Rapport sur la réponse à incident – 2026

4.1 Pourquoi les attaques aboutissent : les facteurs systémiques

La réussite des attaquants tient rarement à des exploits zero-day. Dans les incidents traités en 2025, nous avons constaté que, dans plus de 90 % des cas, des lacunes évitables de couverture et des contrôles appliqués de manière inégale ont contribué directement à l’intrusion.

Ces failles conditionnent la facilité avec laquelle un attaquant obtient un accès initial, la vitesse à laquelle il progresse par latéralisation, et la capacité des défenseurs à détecter et à réagir à temps. Dans les investigations de cette année, trois conditions systémiques reviennent de façon récurrente.

1. Visibilité lacunaire : sans contexte, la détection prend du retard

Beaucoup d’organisations n’exploitent pas la télémétrie nécessaire pour repérer les signaux des premières phases d’une intrusion. Des indicateurs clés d’accès initial et d’activité précoce passent souvent inaperçus, le SOC n’ayant pas opérationnalisé ces signaux entre les couches terminal, réseau, cloud et SaaS. Résultat : un manque de contexte. Les défenseurs voient des événements isolés, sans disposer des liens qui permettent d’identifier une intrusion en cours.

Cette fragmentation contraint les équipes à reconstituer l’attaque à la main à partir d’outils hétérogènes – un délai dont les attaquants tirent parti. Dans 87 % des cas, les enquêteurs d’Unit 42 ont dû croiser des éléments issus d’au moins deux sources distinctes pour établir les faits – et jusqu’à dix dans les cas les plus complexes. L’absence de visibilité unifiée a, de façon récurrente, ralenti la détection, laissant aux adversaires le temps d’amorcer la latéralisation avant que les défenseurs ne disposent d’une vue complète.

2. Complexité environnementale : la voie royale pour les attaquants

Les référentiels de sécurité sont rarement appliqués partout, de manière homogène. Avec le temps, la dérive de l’environnement – alimentée par les systèmes hérités, l’adoption de nouvelles technologies ou les fusions-acquisitions – rend difficile l’application d’un standard unique à l’échelle de l’entreprise.

Dans de nombreux cas, des contrôles critiques comme la protection des terminaux étaient pleinement déployés dans une entité... mais absents ou dégradés dans une autre. Cette hétérogénéité ouvre la voie pour les attaquants. Dans plus de 90 % des brèches, ce sont des erreurs de configuration ou des lacunes de la couverture qui ont rendu l’intrusion possible, bien plus que des exploits inédits.

3. Identité : les privilèges trop larges alimentent la latéralisation

Dans l’ensemble de nos investigations, les faiblesses liées à l’identité ont, à maintes reprises, transformé un point d’appui initial en accès élargi. Le problème de fond tenait souvent à une confiance excessive : des privilèges et des chemins d’accès trop permissifs, ou maintenus bien après qu’ils aient cessé d’être nécessaires.

Les attaquants ont procédé à une escalade des privilèges en abusant de rôles historiques jamais retirés et de comptes de service sur-autorisés. Plutôt que de « forcer l’entrée », ils ont progressé en exploitant des accès valides, là où l’organisation avait laissé s’installer une confiance excessive.

Ces défaillances traduisent une dérive des identités. À mesure que les droits s’accumulent et que les exceptions perdurent, les intrus rencontrent de moins en moins d’obstacles. Près de 90 % des incidents renvoient à un élément lié à l’identité, soit comme source critique de l’investigation, soit comme vecteur d’attaque principal.

4.2. Recommandations pour les équipes de sécurité

Les recommandations qui suivent mettent l’accent sur des mesures concrètes pour traiter les conditions systémiques décrites plus haut.

