La plupart des organisations disposent de plans de réponse aux incidents, d’outils de sécurité et d’équipes techniques. Pourtant, une recherche récente montre que ce n’est pas suffisant : la préparation à une cyberattaque échoue souvent au moment où tout doit s’aligner sous pression. Autrement dit, posséder des briques ne garantit pas leur fonctionnement ensemble en situation réelle.
Selon l’étude The State of Incident Response Readiness 2026, fondée sur un sondage mené en janvier et février 2026 auprès de 600 décideurs seniors en sécurité IT, 73% des organisations déclarent ne pas être « pleinement prêtes » si une attaque significative survenait dès le lendemain.
Pourquoi la réponse aux incidents ne suffit plus
La réponse à incident a évolué : elle ne se limite plus à contenir techniquement une intrusion. Aujourd’hui, une réponse mature doit aussi intégrer la gestion de crise côté direction, la coordination avec le juridique et la conformité, ainsi que des communications structurées auprès des parties prenantes.
L’étude souligne qu’une grande partie des répondants peine à réunir ces éléments au même moment. Moins de 40% des participants décrivent les composantes clés comme « hautement efficaces », que ce soit les plans documentés, les exercices de simulation, la chasse aux menaces, les investigations en forensique numérique ou encore la surveillance 24/7.
Le point central n’est donc pas uniquement l’existence de capacités. Le véritable enjeu est la capacité à exécuter de manière cohérente quand les décisions doivent tomber vite.
Le principal frein : la coordination sous tension
Un autre enseignement ressort avec force : les frictions internes ralentissent la réponse. D’après l’étude, 90% des organisations s’attendent à rencontrer des difficultés pour coordonner les parties prenantes lors d’un incident majeur.
Ce défi devient critique lorsque les équipes ne sont pas alignées avant l’attaque : juridique, communication, sécurité, IT et direction. L’étude indique que 75% des répondants estiment que les retards ou l’incertitude autour de l’implication des équipes juridique et communication freinent les décisions pendant les cyberincidents.
De plus, 89% mentionnent une participation limitée du conseil d’administration ou de la direction dans la préparation et la prise de décision liées à la réponse aux incidents.
Un scénario type qui fait perdre un temps précieux
L’étude décrit un enchaînement dangereux pendant un incident :
- Les équipes techniques enquêtent et tentent de contenir l’attaque.
- La direction exige des mises à jour avant d’approuver les actions majeures.
- Le juridique et la communication interviennent tardivement.
- Les décisions de divulgation, de messages clients et d’escalade tardent.
- Les équipes de réponse perdent du temps quand la vitesse de décision devient critique.
Dans ce contexte, une propriété mal définie peut transformer le processus de réponse en mode réactif. Au lieu d’exécuter un plan testé, les équipes consacrent des minutes essentielles à briefer, clarifier l’autorité et attendre des approbations.
Manque de visibilité : un risque direct de récidive
La recherche met également en évidence une difficulté technique majeure : beaucoup d’organisations voient mal jusqu’où l’attaquant a pu progresser. 78% des répondants estiment que des « angles morts » dans l’environnement créent un accès persistant pour l’attaquant et augmentent le risque d’incidents répétés.
Ces angles morts peuvent couvrir une large variété de périmètres : infrastructure sur site, environnements cloud publics, postes et terminaux, plateformes SaaS, systèmes d’identité et même environnements d’exploitation (OT) ou technologies industrielles (ICS).
Sans visibilité fiable, il devient difficile de répondre à des questions fondamentales, par exemple :
- D’où l’attaquant est-il entré ?
- Quels systèmes a-t-il réellement touchés ?
- L’attaquant a-t-il avancé latéralement ?
- Des comptes privilégiés ont-ils été compromis ?
- Le malware et la persistance ont-ils été supprimés ?
- L’attaquant peut-il revenir après la reprise ?
