4 Demandez à un responsable de la sécurité si son organisation peut se remettre d’un cyberincident, et vous entendrez presque toujours « oui ». Demandez-lui comment il le sait, et les réponses deviennent plus hésitantes. Cet écart — entre confiance et capacité démontrée — est le fil rouge de la cyber-résilience en 2026. Une récente enquête sectorielle menée auprès de plus de 900 responsables de la sécurité, des membres de la direction aux équipes opérationnelles (en anglais) dresse un tableau qui donne à réfléchir. La transformation numérique, l’adoption du cloud et l’intégration rapide de l’IA ont porté la valeur des données d’entreprise à des niveaux inédits, et avec elle la surface d’attaque. Les données circulent désormais entre clouds, applications, modèles d’IA, agents et systèmes automatisés plus vite que la plupart des organisations ne peuvent les suivre. Pourtant, la majorité des dirigeants se croient prêts. Les données suggèrent que beaucoup ne le sont pas. Pour les décideurs informatiques et stockage — les équipes chargées de rendre la reprise effective lorsqu’un incident survient — les tendances ci-dessous méritent une lecture attentive. Elles montrent où les programmes de résilience cèdent discrètement, et quelles capacités distinguent les organisations qui se rétablissent de celles qui se contentent de l’espérer. Tendance 1 : l’écart de confiance est plus large que ce que la plupart des dirigeants admettent Dans l’enquête 2026, 90 % des responsables de la sécurité se disent « très » à « extrêmement » confiants dans leur capacité à respecter leurs objectifs de temps de reprise (RTO). 69 % affirment que ces RTO sont pleinement alignés sur les objectifs de continuité d’activité. Sur le papier, le secteur semble prêt. Les résultats concrets racontent une autre histoire. Parmi les organisations ayant subi un cyberincident au cours des 12 derniers mois, plus de 40 % ont signalé une interruption de service pour leurs clients ou usagers et 41 % une perte financière ou un impact sur leur chiffre d’affaires. 38 % ont connu une indisponibilité prolongée de systèmes critiques. Et parmi les organisations touchées par un ransomware ayant entraîné une perte opérationnelle ou le chiffrement de données, seules 28 % ont entièrement récupéré toutes les données concernées. 29 % ont subi une perte de données, une indisponibilité ou une perturbation de l’activité qu’elles n’ont pas pu réparer. Il ne s’agit pas d’une erreur de mesure. La confiance dans la reprise repose souvent sur l’existence de plans et d’outils — sauvegardes, procédures, polices d’assurance — plutôt que sur le réalisme et la fréquence de tests menés en conditions réelles. Lorsque la reprise n’a pas été exercée face à un scénario de défaillance significatif, la préparation devient une hypothèse. Et c’est lors des incidents que les hypothèses sont corrigées, généralement au pire moment. La leçon pratique : un RTO sur une diapositive n’est pas un RTO validé lors d’un exercice sur table, et un exercice sur table n’est pas une restauration réelle à partir de données immuables et vérifiées. Les dirigeants qui veulent combler l’écart de confiance ont besoin de preuves, pas d’intentions. Tendance 2 : l’adoption de l’IA va plus vite que la capacité à la sécuriser La deuxième force qui creuse l’écart est l’IA elle-même. L’IA est passée de l’expérimentation à l’usage quotidien — intégrée aux processus clés, aux parcours clients, aux outils de développement et, de plus en plus, à des systèmes agentiques qui agissent pour le compte des utilisateurs sans supervision humaine directe. Cette dynamique crée une nouvelle catégorie de risques liés aux données que la plupart des organisations n’ont pas encore traduite en pratiques opérationnelles. Les chiffres sont éloquents. 43 % des répondants estiment que l’adoption des outils d’IA dépasse leur capacité à sécuriser les données et les modèles. 42 % déclarent avoir une visibilité limitée sur l’ensemble des outils ou modèles d’IA utilisés dans leur organisation. 