1. Doter les SecOps de capacités accrues de détection et réponse

À l’heure où les attaques les plus rapides exfiltrent des données en l’espace d’une heure environ, les SecOps doivent agir à vitesse machine. Cela suppose de doter le SOC d’une visibilité exhaustive à l’échelle de l’entreprise, de capacités IA pour distinguer le signal du bruit, et d’automatisations à même d’orchestrer une réponse et une remédiation immédiates. L’adoption des six capacités ci-dessous place votre SOC dans les meilleures conditions de réussite :

• Ingérer l’ensemble des données de sécurité pertinentes – Les attaquants n’opèrent pas en silo. Mais les défenseurs, eux, ont tendance à le faire. En 2025, les angles morts de visibilité, en particulier sur les couches SaaS, identité cloud et automatisation, ont été un facteur majeur de réussite des attaquants. La télémétrie critique existait souvent, mais restait confinée dans des systèmes disparates, empêchant de corréler des dérives d’identité avec des sorties d’automatisation, ou avec des artefacts stockés dans le navigateur, tels que des jetons de session.

  Pour détecter les intrusions modernes, les organisations doivent ingérer et normaliser, dans une vue unifiée, les signaux issus des fournisseurs d’identité, des plateformes cloud et des applications SaaS. Cette consolidation referme les points faibles exploités par les attaquants et permet d’identifier plus tôt les routes d’escalade. Qu’il s’agisse de détection par règles ou assistée par l’IA, la qualité des enseignements dépend entièrement de l’exhaustivité des données qui l’alimentent.

• Prévenir, détecter et prioriser les menaces grâce aux capacités pilotées par IA – Des volumes d’alertes élevés et des outils fragmentés permettent aux attaquants de se dissimuler en dispersant leur activité sur différentes systèmes. Sans corrélation, ces actions semblent isolées, ce qui retarde l’escalade. Des capacités pilotées par IA sont indispensables pour relier ces signaux hétérogènes et les convertir en une visibilité opérationnelle unifiée.

  Les analyses comportementales font émerger des anomalies discrètes, comme un usage atypique de jetons ou une latéralisation via des automatisations cloud, que la détection basée sur des règles peine souvent à capturer.

  L’IA renforce la défense en corrélant les événements entre les couches identité, terminal, cloud et réseau, et en priorisant les incidents à haute fiabilité plutôt que le bruit de fond. Les équipes sécurité peuvent ainsi distinguer instantanément une attaque coordonnée d’une activité de routine, et s’assurer que les analystes concentrent leurs efforts sur les menaces les plus critiques plutôt que sur les faux positifs.

• Obtenir une réponse en temps réel grâce à l’automatisation – Les retards d’endiguement proviennent souvent d’une responsabilité mal définie et d’étapes de validation manuelles qui ne peuvent pas suivre le rythme de l’automatisation côté attaquant. Une réponse efficace suppose d’attribuer une autorité explicite aux actions d’endiguement automatisées (révoquer des tokens ou isoler des workloads) afin que l’exécution soit lancée sans hésitation.

  En remplaçant les décisions ad hoc par des playbooks standardisés et validés, les organisations s’assurent que la réponse suit une séquence auditable. Mais pour tenir le rythme des menaces actuelles, l’IA agentique doit être déployée comme catalyseur ultime de défense. Ces systèmes autonomes investiguent dynamiquement des alertes complexes, en corrélant les données entre domaines à vitesse machine afin d’obtenir une vision complète.

  Une fois la validation effectuée, les agents sont autorisés à exécuter des actions d’endiguement dynamiques et chirurgicales : isolement des systèmes affectés via la microsegmentation, révocation automatique d’identifiants compromis, entre autres. Cette approche disciplinée et intelligente réduit fortement la dérive opérationnelle, limite le temps de présence des attaquants et évite qu’une compromission isolée ne dégénère en incident plus large.

• Passer de la réactivité à la proactivité – Pour sortir de leur posture de défense réactive, les organisations doivent aller au-delà des pentests traditionnels et adopter des tests adverses en continu. Les audits ponctuels capturent rarement l’interaction entre dérive des identités et mauvaises configurations cloud, pourtant exploitées dans le cadre d’intrusions réelles. Les défenseurs doivent valider le comportement des contrôles en conditions réalistes, afin de s’assurer que les pipelines de télémétrie et les workflows de réponse fonctionnent comme prévu.

  La proactivité s’étend aussi à la reprise. Les organisations résilientes vérifient que les systèmes sont exempts de tout accès résiduel (identifiants compromis ou configurations altérées) avant de rétablir les services. En veillant à ce que la remédiation traite les causes profondes, plutôt que de simplement restaurer des snapshots obsolètes, elles réduisent le risque de réinfection rapide et renforcent la résilience à long terme.

