Aujourd’hui, un incident de cybersécurité peut coûter des milliards à une entreprise… et souvent, l’erreur humaine en est la cause. C’est ce que démontre le dernier rapport sur les risques internes mené par Fortinet en collaboration avec Cybersecurity Insiders. Tribune.
-
77 % des répondants ont accusé des pertes de données imputables à des incidents internes au cours des 18 derniers mois.
-
41 % des répondants estiment que le coût de leur incident d’origine interne le plus important se situe entre 1 et 10 millions de dollars, tandis que 9 % évoquent des pertes supérieures à ce montant.
La gestion des risques internes ne se limite plus à la conformité règlementaire, elle s’impose comme un enjeu de sécurité majeur, d’autant plus à l’ère de l’IA où les techniques d’attaques ne font que se renforcer et se professionnaliser. Pour Fortinet la sensibilisation et l’entrainement à la gestion de cyberattaques sont le fer de lance de la cybersécurité. Même si les méthodes évoluent, le combat reste le même.
Rapport 2025 sur les risques internes : le coût caché des tâches du quotidien
Les risques d’origine interne progressent et une sécurité basée sur une analyse des comportements est nécessaire pour aider les organisations à relever ce défi.
Les risques internes sont devenus un enjeu majeur en matière de cybersécurité. Contrairement aux exactions d’acteurs externes qui utilisent notamment des identifiants compromis, les menaces internes prennent racine dans les activités professionnelles du quotidien et résultent fréquemment d’actes fortuits de la part de collaborateurs, tels que l’envoi d’un fichier sensible par e-mail, le transfert de données vers un espace de stockage cloud personnel ou l’utilisation d’outils SaaS et GenAI non autorisés.
Pour mieux comprendre comment les entreprises s’adaptent à ces risques, Fortinet et Cybersecurity Insiders ont mené l’enquête auprès de professionnels de l’informatique et de la sécurité dans le monde. Le Rapport 2025 sur les risques internes révèle que, bien que les pertes de données d’origine interne sont devenues monnaie courante, nombre d’entreprises n’ont pas encore ajusté leurs programmes de sécurité pour répondre efficacement à ce défi.
Des incidents fréquents et coûteux
Selon l’enquête, 77 % des répondants ont accusé des pertes de données imputables à des incidents internes au cours des 18 derniers mois. Plus alarmant, 21 % de ces entreprises rapportent avoir subi plus de 20 incidents sur la même période. Ces événements ne sont donc pas des cas isolés, mais constituent des défis récurrents qui sollicitent fortement les ressources et fragilisent la confiance au sein des organisations.
L’impact financier de ces incidents s’avère considérable : 41 % des répondants estiment que le coût de leur incident d’origine interne le plus important se situe entre 1 et 10 millions de dollars, tandis que 9 % évoquent des pertes supérieures à ce montant. Ces coûts englobent les mesures correctives post-incident et les interruptions d’activité, ainsi que les pénalités réglementaires et les atteintes à la réputation d’entreprise.
Le plus révélateur est que la majorité des incidents (62 %) proviennent d’erreurs humaines involontaires ou de comptes compromis plutôt que d’exactions préméditées. Plus précisément, les données de l’étude montrent que le risque le plus critique émane souvent de collaborateurs ordinaires dont les erreurs, parfois mineures, aboutissent à des conséquences qui peuvent être extrêmement préjudiciables.
La DLP traditionnelle ne répond plus aux enjeux actuels
Bien que les programmes de gestion des risques internes deviennent une priorité en matière de budget, leur maturité n’est pas en phase avec la prévalence des risques. Ainsi, près des trois quarts (72 %) des décideurs de la sécurité admettent qu’ils ne disposent pas d’une visibilité complète sur la manière dont les utilisateurs interagissent avec les données sensibles, que ce soit sur les terminaux, les applications SaaS ou les outils d’IA générative.
Les outils traditionnels de protection contre les fuites de données (DLP – Data Leak Protection) sont souvent au cœur de ce défi. Autrefois fer de lance de la protection des données, la DLP traditionnelle montre ses limites dans les environnements hybrides actuels. En réalité, moins de la moitié des répondants estiment que leurs outils DLP répondent à leurs besoins actuels, nombre d’entre eux pointant l’incapacité à tenir compte des comportements en raison d’une visibilité déficiente sur les interactions des utilisateurs avec les données sensibles.