40 % indiquent que leurs politiques de sécurité n’ont pas encore été mises à jour pour intégrer les risques propres à l’IA, comme l’IA générative. Un quart cite le shadow IT et l’usage non autorisé d’outils d’IA comme une préoccupation majeure. Ce n’est pas d’abord un problème de sécurité des modèles. C’est un problème de gouvernance des données et de résilience opérationnelle. Les systèmes d’IA introduisent de nouveaux chemins de données entre utilisateurs, applications, API et services tiers. Ils amplifient des problèmes existants comme la prolifération des données, l’incohérence des contrôles d’accès et le flou sur la responsabilité. Lorsque les équipes ne voient pas comment les données sont utilisées, partagées ou conservées, appliquer les politiques devient plus difficile — et se rétablir proprement après un incident l’est encore davantage. Les implications pour la reprise méritent une attention particulière. L’IA élargit le périmètre de ce qui doit être protégé : non seulement les fichiers et les bases de données, mais aussi les pipelines, les feature stores, les index vectoriels, les artefacts de modèles et le contexte de génération augmentée par récupération dont dépendent les systèmes d’IA en production. Si ces actifs ne sont pas classifiés, contrôlés et sauvegardés avec la même rigueur que les autres systèmes critiques, les plans de reprise conçus pour un environnement pré-IA échoueront discrètement au moment où l’on en aura besoin. Tendance 3 : les politiques seules ne réduisent pas le risque Un constat récurrent de l’enquête est que les organisations aux meilleurs résultats traitent la gouvernance comme une discipline d’exécution, et non comme une déclaration de principe. L’indicateur le plus clair est l’adoption d’outils d’application. 48 % des répondants disposent déjà de contrôles de prévention des pertes de données (DLP) — et ces organisations font état d’une visibilité et d’un contrôle nettement meilleurs à mesure que l’usage de l’IA progresse. Seules 39 % des organisations équipées de DLP déclarent une visibilité limitée sur les outils et modèles d’IA, contre 45 % de celles qui n’en ont pas. 38 % de celles équipées de DLP estiment que l’adoption de l’IA dépasse leurs contrôles de sécurité, contre 48 % des autres. L’écart n’est pas spectaculaire, mais il est orienté et constant. Des contrôles applicables traduisent la gouvernance en comportements quotidiens en réduisant les déplacements de données à risque et en limitant l’exposition à mesure que l’usage de l’IA s’étend. Une politique qui dit « ne téléversez pas de données clients dans des outils d’IA publics » n’est efficace que si un contrôle l’empêche lorsque quelqu’un essaie. Le même principe s’applique au niveau du stockage. Une immuabilité inscrite dans une politique n’est pas une immuabilité appliquée par le système. Des règles de rétention qui dépendent de la discipline des administrateurs ne valent pas des règles de rétention que le système refusera de contourner. Une résilience fondée sur l’intention est fragile ; une résilience fondée sur des contrôles appliqués tient sous la pression. Tendance 4 : la responsabilité des risques liés à l’IA et aux données n’est toujours pas tranchée À mesure que l’IA se développe, la question de savoir qui porte le risque devient urgente — et la plupart des organisations n’y ont pas clairement répondu. Parmi les organisations ayant subi un incident de cybersécurité, 38 % indiquent que la gouvernance des risques liés à l’IA et aux données relève du RSSI, 27 % du DSI, et seules 17 % font état d’une structure de gouvernance transverse. Une responsabilité claire compte. Mais une responsabilité concentrée sur un seul dirigeant tend à créer des angles morts. Le risque lié à l’IA se situe à l’intersection de la cybersécurité, de la gouvernance des données, de l’infrastructure, de la conformité et des opérations métier — et aucun dirigeant n’a généralement une visibilité complète sur l’ensemble de ces domaines. Les organisations qui adoptent un modèle transverse, réunissant les parties prenantes de l’informatique, de la sécurité, des données et des métiers, font état d’un meilleur alignement entre politiques, contrôles et capacité de reprise. Cela se retrouve aussi dans les données sur les incidents. Parmi les répondants n’ayant pas subi d’incident de cybersécurité, 37 % utilisent des comités transverses d’approbation des politiques, contre 31 % de ceux qui en ont