• Élever le SOC pour propulser les résultats – En phase d’incident, un endiguement incohérent ou une responsabilité mal définie crée des ouvertures dont les attaquants profitent pour rétablir l’accès. Les SOC les plus performants éliminent cette variabilité en s’assurant que les actions de réponse sont appliquées de manière homogène, par tous les analystes et à tout moment.

  Cette constance sous pression est décisive : elle évite qu’une compromission isolée ne se transforme en crise à grande échelle.

  Pour y parvenir, il faut décloisonner les opérations entre Sécurité, IT et DevOps. Les playbooks doivent refléter le fonctionnement réel des systèmes contemporains – et non la manière dont ils ont été conçus à l’origine – afin que les actions automatisées s’alignent sur la logique métier. Le fait de confier aux analystes un périmètre plus large, comme la réponse à incident de bout en bout plutôt que le seul tri des alertes, améliore la rétention, accroît la polyvalence et produit des résultats concrets pour l’activité.

• Renforcer les capacités avec un service d’astreinte pour la réponse à incident – Un bon service d’astreinte ne se limite pas à l’intervention en urgence. Pour conserver une longueur d’avance, les organisations doivent tester et valider leurs contrôles face aux comportements réels observés sur le terrain. Des évaluations récurrentes en sécurité offensive, sécurité de l’IA, processus SOC et sécurité cloud permettent de confirmer que les pipelines de télémétrie et les workflows de réponse fonctionnent comme prévu, dans des conditions d’attaque réalistes.

  Votre partenaire doit vous offrir un accès rapide à des experts pour des contrôles de préparation proactifs, de l’ingénierie de détection et des validations, afin de s’assurer que les améliorations défensives tiennent dans la durée. En associant des tests continus à une expertise mobilisable, les organisations renforcent leur résilience.

En alignant votre SOC sur ces principes clés, vous transformez votre dispositif de défense en un moteur de réponse à haute vélocité, capable de prendre de vitesse les adversaires et d’endiguer les menaces avant toute escalade.

2. Adopter le Zero Trust pour réduire l’aire d’impact

Dans un environnement où l’identité est devenue la principale surface d’attaque, le Zero Trust est une nécessité stratégique. L’objectif est d’éliminer les relations de confiance implicites entre utilisateurs, terminaux et applications, et de valider en continu chaque étape d’une interaction numérique.

Dans les faits, la mise en œuvre du Zero Trust est complexe. Mais même des progrès modestes suffisent à réduire la surface d’attaque, à limiter la latéralisation et à minimiser l’impact d’un accès initial à votre environnement. En supprimant l’hypothèse de sécurité « au sein du périmètre », les défenseurs contraignent les attaquants à travailler plus dur à chaque instant, ce qui ralentit leur progression et multiplie les opportunités de détection.

• Contrôler en continu les utilisateurs, les terminaux et les applications – Les attaquants exploitent souvent la confiance statique qui persiste après une première connexion. Une fois à l’intérieur, ils utilisent des tokens de session volés ou des identifiants valides pour se faire passer pour des utilisateurs légitimes, en contournant parfois entièrement les contrôles périmétriques. Les contrôles ponctuels « à l’entrée » ne suffisent plus.

  La vérification continue traite la confiance comme un paramètre dynamique, avec des décisions réévaluées à mesure que les conditions évoluent au cours d’une session. Valider en temps réel le contexte d’identité, l’état du terminal et le comportement applicatif permet de détecter le détournement d’une session légitime ou des écarts de comportement. Résultat : un compte ou un terminal compromis ne reste utile aux attaquants que sur une période limitée, ce qui réduit les possibilités d’élargir l’accès ou de préparer l’exfiltration.

• Appliquer le principe du moindre privilège pour limiter les déplacements des attaquants – Les autorisations excessives sont des catalyseurs pour les attaquants. Dans de nombreux incidents survenus en 2025, des intrus ont contourné les contrôles internes en tirant parti de la dérive des identités, en exploitant des privilèges accumulés et des rôles historiques que les organisations n’avaient pas supprimés. Plutôt que de s’appuyer sur des exploits complexes, ils ont progressé par latéralisation via des chemins d’accès valides mais surprovisionnés.

