Un sondage réalisé auprès de 700 responsables IT et cybersécurité aux États‑Unis et au Canada montre que l’attention portée à la cybersécurité remonte après un incident, puis retombe généralement en l’espace de quelques mois, alors que la plupart des organisations reviennent à leurs priorités et pratiques antérieures. Tous les répondants avaient déjà été confrontés à une brèche ou à un incident.
Un pic d’urgence qui ne dure pas
Immédiatement après une brèche, les organisations réagissent : discussions de process, montée de l’urgence au sein des équipes et correctifs techniques (patching, revues des accès, renforcement des sauvegardes). Mais cet effort est rarement durable : 80 % des répondants indiquent que l’attention accrue sur la cybersécurité ne dure que d’un à six mois avant de s’estomper.
Près de la moitié des organisations ont conservé leurs structures et leur stratégie existantes après l’incident, sans changement majeur. Une part plus réduite a réalisé des corrections ciblées sur la faille identifiée, et encore moins ont engagé des modifications larges et pérennes de gouvernance, de formation ou d’escalade.
Confiance élevée malgré des risques acceptés
Bien que toutes les entreprises interrogées aient vécu un incident, 91 % font confiance à leur posture actuelle de cybersécurité, et seulement 8 % déclarent que la cybersécurité devient une priorité permanente une fois l’incident passé. Un tiers des répondants estiment qu’un incident majeur est inévitable quelles que soient leurs défenses, et un tiers comparable accepte les risques qu’il juge gérables. Les lacunes connues restent souvent ouvertes jusqu’à ce qu’un audit ou un nouvel incident force à agir, et seule une minorité affirme que la sécurité reçoit une attention soutenue tout au long de l’année, en dehors des suites d’un incident.
Le chercheur en cyberpsychologie Dr. Erik Huffman commente : « La croyance que les brèches sont inévitables a abaissé l’exigence en matière de sécurité. » Il ajoute : « Nous disons depuis trop longtemps ‘ce n’est pas une question de si, mais de quand’. Mais nous conservons le contrôle sur les processus de sécurité qui influencent directement l’issue. »
Il déplore également l’idée que la sécurité se résume à un achat d’outils : « Il est regrettable que nous ayons accepté l’idée que des choses malheureuses arriveront quoi que nous fassions. Beaucoup d’organisations achètent des outils de sécurité dans l’espoir d’être ‘sûres’. Mais la sécurité ne se vend pas ou ne s’achète pas simplement. C’est un processus en constante évolution et il faut le traiter comme tel. »
Peur, responsabilité floue et conséquences opérationnelles
Selon le sondage, la plupart des employés déclarent immédiatement une erreur lorsqu’elle se produit, mais 83 % des répondants admettent que la peur des conséquences influence la manière dont l’incident est traité une fois signalé. Une part notable décrit la réponse de leur organisation comme axée sur la mise en cause.
« La cybersécurité a longtemps été animée par une culture de la peur, et cela a créé un environnement que beaucoup cherchent à éviter », ajoute Huffman. « La réponse aux incidents ne doit pas viser à savoir qui a fait quoi. L’attention doit porter sur ce qui s’est passé, pourquoi cela s’est produit et qui en est impacté. »
La responsabilité même est parfois floue : près d’un répondant sur cinq ne sait pas si la responsabilité d’une défaillance incombe à la sécurité, à l’IT ou aux équipes métiers. Cette incertitude a un coût : retard dans la remédiation, perturbation des activités et risque accru d’exposition des données avant la fermeture de la brèche.
IA largement utilisée, recommandations souvent acceptées sans vérification
L’utilisation de l’intelligence artificielle est répandue parmi ces organisations pour l’automatisation de la réponse aux incidents, le renseignement sur les menaces, les tests d’intrusion et le scan de vulnérabilités. Une large majorité estime que l’IA a facilité la prise de décision, plus de la moitié lui attribue des gains d’efficacité ou des capacités de sécurité renforcées, et l’IA a rendu la majorité des répondants plus disposés à accepter des risques cyber.
Parmi les organisations qui utilisent l’IA en cybersécurité, environ deux tiers déclarent souvent ou toujours agir sur les recommandations de l’IA sans vérification supplémentaire.
Huffman met en garde : « L’IA introduit indubitablement de nouveaux risques pour les organisations. Les grands modèles de langage sont des cibles fréquentes pour les attaquants en raison du niveau de confiance que les gens accordent aux informations fournies par les systèmes d’IA. Il faut passer du ‘faire confiance mais vérifier’ au ‘vérifier, puis faire confiance’. »
« Les organisations qui apprennent véritablement de leurs incidents ne sont pas seulement celles qui répondent rapidement. Ce sont celles qui préservent la visibilité après la crise, rendent explicites les décisions de risque et transforment une urgence temporaire en discipline durable », concluent les chercheurs.