Le danger est clair : contenir une partie seulement du problème peut laisser l’accès à l’attaquant intact, et donc ouvrir la voie à une nouvelle intrusion.
OT et ICS : quand un incident devient un risque business
La préparation à une cyberattaque comporte aussi une dimension industrielle. L’étude indique que 84% des organisations se disent préoccupées par le passage d’attaques depuis l’IT d’entreprise vers les environnements OT ou systèmes de contrôle industriel.
Cette crainte est particulièrement marquée dans des secteurs où une cyberattaque peut avoir des conséquences physiques : fabrication, énergie, santé, transport et infrastructures critiques. Dans ces contextes, l’impact ne se limite pas au vol de données ou à la perturbation informatique. Il peut toucher la production, la sécurité, la capacité de service et les délais de reprise.
Autrement dit, même quand les équipes perçoivent le risque, elles ne disposent pas toujours d’une vision unifiée capable de détecter rapidement — et d’interrompre — les mouvements d’un environnement à l’autre.
Les attaques existent déjà : quels dommages pour l’entreprise ?
Le rapport insiste sur un fait : les cyberattaques ne sont pas une menace théorique. Parmi les organisations touchées au cours des 12 derniers mois, les impacts rapportés incluent des arrêts opérationnels, des pertes de données, des dommages réputationnels, des pertes clients, une baisse de chiffre d’affaires et une perturbation de la direction.
Les effets varient selon les secteurs. Les organisations de la grande distribution déclarent plus souvent des fermetures opérationnelles ainsi que des pertes de revenus ou de profit. Les entreprises de fabrication et de services financiers sont plus enclines à signaler des pertes de données.
Les organisations de crypto et de finance décentralisée rapportent, quant à elles, les niveaux d’incidence d’attaque les plus élevés. Enfin, les structures privées du secteur de la santé expriment une forte inquiétude concernant les délais liés au juridique et à la communication.
À l’échelle géographique, l’Amérique du Nord affiche l’incidence la plus élevée des cyberattaques. En APAC, les répondants sont plus susceptibles de rapporter des pertes de données, une atteinte à la réputation et des pertes clients. En Europe, les incidents semblent moins fréquents, mais lorsqu’ils surviennent, ils entraînent plus souvent une perte de revenus ou de profit.
Rançongiciels, attaques cloud : des menaces multiples à préparer
Pour la suite, les répondants identifient un ensemble de risques capables de provoquer des dégâts financiers, opérationnels ou réputationnels. Le ransomware arrive en tête des préoccupations, suivi de près par les attaques visant les environnements cloud.
Mais l’étude insiste : il n’y a pas une seule menace dominante. Les organisations doivent se préparer à un paysage dense, incluant la compromission du cloud, l’abus d’identité, le risque lié aux tiers, des menaces assistées par l’IA, les attaques par ransomware et des incidents qui se déplacent à travers des environnements hybrides.
Cette diversité rend la préparation à une cyberattaque plus complexe à définir. La réponse doit couvrir plusieurs trajectoires d’attaque, pas un scénario unique.
L’IA aide, mais ne remplace pas une préparation solide
L’étude observe aussi une montée en puissance de l’IA et du machine learning pour la détection et la réponse. Près d’un tiers des organisations déclarent désormais utiliser largement l’IA dans la majorité, voire la totalité, des activités de détection et de réponse aux incidents. Ce chiffre progresse par rapport à l’année précédente.
D’ici 2027, 63% des répondants s’attendent à voir l’IA intégrée à ces activités. Toutefois, le rapport met en garde : l’IA ne doit pas être considérée comme un substitut à la gouvernance, à la visibilité et à l’exécution disciplinée.
En pratique, l’IA peut accélérer le triage, la chasse aux menaces et l’investigation. Mais elle ne peut pas, à elle seule, résoudre des droits de décision flous, des coordinations fragmentées entre parties prenantes ou des lacunes de visibilité.