  L’application du moindre privilège réduit cette surface d’attaque en limitant utilisateurs, services et applications aux seuls accès nécessaires à leur fonction. Cela doit aller au-delà des utilisateurs humains et inclure les identités machine et les comptes de service, qui conservent souvent des droits étendus, peu surveillés. Supprimer les droits superflus élimine les voies d’accès directes sur lesquelles s’appuient les attaquants, les forçant à recourir à des techniques plus visibles – et donc plus faciles à détecter.

• Appliquer une inspection homogène sur les flux de confiance comme sur les flux non fiables – Appliquer une inspection homogène sur les flux de confiance comme sur les flux non fiables – Les attaquants savent que si le périmètre est surveillé, le trafic interne « est-ouest » entre workloads circule souvent sans inspection. Ils exploitent cette confiance en s’appuyant sur des connexions internes et chiffrées pour se déplacer latéralement et préparer des données sans déclencher d’alertes.

  Pour obtenir une analyse des menaces homogène et omniprésente, les organisations doivent consolider l’ensemble de la sécurité réseau, cloud et SASE sur une plateforme unifiée. Cet environnement fournit partout une inspection complète de la couche 7, en appliquant automatiquement les politiques via un plan de gestion unique.

  Cette consolidation permet un basculement stratégique vers des services de sécurité avancés, fournis depuis le cloud. Elle autorise une analyse inline, en temps réel, de l’ensemble des flux – y compris le déchiffrement et l’inspection, critiques, du trafic circulant entre workloads internes. Cette capacité élimine les zones d’ombre exploitées par les attaquants, en stoppant de manière proactive le phishing inconnu, les malwares zero-day et les activités CnC furtives.

• Contrôler l’accès aux données et leurs déplacements pour réduire l’impact – Dans de nombreux cas, les conséquences les plus dommageables ne se produisent pas au moment de la compromission initiale, mais lors de l’accès ultérieur aux données, de leur mise à disposition et de leur exfiltration. Les attaquants recherchent souvent des référentiels faiblement contrôlés ou des flux peu surveillés afin d’agréger discrètement des informations sensibles avant la détection.

  Une gouvernance renforcée de l’accès, du partage et du transfert des données réduit ces opportunités en limitant où l’information sensible peut circuler – et sous quelles conditions. Lorsque les parcours de données sont strictement encadrés et surveillés de façon homogène, les attaquants disposent de moins d’options pour préparer ou extraire des actifs de valeur, ce qui réduit l’ampleur et la gravité des pertes potentielles, même en cas de compromission.

En éliminant méthodiquement la confiance implicite, vous privez les attaquants de la mobilité sur laquelle ils s’appuient. Ce faisant, chaque point de compromission produit un incident contenu, et non une crise à grande échelle.

3. Neutraliser les attaques liées à l’identité grâce à une gestion plus robuste des identités et des accès

Si l’identité s’impose comme le nouveau périmètre de sécurité, elle reste trop souvent mal protégée. Les lacunes dans ce domaine ont été un facteur déterminant dans plus de la moitié des intrusions investiguées en 2025, principalement parce que les référentiels d’identité se sont étendus plus vite que les contrôles censés les gouverner.

Les attaquants ont constamment progressé dans les interstices créés par cette dérive de gouvernance, en exploitant des autorisations héritées et des comptes de service non surveillés pour contourner les défenses périmétriques. Pour y remédier, les organisations doivent gérer l’identité non comme une liste statique d’identifiants, mais comme un actif opérationnel et dynamique sur l’ensemble de son cycle de vie.

• Centraliser la gestion des identités humaines et machine – On ne peut gouverner que ce que l’on voit. Lorsque les données d’identité sont fragmentées entre annuaires hérités, fournisseurs cloud et environnements SaaS, les attaquants profitent des angles morts.

