L'état des risques pour l'humanité en 2026 : le paradoxe de l'efficacité en matière de sécurité

Les budgets consacrés à la cybersécurité ne cessent d'augmenter. L'efficacité défensive ne cesse de baisser. Et les menaces internes malveillantes ne cessent de s'intensifier. Il y a un problème fondamental, et la solution ne réside pas dans davantage d'argent.

Une nouvelle étude met en évidence un décalage préoccupant au cœur de la sécurité des entreprises. L'efficacité technologique est passée de 47 % à 37 %. L'efficacité des processus est passée de 43 % à 35 %. L'efficacité du personnel a reculé de 38 % à 35 %. Pourtant, malgré ces baisses, 99 % des organisations affirment avoir besoin d'un budget encore plus important. Ce n'est pas un problème de ressources. C'est un problème structurel. Et tant que les dirigeants n'auront pas pris conscience de cette différence, ce cercle vicieux ne fera que s'aggraver.

L'effondrement de l'efficacité que personne ne veut admettre

Dans tous les domaines de la cybersécurité — technologie, processus et personnel —, l'efficacité s'est considérablement réduite. Une baisse de 10 points de l'efficacité technologique est particulièrement accablante, compte tenu des milliards que les entreprises ont investis dans de nouveaux outils, de nouvelles plateformes et des solutions ponctuelles au cours des dernières années. L'efficacité des processus a perdu 8 points, et même la dimension humaine, souvent citée comme la « dernière ligne de défense », a reculé de 3 points.

Le résultat ? Pas moins de 96 % des organisations déclarent que leur protection est incomplète. Non pas « sujet à amélioration », mais « incomplet ». Après des années d'investissements cumulés, la grande majorité des équipes de sécurité ne peuvent toujours pas affirmer avec certitude que leurs organisations sont suffisamment protégées.

Le piège budgétaire

C'est là que le paradoxe s'accentue. Malgré une baisse mesurable des retours sur investissement, pratiquement toutes les organisations affirment avoir besoin d'un budget de sécurité plus important. Plus précisément, 64 % des organisations interrogées accordent la priorité au renforcement des effectifs et des services dédiés à la cybersécurité (la priorité budgétaire single), alors même que l'efficacité du personnel ne cesse de baisser.

Le schéma est prévisible : vous achetez un outil, vous l'intégrez mal, vous constatez une lacune, vous achetez un autre outil, vous voyez la coordination se détériorer, et ainsi de suite. Chaque achat ajoute à la complexité. Chaque intégration vient aggraver la difficulté de la précédente. Et chaque nouveau tableau de bord, agent ou module crée une nouvelle faille par laquelle les menaces peuvent s'infiltrer.

Du point de vue d'un directeur financier, il s'agit là d'un phénomène de rendements décroissants dans sa forme la plus pure. Du point de vue du conseil d'administration, cela soulève une question dérangeante : pourquoi ne renforçons-nous pas davantage notre sécurité ?

Les menaces internes : le canari dans la mine de charbon

Le signal le plus alarmant qui ressort de ces données ne concerne pas du tout la technologie. Ce qui compte, ce sont les gens. Les actes malveillants commis par des initiés ont bondi de 26 % en seulement deux ans, le pourcentage d'entreprises signalant une augmentation passant de 35 % en 2024 à 42 % en 2025, puis à 44 % en 2026.

Cette accélération n'est pas le fruit du hasard. C'est une conséquence directe du problème de fragmentation. À mesure que les organisations déploient davantage d'outils isolés les uns des autres, la visibilité sur l'ensemble de ces outils s'en trouve réduite. Les analystes en sécurité consacrent plus de temps à établir des corrélations entre les alertes provenant de différents systèmes qu'à réagir concrètement aux menaces. Les programmes de formation fonctionnent indépendamment des contrôles techniques. Les systèmes RH ne communiquent pas avec les systèmes de sécurité. Il en résulte une stratégie de défense comportant de nombreux angles morts, et les acteurs malveillants internes constituent précisément les acteurs les plus à même de les exploiter.

