquête indépendante et une analyse menée auprès de professionnels de la cybersécurité. Il met en lumière les préoccupations les plus urgentes, les principaux défis et la perception des menaces qui façonnent la sécurité des entreprises.

Le rapport repose sur une enquête indépendante menée auprès de plus de 1 200 professionnels IT et sécurité, répartis à parts égales entre praticiens de la cybersécurité et décideurs, allant des responsables IT et RSSI aux analystes, architectes et ingénieurs sécurité. Tous travaillent au sein d’entreprises de 500 employés ou plus, situées en France, en Allemagne, en Italie, à Singapour, au Royaume-Uni et aux États-Unis.

Les principaux enseignements du rapport incluent :

 Près de la moitié des organisations n’ont pas une visibilité complète sur l’usage des outils d’IA par les collaborateurs : Si 51,8 % des répondants déclarent disposer d’une visibilité complète sur les usages IA autorisés et non autorisés, 47,4 % reconnaissent n’avoir qu’une visibilité partielle, voire aucune visibilité, sur les outils d’IA fantôme ou les comptes personnels utilisés à des fins professionnelles. L’écart est plus marqué au niveau du management : 57,8 % des managers pensent disposer d’une visibilité complète, contre seulement 45,9 % des praticiens. À l’inverse, seuls 0,5 % des managers déclarent n’avoir aucune visibilité, contre 4,5 % des praticiens, ce qui suggère que les dirigeants pourraient sous-estimer l’exposition réelle de leur organisation.

 La sécurisation des systèmes IA internes et des infrastructures cloud figure parmi les principales préoccupations : Interrogés sur les environnements les plus sensibles, 45 % des répondants citent les systèmes IA internes et les grands modèles de langage, ou LLM, comme leur principale préoccupation, suivis de près par les infrastructures cloud et les environnements applicatifs, à 44 %. Les systèmes de gestion des identités et des accès, ou IAM, arrivent en troisième position, à 33,3 %. Fait notable, alors même que les systèmes IA sont considérés comme le principal sujet de préoccupation, 20,4 % des répondants estiment que le risque lié à la fuite de données sensibles par des collaborateurs dans des LLM publics est faible ou très faible. Ce chiffre révèle un écart important entre la perception de la menace et l’exposition réelle.

 Plus de la moitié des répondants ayant subi un incident déclarent avoir été invités à le garder confidentiel : Parmi les répondants ayant connu un incident ou une violation de sécurité au cours des douze derniers mois, 55,2 % déclarent avoir été invités à ne pas le divulguer, alors même qu’ils estimaient que l’incident aurait dû être signalé aux autorités. Ce chiffre est légèrement inférieur à celui de 2025, qui s’élevait à 57,6 %, mais reste nettement supérieur aux 42 % observés en 2023. Il traduit une culture de dissimulation des incidents encore profondément ancrée à l’échelle mondiale. Les États-Unis arrivent en tête, avec 68,6 %, devant l’Allemagne et le Royaume-Uni, tous deux à 57,2 %. Cette pression au silence touche aussi bien les managers, à 56,8 %, que les praticiens, à 53,5 %.

 Les accès non autorisés et la compromission des e-mails professionnels dominent les incidents de sécurité : Les violations touchant les infrastructures cloud ou les applications arrivent en tête des incidents déclarés sur les douze derniers mois, avec 41,8 %. Elles sont suivies par les compromissions d’e-mails professionnels, ou BEC, ayant entraîné une perte financière ou une fuite de données, à 35,9 %, puis par les ransomwares, à 25,6 %. Les organisations américaines se distinguent particulièrement, avec 54,7 % de répondants déclarant des incidents BEC, soit près de 19 points au-dessus de la moyenne globale. Par ailleurs, 59,2 % de l’ensemble des répondants indiquent avoir subi des attaques d’ingénierie sociale alimentées par l’IA au cours des douze derniers mois, signe que l’usage de l’IA dans la cybercriminalité relève désormais d’une réalité opérationnelle.