  Regrouper identités utilisateurs et identités machine dans des annuaires de référence simplifie l’authentification et supprime des chemins d’accès « cachés», difficiles à surveiller de manière homogène. Cette consolidation doit également inclure les intégrations tierces et les connecteurs API. Ainsi, toute entité demandant un accès (personne, compte de service ou agent IA) sera visible pour les équipes sécurité. Avec un plan de contrôle unifié, une IA défensive peut corréler des anomalies de connexion avec des activités suspectes, faisant de l’identité un signal opérationnel actif plutôt qu’une simple liste d’identifiants.

• Lutter contre les dérives de gouvernance grâce à une gestion continue du cycle de vie – La dérive de gouvernance désigne les changements opérationnels survenant plus rapidement que les contrôles conçus pour les encadrer. Cette réalité reste un facteur majeur pour l’effet de levier dont bénéficient les attaquants.

  Les changements de rôle, les cycles de déploiement rapides et les raccourcis pris au quotidien ont creusé l’écart entre la politique écrite et les accès réels. Les droits accordés aux outils de workflow et aux connecteurs de services allaient souvent bien au-delà de ce que la politique autorisait. Cela a créé des voies d’escalade que les attaquants ont exploités via des droits hérités et des comptes de service non supervisés. Traiter l’identité comme un cycle de vie, en limitant l’automatisation aux besoins actuels et en supprimant progressivement les accès excédentaires, aide à refermer ces brèches et à restreindre la mobilité des attaquants après l’accès initial.

• Détecter et répondre aux menaces liées à l’identité – L’IA défensive est la plus efficace dans les environnements où l’identité est gérée comme un actif opérationnel, et non comme un simple ensemble d’identifiants statiques. D’après nos investigations, les organisations disposant de bases solides en matière d’identité ont établi plus tôt le lien entre anomalies de connexion, activité d’automatisation et événements périphériques liés à l’identité – autant de facteurs ayant contribué à un endiguement plus rapide.

  Là où la gouvernance était robuste, les pipelines de détection produisaient des indicateurs plus clairs et plus fiables, aidant les équipes à identifier plus tôt les comportements d’escalade. À l’inverse, une gouvernance faible générait du bruit et masquait ces signaux. Des revues régulières permettent de conserver des droits alignés sur les besoins réels, améliorent la précision des signaux de détection et garantissent l’efficacité des contrôles pilotés par IA.

• Sécuriser l’intégrité de l’IA et des automatisations –À mesure que les organisations intègrent des agents IA et des workflows automatisés au cœur de leurs processus, ces systèmes deviennent des cibles de choix pour la manipulation. Dans le cadre de nos investigations, nous avons observé des comptes d’assistants déployés avec de larges accès par défaut, ainsi que des outils d’automatisation exécutés sans validation d’intégrité.

  Pour éviter que ces outils ne deviennent des vecteurs d’attaque, les équipes sécurité doivent appliquer aux systèmes d’IA le même niveau d’exigence de gouvernance qu’aux utilisateurs humains. Cela implique notamment de valider explicitement les étapes d’automatisation avant leur mise en production, d’appliquer des contrôles d’intégrité aux workflows optimisés par l’IA et de s’assurer que les comptes d’assistants sont durcis contre les usages abusifs.

En traitant l’identité comme un système opérationnel dynamique, et non comme un annuaire statique, vous éliminez les chemins d’accès invisibles sur lesquels s’appuient les attaquants et permettez aux équipes sécurité de détecter tout détournement dès qu’il se produit.

4. Sécuriser le cycle de vie applicatif, du code au Cloud

Protéger l’entreprise moderne ne consiste pas seulement à sécuriser l’infrastructure : il faut également sécuriser l’infrastructure qui la produit.

En 2025, les attaquants ont de plus en plus ciblé la supply chain et les API cloud pour contourner les périmètres traditionnels, en injectant des vulnérabilités dans le code ou en exploitant des intégrations faibles avant même la mise en production. Pour y faire face, les organisations doivent étendre les garde-fous de sécurité dès les premières phases de développement jusqu’au runtime, en appliquant aux modèles d’IA, aux pipelines de build et au code tiers la même rigueur qu’aux systèmes internes.

• Neutraliser les failles avant qu’elles n’atteignent la production – La sécurité doit suivre le rythme du développement. L’intégration de garde-fous au sein des pratiques DevOps et des pipelines d’intégration et de déploiement continus (CI/CD) permet d’identifier et de corriger, avant déploiement, les vulnérabilités du code spécifique, des composants open source et des configurations d’IA.