Revoir les modèles de support : interne et prestataires
Enfin, l’étude indique que de nombreuses organisations reconsidèrent leurs relations avec des prestataires externes, notamment en incident response et en managed detection and response. Plusieurs raisons motivent ces changements, comme le besoin d’un support de préparation plus proactif et une meilleure couverture sur l’IT, l’OT, le cloud et le périmètre hybride.
Les répondants citent également la recherche d’une expertise accrue sur les incidents complexes, d’une meilleure visibilité au-delà d’un écosystème technologique unique et d’une assistance plus rapide dans des enquêtes sous forte pression.
Le rapport souligne aussi le risque d’une dépendance excessive à un ensemble d’outils trop étroit : si les équipes ne disposent que d’une plateforme, l’investigation et la capacité de containment peuvent être limitées par ce que l’écosystème détecte et permet.
Dans ce cas, la question devient : vos équipes internes et vos partenaires peuvent-ils opérer de façon cohérente à travers plusieurs environnements et technologies, comme les systèmes d’identité, les applications SaaS ou les environnements OT ?
Comment améliorer concrètement la préparation
La préparation à une cyberattaque doit être traitée comme une discipline opérationnelle continue, et non comme un document figé ou un exercice de conformité annuel. Pour réduire les délais, plusieurs axes pratiques ressortent.
1) Définir les droits de décision avant l’incident
Les équipes sécurité, la direction, le juridique, la communication, la conformité et les responsables métiers doivent connaître leur rôle à l’avance. Les voies d’escalade, les seuils d’approbation et les responsabilités de communication devraient être documentés et testés.
2) Tester la coordination entre fonctions
Les exercices de type tabletop doivent inclure à la fois les parties techniques et non techniques. L’objectif est d’identifier où la prise de décision ralentit, où l’autorité manque de clarté, et où les plans ne reflètent pas les dépendances réelles de l’entreprise.
3) Vérifier la visibilité dans les environnements critiques
Les organisations doivent évaluer leur capacité à investiguer sur les terminaux, les systèmes d’identité, le cloud et les applications SaaS, ainsi que sur l’infrastructure sur site et, lorsque cela s’applique, les environnements OT. Cette visibilité peut être validée via des exercices de chasse aux menaces, des simulations d’attaque, des red team engagements ou des approches purple team.
4) Utiliser l’IA pour accélérer, pas pour remplacer
L’IA et l’automatisation peuvent améliorer le triage, l’enrichissement d’alertes, l’investigation et la chasse. En revanche, elles doivent s’intégrer à des workflows clairement définis, avec une supervision humaine et des critères d’escalade testés.
5) Évaluer la capacité interne et externe
Enfin, il faut clarifier quelles fonctions de réponse l’entreprise gère en interne et où des expertises externes sont nécessaires. Si des prestataires interviennent, leur évaluation doit porter sur l’expérience en incidents, la rapidité d’intervention, la profondeur technique, la capacité à opérer sur plusieurs environnements, la qualité de communication et la contribution à l’amélioration post-incident.
Conclusion : relier plan, autorité et visibilité
Le message est net : les organisations subissent déjà des attaques, mais beaucoup doutent que leurs capacités de réponse tiennent le choc. Le défi n’est plus seulement de créer un plan. Il s’agit de faire fonctionner ce plan avec la direction, le juridique, les équipes de communication, les technologies déployées et le rythme réel de l’entreprise pendant une attaque.
À mesure que les menaces traversent plus vite l’IT, l’identité, le SaaS, le cloud et les environnements OT, la préparation à une cyberattaque doit devenir une pratique continue. Attendre un incident réel pour découvrir les angles morts, les zones d’autorité floues ou les difficultés de coordination peut coûter plus qu’on ne l’imagine : en impacts systèmes, mais aussi en revenus, réputation et confiance.
Source: https://thehackernews.com/2026/07/73-of-organizations-say-they-are-not.html