Avec un coût moyen de 13,1 millions de dollars par organisation, résultant d'environ six incidents par mois, les menaces internes ne constituent pas seulement un problème de sécurité. Il s'agit d'un risque financier crucial pour l'entreprise, aggravé par les investissements mêmes censés le prévenir.

Pourquoi un plus grand nombre d'outils ne fait qu'empirer les choses

Pas moins de 65 % des entreprises déclarent que l'intégration au sein de leur infrastructure de sécurité est complexe. Cette complexité n'est pas le fruit du hasard. C'est la cause première de la baisse d'efficacité.

Chaque nouvelle solution ponctuelle s'accompagne d'exigences d'intégration qui augmentent de manière exponentielle plutôt que linéaire. La « fatigue des alertes » s'accentue à mesure que des systèmes isolés génèrent chacun leurs propres notifications sans contexte commun. Les analystes deviennent des opérateurs d'outils plutôt que des chasseurs de menaces, et passent leurs journées à passer d'une console à l'autre au lieu d'enquêter sur les risques. Et la dimension humaine (formation à la vigilance, signaux comportementaux, indicateurs culturels) reste isolée de la télémétrie technique qui devrait l'éclairer.

L'ironie est frappante : les organisations achètent des outils pour renforcer la sécurité, mais le fait même d'acquérir davantage d'outils la compromet activement.

La solution structurelle

Pour briser ce cercle vicieux, il faut adopter une approche fondamentalement différente, qui privilégie l'intégration plutôt que l'addition, et la coordination plutôt que l'accumulation.

Une stratégie reposant sur une plateforme qui regroupe la sécurité des e-mails, la gestion des risques liés aux acteurs internes, les formations de sensibilisation et la conformité au sein d'un écosystème single élimine les failles dont tirent parti les acteurs internes malveillants. Plutôt que d'ajouter un nouvel outil à la pile, cette solution permet de faire fonctionner de concert les investissements existants grâce à une intégration poussée, transformant ainsi des solutions ponctuelles isolées en une défense coordonnée.

La gestion des risques liés au capital humain est au cœur de cette évolution. En considérant les personnes non pas comme le maillon faible, mais comme une surface de risque mesurable et maîtrisable, les organisations peuvent s'attaquer aux causes profondes plutôt qu'aux symptômes. L'analyse comportementale, l'intervention continue et l'évaluation des risques remplacent l'approche « à cocher » caractéristique des formations annuelles et de la gestion réactive des incidents.

Les résultats parlent d'eux-mêmes : les organisations qui ont opéré cette transition font état d'une réduction mesurable de l'utilisation de l'IA « fantôme », d'une réduction des délais d'intervention en cas d'incident et d'une baisse du coût par incident, souvent en l'espace de six mois.

Des dépenses à la résolution des problèmes

Le paradoxe de l'efficacité en matière de sécurité ne sera pas résolu par l'augmentation du budget prévue pour l'année prochaine. Ce problème sera résolu par des dirigeants prêts à poser des questions plus difficiles : pas « combien dépensons-nous ? » mais « dans quelle mesure nos dépenses sont-elles efficaces ? » Pas « de combien d'outils disposons-nous ? » mais « dans quelle mesure travaillent-ils bien ensemble ? »

La multiplication des actes malveillants commis par des initiés constitue le signe avant-coureur le plus évident de l'échec de l'approche actuelle. Les organisations qui tiendront compte de cet avertissement et passeront d'un ensemble disparate d'outils à des plateformes intégrées et centrées sur l'humain ne se contenteront pas d'améliorer leur niveau de sécurité : elles mettront enfin fin au cercle vicieux qui consiste à dépenser davantage pour protéger moins.

Pour en savoir plus, consultez le rapport de Mimecast intitulé « The State of Human Risk 2026 ».

Remettez en question le paradoxe de l'efficacité de la sécurité. Découvrez comment la plateforme intégrée de gestion du Human Risk de Mimecast permet d'améliorer de manière mesurable l'efficacité sans multiplier les outils. Demandez une démonstration.