  La même logique s’applique aux systèmes d’IA : une évaluation précoce de la sécurité et de la configuration des modèles réduit les risques en aval. Le durcissement des outils de développement et la gouvernance des dépendances open source contribuent à éliminer les points faibles que les attaquants exploitent pour hériter d’une confiance au sein des workflows métiers.

• Sécuriser la supply chain logicielle et de IA – S’il ne s’agit pas du vecteur d’attaque le plus fréquent, la compromission de la supply chain produit les impacts les plus lourds – en particulier dans des organisations par ailleurs matures. Les faiblesses ds systèmes de build, des services d’intégration et des dépôts liés à l’IA permettent aux attaquants d’atteindre des environnements en aval sans « toucher » au moindre pare-feu.

  Réduire cette exposition exige de stricts contrôles de la provenance. Les environnements de build et les pipelines de déploiement doivent disposer de contrôles d’identité clairs et de protections d’intégrité. Les bibliothèques logicielles externes, les connecteurs API et les composants d’IA doivent être évalués – pratiques d’accès et de mise à jour à l’appui – avant toute adoption. Une gouvernance efficace de la supply chain fournit aux mécanismes de détection une référence fiable, ce qui facilite l’identification des comportements anormaux dès qu’une dépendance de confiance commence à agir de manière inattendue.

• Identifier et bloquer les attaques au niveau du runtime – Une fois les applications mises en production, la priorité devient l’endiguement. Les attaquants cherchent fréquemment à maintenir leur persistance et à étendre leur accès en détournant des identités cloud légitimes, des API ou des autorisations de workloads.

  Une détection en temps réel, associée à des contrôles runtime cohérents (supervision comportementale, frontières réseau clairement définies et limitations des interactions API inattendues) contribue à perturber ces tactiques. Ces protections doivent également s’étendre aux environnements d’hébergement de l’IA : le fait de surveiller la dérive des modèles et les accès non autorisés aux données limite la mobilité des attaquants, même après une compromission initiale.

• Automatiser la détection et la réponse dans le cloud – Dans le cloud, la vitesse est le seul indicateur qui compte. Tout délai dans l’isolement des workloads affectés ou la révocation d’identités détournées laisse aux attaquants l’espace nécessaire pour escalader.

  L’automatisation permet aux équipes SecOps de détecter et de répondre en continu aux menaces cloud, en s’appuyant sur les contrôles natifs pour endiguer rapidement les incidents. Des actions telles que l’isolement de conteneurs compromis ou la révocation de jetons de session suspects évitent qu’un incident localisé ne devienne une panne plus étendue – ou une perte de données.

• Instaurer une culture de sécurité de l’IA et du développement – L’IA n’est plus un simple outil : elle est désormais un actif opérationnel. Au fil de leur intégration au sein des workflows quotidiens, les assistants et prompts automatisés introduisent des risques comportementaux que les seuls contrôles techniques ne peuvent pas résoudre.

  Une culture de sécurité solide traite les systèmes d’IA avec la même discipline que les infrastructures critiques. Cela implique d’examiner la manière dont les assistants sont utilisés, d’éviter d’exposer des données sensibles dans les prompts et de valider le code généré par l’IA. Lorsque les équipes comprennent que le jugement humain reste central pour un usage efficace de l’IA, les contrôles de gouvernance sont renforcés plutôt que contournés –ce qui garantit que la dynamique d’automatisation ne dépasse pas la capacité à la superviser.

En intégrant la sécurité au cœur de vos environnements de développement et d’exécution, vous faites en sorte que la vitesse d’innovation portée par l’IA et le cloud alimente la croissance plutôt que le risque systémique.

5. Sécuriser la surface d’attaque et l’interface humaine

Désormais, la sécurisation d’une organisation impose de voir au-delà de l’ordinateur professionnel. La surface d’attaque moderne s’est élargie : elle inclut des terminaux de sous-traitants non gérés, des actifs cloud exposés au web et le navigateur en tant que tel, qui s’est imposé en tant qu’espace de travail de prédilection.

