Pourquoi le comportement humain est devenu la surface d'attaque qui évolue le plus rapidement en cybersécurité

Pendant des années, la cybersécurité s'est principalement concentrée sur le renforcement des technologies. Les organisations ont investi dans une meilleure protection des endpoints, des contrôles d'identité renforcés, une détection avancée des menaces et des opérations de sécurité optimisées par l'IA. Ces investissements restent essentiels, mais ils ne suffisent plus.

Le prochain grand défi de la cybersécurité ne consiste pas à simplement suivre le rythme des attaquants. Il consiste à suivre l'évolution des modes de travail.

Le travail hybride, les applications cloud, l'IA grand public et l'attente d'une productivité instantanée ont profondément transformé le comportement des employés. Chaque jour, les utilisateurs prennent des centaines de décisions liées à la sécurité, souvent sans impliquer l'IT, et ces décisions redéfinissent le risque organisationnel plus rapidement que les politiques de sécurité traditionnelles ne peuvent s'adapter.

Notre dernier rapport 2026 sur l'hygiène de la cybersécurité reflète cette évolution.

Les résultats montrent que les employés ne contournent pas délibérément les mesures de sécurité. Ils privilégient la rapidité, la simplicité et la productivité. Malheureusement, les attaquants poursuivent exactement les mêmes objectifs.

La productivité redéfinit le risque cyber

Un chiffre ressort plus que tous les autres : 64 % des employés reconnaissent utiliser des outils d'IA non autorisés dans le cadre de leur travail.

Pris isolément, ce chiffre pourrait sembler illustrer un nouveau problème lié à Shadow AI. En réalité, il révèle une tendance bien plus profonde.

Les employés adoptent de plus en plus les technologies avant que les organisations n'aient établi un cadre de gouvernance. L'IA n'est que l'exemple le plus récent d'une tendance comportementale plus large, dans laquelle les utilisateurs privilégient l'accomplissement de leurs tâches plutôt que l'attente d'outils approuvés ou de processus formels.

Cette même tendance ressort dans l'ensemble du rapport.

• 76 % réutilisent leurs mots de passe sur plusieurs comptes.
• 70 % se connectent à des réseaux Wi-Fi publics pour travailler.
• La moitié accède aux ressources de l'entreprise sans protection VPN.
• Plus de la moitié d'entre eux utilisent leurs appareils professionnels à des fins personnelles.

Il ne s'agit pas de mauvaises habitudes isolées. Ensemble, elles illustrent une réalité : les décisions quotidiennes des collaborateurs élargissent progressivement la surface d'attaque de l'organisation.

Le périmètre humain devient le nouveau périmètre de sécurité

Depuis des années, la cybersécurité s'adapte à la disparition du périmètre réseau traditionnel.

Aujourd'hui, un autre périmètre est en train de disparaître.

La frontière entre les technologies personnelles et professionnelles devient de plus en plus floue. Tout au long de la journée, les employés passent sans transition des applications d'entreprise aux appareils personnels, aux assistants IA, aux services cloud et aux réseaux domestiques.

À mesure que le travail devient plus distribué, la sécurité ne peut plus reposer sur le contrôle de l'endroit d'où les utilisateurs se connectent. Elle doit désormais chercher à comprendre leur comportement. Il s'agit d'un changement majeur de stratégie en matière de cybersécurité.

Les organisations auront de plus en plus besoin de visibilité non seulement sur les appareils et les applications, mais aussi sur les schémas comportementaux susceptibles de signaler un risque émergent avant qu'un incident ne survienne.

La sensibilisation à la sécurité ne suffit plus à elle seule

Pendant des années, les organisations ont principalement répondu au risque humain par des formations de sensibilisation. Ces formations restent importantes, mais le rapport indique qu'elles ne peuvent pas, à elles seules, résoudre les défis actuels.

Le nombre de comportements identifiés ne résulte pas d'un manque de connaissances, mais de frictions. Les employés réutilisent leurs mots de passe parce qu'ils doivent gérer trop d'identifiants. Ils adoptent des outils d'IA publics parce qu'ils les aident à accomplir leurs tâches plus efficacement. Ils contournent les contrôles de sécurité lorsque ceux-ci ralentissent leur travail.

C'est pourquoi l'avenir de la cybersécurité ne peut pas reposer uniquement sur la demande faite aux utilisateurs de prendre de meilleures décisions.

La sécurité doit de plus en plus opter pour le choix le plus sûr, le plus simple.

Cela implique d'imposer l'utilisation de gestionnaires de mots de passe et de la MFA, d'encadrer l'usage de l'IA au moyen d'outils d'entreprise approuvés, d'appliquer les principes Zero Trust aux accès distants et d'étendre la protection au-delà du périmètre traditionnel des bureaux.

Des indicateurs techniques aux indicateurs de risque humain

L'un des changements majeurs que les organisations opéreront au cours des prochaines années concernera leur manière de mesurer la cybersécurité.

Historiquement, les tableaux de bord de sécurité se sont concentrés sur les vulnérabilités, les détections de malwares et la conformité aux correctifs. Ces indicateurs restent précieux, mais ils ne racontent qu'une partie de l'histoire.

La prochaine génération de programmes de sécurité mesurera de plus en plus le comportement humain parallèlement aux contrôles techniques.

Des indicateurs tels que l'adoption des gestionnaires de mots de passe, la couverture MFA, la résilience face au phishing, l'utilisation de la Shadow AI, la visibilité sur les logiciels et les habitudes de sécurité des employés deviendront des indicateurs avancés de la résilience de l'organisation, plutôt que de simples métriques secondaires de sensibilisation.

Comprendre le comportement humain deviendra aussi important que d'identifier les vulnérabilités techniques.

Perspectives

Le secteur de la cybersécurité évoque souvent la manière dont l'IA transforme le paysage des menaces. Et c'est effectivement le cas.

Mais l'IA accélère également un phénomène moins visible : la vitesse à laquelle le comportement des employés évolue. De nouvelles applications apparaissent du jour au lendemain. Les workflows changent en permanence. Les exigences de productivité augmentent. Les utilisateurs adoptent de nouvelles technologies bien avant que la gouvernance ne les suive.

Les organisations qui continueront de considérer le comportement humain comme un simple problème de sensibilisation auront du mal à suivre le rythme.

Celles qui le traiteront comme une composante de la cybersécurité, surveillée en continu, mesurable et pilotée, seront bien mieux placées pour réduire les risques. Car, dans la plupart des organisations, la principale faille de sécurité n'est plus l'absence d'un contrôle de sécurité. C'est l'écart croissant entre la manière dont les collaborateurs travaillent réellement et la manière dont les équipes de sécurité supposent encore qu'ils travaillent.

Pour en savoir plus, consultez le communiqué de presse.