L'état des risques humains en 2026

Les entreprises ont dépensé des milliards pour renforcer leurs infrastructures technologiques. Ils ont déployé des pare-feu, des solutions de détection au niveau des terminaux, des plateformes SIEM et des architectures « zero-trust ». Pourtant, les violations se poursuivent sans relâche. La raison est à la fois simple et dérangeante : le plus grand défi en matière de cybersécurité ne réside pas dans un déficit technologique, mais dans un déficit humain.

Le rapport « The State of Human Risk 2026 » de Mimecast, qui s'appuie sur une enquête menée auprès de 2 500 responsables de la sécurité informatique et décideurs informatiques dans neuf pays, met clairement en évidence un point. Les organisations savent où se situent leurs points faibles. Ils n'agissent tout simplement pas assez vite pour les régler.

L'ampleur du problème

Les enjeux financiers sont colossaux. Les personnes interrogées estiment qu'un single incident de fuite de données causé par un initié coûterait en moyenne 13,1 millions de dollars à leur organisation. Les entreprises étant confrontées en moyenne à six incidents de ce type par mois, cela représente un risque annuel d'environ 943 millions de dollars. Il ne s'agit pas là de chiffres hypothétiques : ils reflètent la réalité vécue par les équipes de sécurité qui voient les incidents s'accumuler dans les boîtes de réception, sur les plateformes de collaboration et via les canaux de communication internes.

Le fossé entre la théorie et la pratique

La conclusion la plus frappante du rapport de cette année est sans doute ce que nous appelons le « fossé entre la prise de conscience et l'action ». La prise de conscience des risques liés au facteur humain est quasi universelle : 91 % des organisations rencontrent des difficultés pour garantir le respect des règles par leurs collaborateurs, et 96 % reconnaissent que leur protection est insuffisante. Mais seules 28 % d'entre elles combinent deux pratiques fondamentales : une formation régulière à la sensibilisation à la sécurité et une surveillance continue des violations des politiques.

C'est précisément ce décalage qui est à l'origine des failles de sécurité. Les pirates n'exploitent pas ce que les organisations ne voient pas. Ils tirent parti de ce que les organisations perçoivent sans toutefois parvenir à établir le lien.

Cinq lacunes majeures qui façonnent le paysage des menaces

Ce rapport recense cinq failles de sécurité interdépendantes auxquelles les systèmes de défense traditionnels peinent à remédier.

L'explosion de la surface d'attaque. Ce qui était autrefois avant tout un problème de sécurité lié aux e-mails est devenu un paysage de menaces omnicanal. Les entreprises sont désormais confrontées à des attaques visant Slack, Microsoft Teams, Zoom et des dizaines d'autres plateformes de collaboration. Pas moins de 71 % s'attendent à ce que les attaques visant les outils de collaboration aient un impact négatif sur leur activité en 2026, alors que 38 % continuent de s'en remettre exclusivement aux contrôles de sécurité natifs — des contrôles que 64 % jugent insuffisants.

La crise liée aux risques liés aux initiés. Des études montrent que seulement 8% des employés sont à l'origine de 80% des incidents de sécurité. Il ne s'agit pas nécessairement de personnes mal intentionnées ; le plus souvent, ce sont des employés bien intentionnés qui finissent par constituer un risque en raison de la fatigue, d'une distraction ou d'une manœuvre d'ingénierie sociale sophistiquée. Les organisations distinguent trois profils de risque distincts — la négligence, la vulnérabilité et la malveillance — mais coordonnent rarement leurs stratégies de prévention pour l'ensemble de ces trois profils.

Le paradoxe de l'intégration. Près des deux tiers (65 %) des entreprises estiment que l'intégration des outils de cybersécurité est trop compliquée. Pourtant, ceux qui y parviennent font état d'une Threat Remediation 40 % plus rapide et d'une visibilité bien plus complète. C'est là une cruelle ironie : les efforts d'intégration qui ont échoué sont précisément à l'origine de la prolifération et de la fragmentation des outils que l'intégration était censée résoudre.

La défaillance de la gouvernance. Bien que l'importance de la gouvernance soit unanimement reconnue, 59 % des personnes interrogées ne se sentent pas en mesure de retrouver rapidement les données de communication nécessaires pour répondre à des exigences réglementaires ou légales. Avec 36 % d'entre elles qui s'appuient encore sur une surveillance manuelle et 23 % qui gèrent leurs politiques de manière manuelle, les entreprises ne peuvent tout simplement pas suivre le rythme de l'explosion des volumes de données et de la multiplication des exigences en matière de conformité.

