Les responsables de la cybersécurité peuvent avoir davantage confiance dans leurs défenses, mais cela ne signifie pas que leur travail devient plus facile.
Au contraire, les risques gérés par les RSSI s’enfoncent toujours plus au cœur des technologies que les employés utilisent au quotidien. L’identité et les workflows courants prennent également une place croissante dans ces risques.
C’est l’une des conclusions les plus nettes du rapport Voice of the CISO 2026 de Proofpoint, qui a interrogé 1 600 RSSI dans 16 pays.
Le rapport révèle que moins de responsables de la sécurité s’attendent à subir une cyberattaque importante ou signalent une perte de données significative que l’an dernier.
Dans le même temps, l’intelligence artificielle (IA) et le risque humain créent de nouveaux défis alors que les attentes des conseils d’administration continuent de croître.
L’IA devient le principal défi des RSSI
L’IA générative (GenAI) est rapidement passée du statut de préoccupation émergente à celui de responsabilité centrale en matière de sécurité.
Environ 78 % des RSSI considèrent désormais la GenAI comme un risque de sécurité, contre 60 % en 2025. Par ailleurs, 77 % s’inquiètent de la perte de données clients via des outils publics de GenAI.
Dans le même temps, 85 % déclarent que permettre une utilisation sûre des assistants et copilotes d’IA constitue une priorité absolue pour les deux prochaines années. Cette priorité s’étend également aux technologies d’automatisation.
Cela crée un exercice d’équilibriste difficile. Les RSSI doivent protéger les données sans empêcher les employés d’utiliser des outils susceptibles d’améliorer leur productivité.
De nombreuses organisations réagissent en limitant les accès. Le rapport montre que 78 % des entreprises bloquent ou restreignent l’utilisation de la GenAI par leurs employés, contre 59 % l’an dernier. Mais les seules restrictions deviennent plus difficiles à faire respecter à mesure que les fonctionnalités d’IA sont intégrées directement aux plateformes SaaS et aux workflows du quotidien.
L’insuffisance des ressources pourrait être une préoccupation encore plus importante, car 79 % des RSSI déclarent devoir gérer des risques liés à l’IA sans augmentation proportionnelle des ressources ou de l’expertise.
Le risque cyber se déplace vers les technologies courantes du lieu de travail
Certains signes montrent également que les programmes de sécurité progressent.
Environ 61 % des RSSI estiment que leur organisation sera confrontée à une cyberattaque importante au cours des 12 prochains mois, contre 76 % en 2025.
Les pertes de données importantes ont également reculé, passant de 66 % à 53 %. Toutefois, 56 % déclarent encore que leur organisation n’est pas préparée à faire face à une cyberattaque ciblée.
Les préoccupations des RSSI évoluent elles aussi. La prise de contrôle ou la compromission de comptes cloud est la menace la plus souvent citée, avec 33 %. Les plateformes collaboratives arrivent en tête des technologies que les RSSI craignent de voir introduire des risques, suivies de près par les assistants ou agents d’IA et les applications SaaS intégrant des services tiers.
Le risque humain devient un problème de sécurité des données
La technologie ne constitue qu’une partie de l’équation. Le risque humain a été identifié par 79 % des RSSI comme la principale vulnérabilité cyber de leur organisation, contre 66 % l’an dernier.
Parmi les organisations ayant subi une perte de données importante, les employés internes malveillants ou criminels constituaient la principale cause à l’origine de l’incident, avec 46 %. Les employés internes négligents et ceux dont les comptes ont été compromis ont chacun été cités dans 38 % des cas, tandis que l’utilisation abusive ou la mauvaise configuration de l’IA suivait avec 37 %.
Les employés sur le départ méritent une attention particulière : 93 % des RSSI d’organisations ayant subi une perte de données importante ont déclaré que ces employés y avaient contribué.
Moins d’incidents de perte de données, mais des conséquences plus lourdes
La baisse des pertes de données signalées dissimule également un autre problème. Les incidents qui se produisent semblent coûter de plus en plus cher aux entreprises.
Parmi les organisations touchées, les sanctions réglementaires sont passées de 34 % à 40 %, tandis que les pertes financières ont bondi de 27 % à 38 %. Les coûts de reprise ont atteint 38 %, et les dommages à la réputation sont montés à 37 %.
Les conseils d’administration y prêtent attention : 85 % des RSSI déclarent que leurs conseils partagent leur point de vue sur la cybersécurité, contre 64 % en 2025. Toutefois, 77 % indiquent également que des attentes excessives sont placées sur le RSSI ou le responsable de la sécurité des systèmes d’information.
Pour les RSSI, la conclusion est que les progrès réalisés dans la sécurité traditionnelle ne réduisent pas nécessairement leur charge de travail.
La gouvernance de l’IA et l’identité sont de plus en plus liées au comportement humain. La protection des données recoupe chacun de ces domaines.
L’étape suivante consiste à transformer la visibilité en contrôles qui protègent les données sensibles lorsqu’elles circulent entre les utilisateurs et les applications. Ces contrôles doivent également s’étendre aux services cloud et aux workflows intégrant l’IA.
Mettre en œuvre des solutions zero trust peut aider les organisations à renforcer ces contrôles en vérifiant en permanence les accès aux données et aux applications sensibles. La même approche peut contribuer à protéger l’accès aux ressources cloud.