La situation en matière de risques pour l'humanité en 2026 : la crise de la coordination

Un directeur financier reçoit un e-mail convaincant, apparemment envoyé par le PDG, lui demandant d'effectuer un virement bancaire urgent. L'e-mail passe à travers le filtre anti-spam. Quelques secondes plus tard, un appel vocal généré par deepfake confirme la demande. Dans le même temps, le système de surveillance des terminaux ne détecte rien d'anormal, et l'employé — qui n'a jamais suivi de formation sur l'ingénierie sociale multivectorielle — valide le paiement. Trois outils de sécurité étaient en cours d'exécution. Aucun d'entre eux ne se parlait. L'argent disparaît en quelques minutes.

Telle est la réalité de la cyberdéfense moderne : des attaquants coordonnés face à des défenseurs dispersés. Et l'écart ne cesse de se creuser.

Le piège de la prolifération des outils

Un RSSI gère aujourd'hui en moyenne plus de 40 outils de sécurité. Chacun d'entre eux a été acheté pour résoudre un véritable problème. Mais, cumulés, ces facteurs ont donné naissance à un nouveau problème : une complexité telle que 65 % des organisations estiment que l'intégration de leurs outils de cybersécurité est compliquée, voire très compliquée.

Il en résulte ce que les équipes de sécurité qualifient avec ironie de « sécurité du fauteuil pivotant » : des analystes qui passent sans cesse d’une console à l’autre, sans lien entre elles, et qui établissent manuellement des corrélations entre des alertes qui devraient être reliées automatiquement. Lorsque votre plateforme de sécurité des e-mails ne partage pas d'informations contextuelles avec votre outil de détection des terminaux et qu'aucune des deux ne communique avec votre système de gestion des identités, chaque alerte est traitée de manière isolée. Le contexte s'estompe. La « fatigue des alertes » s'installe. Et l'ironie cruelle s'accentue : les entreprises achètent un énième outil pour résoudre des problèmes causés, justement, par le fait qu'elles disposent déjà d'un trop grand nombre d'outils.

Par ailleurs, comme l'a révélé l'élaboration du rapport « The State of Human Risk 2026 » de Mimecast, seules 28% des organisations coordonnent leurs programmes de formation des collaborateurs avec leurs systèmes de surveillance technique. Cela signifie que la grande majorité d'entre eux mettent en œuvre des programmes de sensibilisation qui n'ont absolument aucun rapport avec les menaces réelles détectées par leurs outils de sécurité. La formation aborde les risques du dernier trimestre. La surveillance permet de détecter les attaques du jour. Les deux ne se rencontrent jamais.

Comment les initiés malveillants exploitent les failles

Cette fragmentation n'est pas seulement source d'inefficacité, elle est dangereuse. Les incidents liés à des actes malveillants commis par des personnes internes ont bondi de neuf points de pourcentage pour atteindre 44 %, et les défaillances en matière de coordination en sont l'une des principales causes.

Prenons un cas de figure courant : un salarié remet sa démission un vendredi. Le service des ressources humaines met à jour son système, mais l'équipe de sécurité n'en est informée que la semaine suivante. Au cours du week-end, l'employé qui quitte l'entreprise télécharge des fichiers clients sensibles, transfère des documents confidentiels vers son adresse e-mail personnelle et accède à des systèmes dont il n'a plus besoin. La surveillance des e-mails ne signale pas les transferts de fichiers. Le système de détection des terminaux n'a pas connaissance de cette démission. Les politiques DLP n'ont pas été modifiées. Chaque outil ne voit qu'une partie du tableau. Personne ne perçoit l'ampleur de la menace.

Des acteurs malveillants sophistiqués — qu'il s'agisse d'initiés agissant seuls ou d'attaquants externes ayant compromis des identifiants — recherchent activement ces failles de visibilité. Ils savent que les interfaces entre des systèmes isolés les uns des autres constituent les points les plus vulnérables. Et ils bénéficient d'un avantage temporel inhérent : il ne faut que quelques minutes pour mener une attaque, mais des heures, voire des jours, aux équipes de défense dispersées pour reconstituer le fil des événements.

Le multiplicateur d'attaque de l'IA

Le problème de coordination est sur le point de s'aggraver considérablement. Pas moins de 69 % des entreprises considèrent désormais que les attaques basées sur l'IA sont inévitables au cours des 12 prochains mois, et ce à juste titre. L'IA permet aux attaquants d'orchestrer des campagnes multi-vecteurs à une échelle et à une vitesse que les défenses fragmentées ne peuvent tout simplement pas égaler.

Une single campagne pilotée par l'IA peut à la fois générer un e-mail de phishing personnalisé, passer un appel téléphonique d'ingénierie sociale à l'aide d'un enregistrement vocal cloné et mettre en place une fausse page de connexion convaincante, le tout en ciblant le même employé en l'espace d'une heure. Chaque élément vient renforcer les autres. Chacune d'entre elles exploite une faille différente dans les systèmes de défense cloisonnés.

Si l'on ajoute à cela les plateformes de collaboration — 71 % des entreprises s'attendent à ce que les attaques visant ces outils aient un impact négatif sur leurs activités —, la surface d'attaque devient encore plus difficile à surveiller en raison de la déconnexion des systèmes.

Du cloisonnement à la synchronisation

La solution ne consiste pas à acheter l'outil n° 41. Il s'agit de faire en sorte que les outils dont vous disposez déjà fonctionnent ensemble.

Une approche unified de la gestion des risques liés aux utilisateurs permet de relier les différents éléments entre les systèmes de messagerie électronique, les terminaux, le cloud et les systèmes d'identité grâce à un moteur de gestion des risques single. Lorsque les données comportementales sont regroupées sur une seule plateforme, des tendances qui passaient inaperçues prises isolément apparaissent alors clairement. Un clic sur un lien de Phishing détecté par le système de sécurité des e-mails déclenche la surveillance des terminaux afin de suivre les accès aux fichiers qui s'ensuivent, ce qui entraîne le déploiement automatisé d'une formation et alerte les RH si des indicateurs de départ sont détectés. Chaque intervention est coordonnée et ne fait pas double emploi.

La notation dynamique des risques regroupe les signaux provenant de l'ensemble de l'écosystème de sécurité et est mise à jour en permanence à mesure que de nouvelles informations sont disponibles. Les utilisateurs à haut risque identifiés en raison de lacunes en matière de formation se voient automatiquement appliquer des règles de messagerie plus strictes et font l'objet d'une surveillance DLP renforcée. Les anomalies détectées dans les outils de collaboration sont mises en corrélation avec les habitudes d'utilisation des e-mails et sont prises en compte dans les évaluations des risques liés aux acteurs internes.

Voici à quoi ressemble la symétrie défensive : il ne s'agit pas de riposter aux attaquants coup pour coup, mais d'aligner votre coordination sur la leur.

Briser le cercle vicieux

Des attaquants bien coordonnés auront toujours l'avantage sur des défenseurs dispersés. La voie à suivre ne réside pas dans un accroissement des investissements dans des solutions ponctuelles isolées, mais bien dans l'intégration, l'unification et l'orchestration. Lorsque les services de sécurité, des ressources humaines, juridique et informatique partagent une vision commune des risques liés au facteur humain, les failles exploitées par les initiés commencent à se combler.

La question n'est pas de savoir si votre organisation dispose de suffisamment d'outils. La question est de savoir si ces outils fonctionnent de concert.

Découvrez comment le « Human Risk Command Center » de Mimecast assure une visibilité unifiée et coordonne les interventions au sein de l'ensemble de votre écosystème de sécurité. Demandez une évaluation des risques.