subi un. L’écart est modeste, mais il confirme un point plus large : la résilience est une capacité partagée, et non la responsabilité d’une seule équipe, et les structures de gouvernance qui le reflètent tendent à mieux résister lorsque la pression monte. Tendance 5 : quatre pratiques distinguent les organisations qui se rétablissent de celles qui l’espèrent Malgré les différences de secteur, de taille et de maturité, l’enquête met en évidence quatre pratiques qui sont systématiquement associées à de meilleurs résultats de reprise. La première consiste à étendre la responsabilité de la cyber-résilience au-delà de la fonction sécurité, à l’informatique, aux données et à la direction métier. La deuxième consiste à rendre opérationnelle la gouvernance de l’IA — en associant des politiques formelles de gestion des risques IA et de gouvernance des données à des contrôles concrets comme la validation des modèles, les tests et la surveillance de la dérive. La troisième consiste à communiquer fréquemment sur le cyber-risque auprès des dirigeants, avec des points mensuels ou plus fréquents pour les conseils d’administration et la direction, appuyés par un reporting avancé comme la quantification du cyber-risque. La quatrième consiste à suivre les KPI qui comptent — tests de restauration et de reprise (57 % des répondants), temps moyen de reprise (56 %), temps d’isolement et de confinement (42 %) et pourcentage de processus de reprise entièrement automatisés ou orchestrés (seulement 23 %, un écart significatif pour la plupart des organisations). Aucune de ces pratiques n’est nouvelle. Ce qui frappe, c’est leur forte corrélation avec les résultats, dans les données comme dans les témoignages anonymisés. Un dirigeant d’une entreprise du Fortune 1000 a décrit une découverte qui paraîtra familière à beaucoup : « Le conseil d’administration assistait à la fin d’un exercice sur table, et il avait beaucoup de questions. L’une d’elles a marqué les esprits : “Attendez, nous n’avons pas la capacité de nous rétablir ?” À l’époque, c’était le cas. » La solution a été d’investir dans une infrastructure immuable à partir de laquelle l’organisation pouvait réellement se rétablir. La leçon : la résilience devient réelle lorsque les dirigeants peuvent montrer ce qui fonctionnera, et non ce qui devrait fonctionner. Tendance 6 : la hausse des budgets est corrélée à de meilleurs résultats — mais seulement là où l’on mesure Les budgets cyber n’augmentent pas de manière uniforme. 49 % des organisations ont augmenté leur budget de cybersécurité d’une année sur l’autre ; 51 % l’ont maintenu ou réduit. Ce clivage aide à comprendre pourquoi les résultats en matière de résilience varient autant — surtout lorsque les organisations ne peuvent pas mesurer leur préparation ni valider leur reprise de façon cohérente. Là où le budget augmente, il tend à financer les capacités fondamentales de résilience. 38 % des organisations dont le budget a augmenté ont donné la priorité au stockage immuable, contre seulement 11 % des autres. 42 % ont donné la priorité à la sauvegarde automatisée, contre 33 %. La planification intégrée de la cyber-résilience et de la continuité d’activité est également plus fréquente dans les organisations dont le budget progresse. Le bénéfice en matière de reprise est visible. Les organisations dont le budget a augmenté sont bien plus nombreuses à suivre leurs RTO (78 % contre 56 %), le temps d’isolement et de confinement (47 % contre 36 %) et le pourcentage de processus de reprise entièrement automatisés ou orchestrés (32 % contre 14 %). Face à un ransomware, 40 % des organisations dont le budget a augmenté ont entièrement récupéré leurs données, contre seulement 16 % des autres. Seules 32 % d’entre elles ont payé une rançon, contre 52 % des organisations sans hausse de budget. Corrélation n’est pas causalité — mais le constat est constant. Mesurer sa préparation et investir dans des capacités éprouvées améliore les résultats. Cela a des implications concrètes sur la manière de construire les stratégies de stockage et de sauvegarde. Des dépôts objet immuables, avec une rétention appliquée et des chemins de reprise isolés (air gap) (en anglais), ne sont pas qu’une ligne budgétaire. Ils