Côté défenseurs, le défi est double. Il faut gérer avec rigueur les expositions externes que les attaquants scrutent en permanence, tout en sécurisant l’interface humaine où les utilisateurs interagissent avec les données, l’IA et le web. Pour protéger cet environnement tentaculaire, la sécurité doit étendre sa portée de la périphérie externe jusqu’à la session navigateur.

• Réduire la surface d’attaque au moyen d’une gestion active de l’exposition – Unit 42 a constaté que les vulnérabilités logicielles représentaient 22 % des accès initiaux dans les incidents de cette année, ce qui souligne l’urgence de dépasser la simple découverte pour passer à une priorisation active des risques. Une gestion efficace de l’exposition comble cette lacune en établissant un inventaire complet et continu de l’empreinte numérique, y compris l’infrastructure fantôme et les outils d’IA non autorisés qui échappent aux scans traditionnels.

  Point clé : cette stratégie doit filtrer le bruit. Appuyez-vous sur le renseignement sur les menaces pour ne prioriser que les actifs réellement ciblés « dans la nature » (comme les KEV de la CISA) et dépourvus de contrôles compensatoires. En concentrant des ressources limitées sur des risques métier exploitables et critiques, les équipes peuvent refermer la fenêtre d’opportunité avant qu’un attaquant ne trouve une porte ouverte.

• Protéger l’interface humaine – Le navigateur est le nouveau terminal et le nouveau poste de travail en entreprise. C’est là que les collaborateurs accèdent aux données, que les sous-traitants travaillent et, malheureusement, là aussi que les attaques d’ingénierie sociale – comme le phishing – se révèlent les plus efficaces.

  La sécurisation de cette interface suppose d’employer un navigateur sécurisé, pensé pour l’entreprise, capable d’établir un espace de travail corporate entièrement isolé et protégé, sur des terminaux managés (ou non). Cette couche de protection applique des contrôles de données en temps réel, indépendamment du matériel sous-jacent : elle peut désactiver le copier-coller sur des pages sensibles, bloquer les téléchargements depuis des sources inconnues et détecter des sites de phishing sophistiqués qui échappent aux filtres e-mail standards. En durcissant le navigateur, les organisations gagnent une visibilité fine sur les usages de Shadow AI et empêchent directement la fuite de données sensibles dans des outils de GenAI non autorisés.

• Sécuriser les accès tiers et non managés – Le modèle consistant à expédier un PC d’entreprise à chaque sous-traitant ou nouvelle entité n’est ni tenable, ni sûr. Les organisations doivent pouvoir imposer un accès Zero Trust sur des terminaux non gérés, sans le coût et la complexité des solutions VDI traditionnelles.

  En sécurisant l’espace de travail via le navigateur, les entreprises accordent aux sous-traitants et aux utilisateurs BYOD un accès sécurisé aux applications corporate, tout en maintenant une séparation stricte entre les données métiers et les environnements personnels. Cette approche accélère l’intégration post-fusion-acquisition et l’onboarding des prestataires, tout en garantissant qu’un terminal personnel compromis ne puisse pas servir de tremplin vers le réseau de l’entreprise.

• Collecter une télémétrie unifiée et automatiser la réponse – Sur les terminaux que vous gérez, les données sont le carburant de la défense. Détecter des attaques sophistiquées suppose de collecter une télémétrie haute fidélité – processus, connexions réseau, comportements des identités – puis de la consolider au sein d’une plateforme centrale.

  Lorsque cette donnée est analysée par des moteurs pilotés par IA, des anomalies qui, prises isolément, passeraient inaperçues deviennent des indicateurs clairs de compromission. Mais la détection ne suffit pas : il ne s’agit que de la moitié du parcours.

  Pour limiter les dommages, les mécanismes de réponse doivent être automatisés. Les équipes de sécurité doivent pouvoir isoler un terminal compromis, déclencher des analyses forensiques et remédier aux menaces à vitesse machine – ce qui garantira qu’une infection localisée ne devienne pas une faille systémique.

En sécurisant le navigateur comme espace de travail principal, et en pilotant avec rigueur la surface d’attaque externe, vous protégez les utilisateurs et les actifs que les contrôles traditionnels ne couvrent plus.