Cette absence d’éléments de contexte induit un faux sentiment de sécurité : les alertes se déclenchent, les tableaux de bord s’enrichissent de données d’activité, mais en l’absence de visibilité sur le comportement des utilisateurs, les équipes peinent à différencier les tâches et actions à risque de celles qui sont inoffensives.
Déterminer le périmètre d’exposition aux risques
L’enquête révèle les profils de données sensibles les plus souvent à risque. Les dossiers clients (53 %) et les informations personnelles identifiables (47 %) arrivent en tête de liste, devançant les plans-projets sensibles d’entreprise (40 %), les identifiants des utilisateurs (36 %) et les actifs de propriété intellectuelle (29 %).
Les secteurs d’activité qui dépendent particulièrement de l’innovation, tels que la production industrielle, les technologies ou encore les biotechnologies, peuvent subir durablement les conséquences d’une compromission de leur propriété intellectuelle. Un seul incident, comme la reproduction de documents confidentiels dans un prompt d’une IA générative publique, peut suffire à compromettre des années d’avantages concurrentiels.
Il ressort de cette étude que la majorité des incidents internes ne sont pas le fait d’actes malveillants, mais résultent plutôt de négligences ou d’erreurs du quotidien. Le partage de documents, l’expérimentation avec des outils d’IA générative ou le transfert de fichiers vers des espaces de stockage cloud personnels représentent autant de possibilités de perte de données. Une sécurité traditionnelle peine à identifier ces comportements, faute de prendre en compte les éléments de contexte.
Les entreprises affûtent leur stratégie face aux risques internes
Face aux risques internes, les entreprises réagissent. Une évolution particulièrement encourageante. 72 % des personnes interrogées déclarent une augmentation de leur budget consacré à la lutte contre les risques internes. Elles investissent dans des capacités de sécurité qui associent visibilité, analyse et automatisation pour identifier les risques en amont de toute tentative d’exfiltration de données.
Le rapport met en lumière cinq pratiques essentielles communes aux stratégies de gestion des risques les plus matures :
-
Établir une visibilité au plus tôt. S’assurer que le monitoring des utilisateurs, des appareils, des logiciels SaaS et de l’IA générative est initié dès le déploiement, et non des mois plus tard.
-
Analyser les comportements, au-delà des mouvements des données. Au-delà des transferts de fichiers, identifier les schémas d’accès inhabituels ou toute utilisation abusive de données sensibles.
-
Étendre la protection à tous les outils du quotidien. Les e-mails, les applications collaboratives et les comptes cloud personnels restent des vecteurs classiques de fuites.
-
Favoriser l’alignement entre les équipes de sécurité et de gouvernance. Les workflows mutualisés et impliquant des équipes de sécurité, IT, RH et juridiques améliorent les capacités de détection et de réponse aux menaces.
-
Privilégier des fonctionnalités de sécurité adaptatives. Remplacez les règles statiques par des politiques automatisées et contextuelles qui permettent de réagir en temps réel aux comportements.
Les entreprises qui adhèrent à ces recommandations constatent un meilleur taux de détection, des faux positifs moins nombreux et une collaboration améliorée entre les départements métiers.
Cap sur une sécurité basée sur les comportements
Le rapport souligne également une nette tendance des entreprises à adopter des plateformes de sécurité intégrant l’intelligence artificielle et l’analyse comportementale. Ces solutions innovantes font le lien entre la gestion des risques internes et la protection des données. Les deux tiers (66 %) des répondants indiquent que l’analyse comportementale en temps réel est un critère décisionnel dans le choix de leurs solutions de nouvelle génération.
Cette évolution traduit un changement de mentalité : la gestion des risques internes ne se limite plus à la conformité réglementaire ; elle s’impose désormais comme un enjeu majeur de sécurité nécessitant de comprendre le contexte des menaces. En identifiant non seulement les données consultées ou transférées, mais aussi les raisons et les intentions sous-jacentes, les entreprises disposent des leviers nécessaires pour anticiper et prévenir efficacement les dommages avant qu’ils ne se matérialisent.