font la différence entre se rétablir et faire un chèque à un attaquant. Tendance 7 : la conformité redessine discrètement l’architecture de résilience Les cyberattaques restent le risque émergent le plus susceptible d’affecter la résilience des données au cours des 12 prochains mois (36 %), mais les obligations réglementaires et de conformité suivent de près (33 %). La résidence des données (en anglais) et la souveraineté sont désormais le facteur le plus déterminant des décisions de placement des données pour 58 % des organisations. À mesure que les obligations s’étendent — des règles sectorielles aux cadres de transfert transfrontalier des données, en passant par les réglementations spécifiques à l’IA qui entrent en vigueur dans de nombreuses juridictions — conformité et résilience convergent. Les organisations doivent démontrer leurs contrôles, produire des preuves et rendre compte avec exactitude, en particulier après un incident. Cela favorise les architectures dans lesquelles la localisation, la rétention, l’accès et la reprise des données peuvent être prouvés avec précision plutôt qu’attestés par une simple case cochée. Cela favorise aussi un stockage objet sur site ou hybride, compatible avec la souveraineté, pour les charges dont la résidence des données dans le cloud public est soit inacceptable, soit trop coûteuse à maintenir à grande échelle. À quoi ressemble une résilience démontrée en 2026 En rassemblant ces tendances, le constat est cohérent. Les organisations qui surestiment leur confiance sont souvent plus exposées, et non moins. La véritable résilience se démontre par une reprise validée, appuyée par une gouvernance des données solide, une responsabilité transverse, des contrôles applicables et un stockage qui se comporte comme le prévoit la politique — même lorsqu’un attaquant ou un agent d’IA défaillant tente de le convaincre du contraire. Pour les équipes qui repensent leur posture en 2026, trois priorités pratiques se dégagent. D’abord, combler le déficit de tests : passer des exercices sur table à des répétitions de reprise réelles face à des modes de défaillance réalistes — y compris pour les workflows dépendant de l’IA. Ensuite, investir dans un stockage qui applique l’immuabilité et la rétention au niveau du système, avec des cibles de reprise isolées physiquement ou logiquement, un placement souverain des données lorsque la réglementation l’exige et le débit nécessaire pour restaurer à grande échelle plutôt qu’au compte-gouttes. Enfin, inscrire la responsabilité transverse dans l’organigramme — et pas seulement dans la cellule de crise — afin que les responsables de l’IA, des données, de la sécurité et de l’infrastructure partagent à la fois les indicateurs et la responsabilité. L’IA accélère la manière dont les données circulent, apprennent et déclenchent des actions dans l’entreprise. Les systèmes agentiques l’accéléreront encore. Le risque augmente au même rythme, ce qui fait de données fiables et récupérables le socle discret de tout ce qu’une organisation souhaite faire avec l’IA. Les données de 2026 sont claires : la confiance est répandue, la capacité de reprise validée ne l’est pas. Combler cet écart, voilà le travail. Pour aller plus loin Tendances technologiques 2026 : la cyber-souveraineté (en anglais) — un regard prospectif sur la manière dont la souveraineté et la résidence des données redessinent la stratégie de résilience en 2026. Les cinq niveaux d’une cyber-résilience inébranlable (en anglais) — un modèle de maturité qui s’articule naturellement avec les quatre pratiques présentées ci-dessus. Protection des sauvegardes contre les ransomwares : bâtir des sauvegardes immuables et récupérables (en anglais) — le mode d’emploi opérationnel d’une « immuabilité appliquée par le système, et non par une politique ». Reprise après ransomware : restaurer plus vite grâce au stockage objet (en anglais) — une approche pratique de la vitesse de restauration et de S3 Object Lock, qui cible directement l’écart entre confiance et réalité. La protection contre les ransomwares avec Scality (en anglais) — une présentation, éclairée par les analystes, de l’architecture de protection contre les ransomwares pour les données d’entreprise.