 Les organisations peinent à réduire leur surface d’attaque malgré une bonne compréhension des risques : Les principaux freins à la réduction de la surface d’attaque sont la charge liée au maintien des règles de durcissement et des exceptions, citée par 38 % des répondants, la crainte de perturber les opérations, à 35,4 %, et le manque de ressources, à 34,6 %. Ces résultats montrent que les organisations savent qu’elles doivent réduire leur exposition, mais peinent à agir sans affecter leur activité. La difficulté à sécuriser les systèmes hérités, citée par 34,5 %, et les lacunes de visibilité, définies comme l’incertitude sur les outils légitimes réellement indispensables à chaque utilisateur, à 33,8 %, accentuent encore ce défi. Aux États-Unis, 48,8 % des organisations signalent des lacunes marquées de visibilité, contre une moyenne globale de 33,8 %.

 La souveraineté des données devient un critère déterminant dans le choix des fournisseurs : Plus des trois quarts des répondants, soit 76,1 %, déclarent qu’ils seraient susceptibles de changer de fournisseur de cybersécurité en raison de préoccupations liées à la souveraineté des données, à la juridiction ou à l’accès potentiel de gouvernements étrangers à leurs données. Les États-Unis arrivent en tête avec 87 %, suivis du Royaume-Uni à 85 % et de l’Allemagne à 77 %. Les managers expriment une urgence encore plus forte que les praticiens, avec 79,4 % contre 72,8 %. Alors que des réglementations comme NIS2, DORA et les cadres de transfert de données entre les États-Unis et l’Union européenne continuent d’élargir les obligations de conformité, les organisations privilégient de plus en plus les fournisseurs capables d’offrir des modèles de traitement transparents et des réponses claires sur la localisation des données et les personnes pouvant y accéder.

 Les menaces liées à l’IA sont perçues comme des risques élevés ou extrêmes : Les organisations évaluent un large éventail de scénarios liés à l’IA comme des menaces sérieuses. L’utilisation de l’IA par les attaquants pour générer des malwares auto-mutants arrive en tête, à 55,9 %, suivie par la fuite de données sensibles dans des LLM publics, à 53,5 %, les techniques d’évasion alimentées par l’IA capables de contourner les signatures EDR traditionnelles, à 52,5 %, et les deepfakes ou le clonage vocal utilisés dans la fraude ou les compromissions d’e-mails professionnels, à 51,9 %. Si les malwares auto-mutants constituent la principale inquiétude, les renseignements actuels sur la menace indiquent que les adversaires utilisent surtout l’IA pour accélérer et affiner leurs attaques, plutôt que pour créer des malwares entièrement nouveaux. Les préoccupations s’étendent également à l’IA agentique, perçue comme un facteur d’expansion de la surface d’attaque, notamment à Singapour, à 64 %, et aux États-Unis, à 61,6 %.

« L’expansion de la surface d’attaque, la prolifération rapide des menaces alimentées par l’IA et les pressions opérationnelles persistantes obligent les organisations à repenser en profondeur leur approche de la sécurité », déclare Andrei Florescu, President and General Manager de Bitdefender Business Solutions Group. « Les conclusions de ce rapport montrent clairement que les stratégies de sécurité modernes doivent dépasser les défenses réactives pour réduire les risques en continu, gouverner l’adoption de l’IA et garantir la conformité dans un environnement où les adversaires sont plus rapides, plus adaptatifs et de plus en plus automatisés. »

Bitdefender a mandaté Censuswide, cabinet international d’études de marché, pour interroger et analyser les réponses de 1 201 professionnels IT et sécurité travaillant dans des entreprises de 500 employés ou plus, issues de différents secteurs. L’enquête et l’analyse ont été menées entre avril et juin 2026. Les répondants étaient répartis à parts égales entre la France, l’Allemagne, l’Italie, Singapour, le Royaume-Uni et les États-Unis.