Le déficit de préparation à l'IA. Alors que 69 % des personnes interrogées considèrent que les attaques basées sur l'IA sont inévitables d'ici 12 mois, seules 40 % d'entre elles déclarent être parfaitement préparées et disposer de stratégies spécifiques pour y faire face. Cet écart de 29 points entre la prise de conscience et la préparation constitue une fenêtre de vulnérabilité critique — et les pirates en tirent déjà parti.

L'IA : une arme à double tranchant

L'IA mérite une attention particulière, car elle accentue toutes les autres disparités mises en évidence dans le rapport. Du côté des attaquants, l’IA permet la mise en place de chaînes automatisées business email compromise qui entretiennent des conversations crédibles pendant des semaines, de « deepfakes » vocaux imitant des dirigeants, ainsi que de contenus Phishing si bien ficelés que les signaux d’alerte traditionnels — fautes de grammaire, formules de politesse génériques — ont pratiquement disparu.

Du côté de la défense, l'adoption de cette technologie progresse, mais de manière inégale. Un peu plus de la moitié des entreprises utilisent désormais l'IA pour la détection des menaces et la surveillance en temps réel, contre 46 % l'année précédente. Il existe toutefois un déséquilibre révélateur : 48 % d'entre eux investissent dans des outils de surveillance basés sur l'IA, tandis que seuls 44 % forment leurs collaborateurs à repérer les cas d'exploitation liée à l'IA et que seulement 41 % ont mis en place des politiques spécifiques relatives à l'utilisation de l'IA. Les entreprises acquièrent des systèmes plus performants, tout en laissant leurs collaborateurs exposés aux attaques que ces systèmes sont justement censés détecter.

Un défi mondial présentant des variations régionales

Le risque lié au facteur humain est universel, mais les approches varient selon les marchés. Le rapport distingue trois niveaux de maturité. Les États-Unis et Singapour occupent la tête du classement des « pays adoptant l'IA », caractérisés par un niveau élevé de sensibilisation, une adoption dynamique et un retour sur investissement en hausse. Des marchés tels que le Royaume-Uni, l'Allemagne et la France adoptent une approche plus prudente, axée sur la conformité. Et les pays émergents — l'Espagne, l'Afrique du Sud et l'Australie — connaissent un développement rapide tout en gérant leurs contraintes en matière de ressources.

Malgré ces différences, certains défis sont communs à tous les pays : les difficultés de gouvernance touchent 91 à 93 % des organisations dans toutes les régions, la complexité de l'intégration dépasse 65 % et le déficit de coordination de 28 % persiste à l'échelle mondiale.

La voie à suivre

Les recommandations du rapport s'articulent autour de cinq priorités qui se renforcent mutuellement : sécuriser l'ensemble des canaux de communication grâce à une protection unified, gérer les risques liés au facteur humain par le biais de l'analyse comportementale et de contrôles centrés sur l'utilisateur, assurer la gouvernance des données grâce à la conformité automatisée, regrouper les outils de sécurité au sein de plateformes intégrées, et se préparer aux menaces liées à l'IA en s'appuyant à la fois sur une IA défensive et sur des cadres de gouvernance clairs.

Il ne s'agit pas de cinq projets distincts. Ces éléments sont étroitement liés : une protection unified des canaux alimente l'analyse comportementale avec des données plus riches, une meilleure évaluation des risques permet d'affiner les politiques de gouvernance, et des plateformes intégrées rendent l'ensemble du système viable sur le plan opérationnel.

Le bilan

Le coût de l'inaction dépasse de loin l'investissement nécessaire. Avec une exposition estimée à près d'un milliard de dollars par an au risque lié aux initiés, la multiplication des attaques visant les outils de collaboration et l'intelligence artificielle qui amplifie considérablement le paysage des menaces, 2026 est l'année où les organisations doivent passer de la prise de conscience à l'action.

La question qui se pose à tout responsable de la sécurité n'est pas de savoir s'il faut investir dans la gestion des risques liés au facteur humain. La question est de savoir si vous agirez avant le prochain incident… ou après.

Téléchargez le rapport «The State of Human Risk 2026» de Mimecastpour découvrir des conclusions détaillées, des analyses régionales et des recommandations concrètes.