Rapport TrendAI 2026 sur les risques cybernétiques : l'indice mondial des risques cybernétiques s'améliore pour la deuxième année consécutive, mais les entreprises restent profondément ancrées dans la zone de risque moyen.

L'indice mondial du risque cyber s'améliore pour la deuxième année consécutive, mais les entreprises restent profondément dans la zone de risque modéré : décryptage du rapport TrendAI 2026 sur le risque cyber

Introduction : Le niveau de risque de cybersécurité des entreprises dans le monde a montré une deuxième année consécutive d'amélioration en 2025, mais fait inquiétant, presque toutes les organisations ayant fait l'objet de télémétrie restent dans la zone de risque modéré, ce qui signifie qu'il existe encore une distance structurelle par rapport à la « sécurité ». Le rapport TrendAI 2026 sur le risque cyber, publié le 8 juillet 2026, s'appuie sur les vastes données de télémétrie de TrendAI Vision One Cyber Risk Exposure Management (CREM), de XDR et de la veille mondiale sur les menaces, offrant aux RSSI et aux équipes de sécurité un portrait annuel de l'exposition aux risques, de l'hygiène des identités et des vulnérabilités de configuration. Ce rapport n'est pas qu'un ensemble de chiffres ; il révèle également les problèmes structurels à long terme que les entreprises sont en train d'installer dans la migration vers le cloud, la gestion des identités, la numérisation de l'OT et la mise en œuvre du Zero Trust.

Aperçu de l'événement : un portrait annuel des risques basé sur la télémétrie mondiale

Le rapport TrendAI 2026 sur le risque cyber est le rapport phare annuel de TrendAI Research, une société de TrendMicro. Ses données proviennent principalement des informations de télémétrie collectées dans les environnements clients tout au long de l'année 2025. L'indicateur clé du rapport — le Cyber Risk Index (CRI) — agrège les scores de différents actifs et facteurs de risque en une valeur numérique de 0 à 100, reflétant visuellement le niveau de risque de sécurité global d'une organisation. Outre le CRI, le rapport introduit pour la première fois des données de prédiction des chemins d'attaque issues de la capacité Attack Path Prediction de TrendAI Vision One, tentant d'ajouter une perspective prospective aux statistiques annuelles de risque. Lien de téléchargement du rapport : TrendAI 2026 Cyber Risk Report.

Le rapport indique clairement que ces données ne constituent pas un échantillon statistiquement représentatif d'un secteur ou d'une région, mais plutôt des observations issues de la base clients, destinées à fournir des signaux directionnels. Cela signifie que lors de l'interprétation des classements spécifiques, il convient de les considérer comme des références de tendance, et non comme des références sectorielles.

Analyse technique et des risques : les problèmes structurels cachés derrière l'amélioration

Indice de risque mondial : en baisse mais pas hors de dangerEn 2025, le CRI moyen mondial est passé de 38,5 en 2024 à 35,8, prolongeant la dynamique d’amélioration amorcée depuis 2023. Cependant, la trajectoire d’amélioration n’est pas linéaire : le CRI a rebondi à 37,4 en avril, est descendu à un point bas de 34,1 en juillet, puis est remonté à 36,7 en fin d’année. Cette volatilité contraste fortement avec la courbe de baisse continue observée en 2024, ce qui peut indiquer que de nombreuses entreprises réagissent de manière passive aux événements à risque plutôt que de promouvoir systématiquement une gouvernance des risques. Plus remarquable encore, toutes les organisations ayant participé à la télémétrie dans le rapport se situent toujours dans la fourchette de « risque modéré » (31 à 69), et aucune n’est entrée dans la zone de « faible risque ». En d’autres termes, malgré des chiffres globalement positifs, aucune entreprise n’a véritablement atteint la ligne de base de sécurité.

Classement des risques par secteur : les infrastructures et la santé restent sous pression

Par secteur, les industries minières, la santé, l’agriculture, les télécommunications, l’éducation, le gouvernement et les services publics figurent parmi les dix premiers en termes de risque. L’industrie minière occupe pour la première fois la première place avec un CRI de 42,5, ce qui est étroitement lié à l’accélération de la numérisation des OT (technologies opérationnelles) sur les sites isolés. La vitesse d’expansion de la surface d’attaque dépasse manifestement le rythme de déploiement des contrôles de sécurité. Les événements à risque du secteur minier sont dominés par les menaces par courrier électronique, plutôt que par l’accès aux applications cloud, fréquent dans d’autres secteurs, ce qui suggère que le hameçonnage ciblé pourrait être la principale voie d’intrusion initiale. Par ailleurs, des configurations de capteurs de points de terminaison non optimisées signifient que ces organisations pourraient présenter d’importantes zones aveugles en matière de détection de sécurité.

Le secteur de la santé se classe pour la deuxième année consécutive parmi les trois premiers avec un CRI de 40,3. Dans son vaste parc d’équipements, de nombreux logiciels fonctionnent avec des correctifs qui ne peuvent être appliqués sans compromettre la continuité des soins aux patients ou sans autorisation réglementaire. Les données de 2024 ont déjà montré que le délai moyen de correction dans le secteur de la santé atteint 41,5 jours, le plus lent de tous les secteurs. Parmi les événements à risque du secteur de la santé, le risque lié à l’accès aux applications cloud est élevé, et les paramètres de contrôle des équipements présentent de nombreuses erreurs de configuration, ce qui reflète une adoption rapide des outils cliniques cloud, sans que les cadres de gouvernance correspondants ne suivent le rythme.

Le secteur agricole affiche également un CRI de 40,3, ses principaux événements à risque étant dominés par les violations de la protection contre la perte de données (DLP). Étant donné que l’agriculture dépend de plus en plus des technologies d’agriculture de précision et des machines connectées, cela signifie probablement que des données sensibles sur la chaîne d’approvisionnement et les opérations fuient par des canaux insuffisamment contrôlés. La fréquence élevée d’erreurs de configuration dans les paramètres de contrôle des équipements concorde également avec l’expansion de l’IoT et des équipements automatisés.

Le secteur des télécommunications entre pour la première fois dans le top cinq avec un CRI de 39,9. La transition vers le déploiement de la 5G, les architectures cloud natives et l’infrastructure définie par logiciel lui pose de multiples défis de sécurité. C’est également le seul secteur du top cinq où les violations de la politique de messagerie entrante et les échecs de protection contre la perte de données sortantes sont simultanément élevés, ce qui fait que son risque n’affecte pas seulement le secteur lui-même, mais peut également se propager aux clients et aux infrastructures critiques qui dépendent de ses services.L'enseignement, bien que classé cinquième avec un CRI de 39,8, a enregistré la plus forte amélioration de tous les secteurs, passant de 45,1 au début de 2024 à 39,8. Quatre de ses cinq principaux événements à risque sont directement liés à l'identité : comptes dormants, MFA désactivée, expiration des mots de passe désactivée et mots de passe forts désactivés. La forte mobilité des étudiants et du personnel fait de la gouvernance des identités un défi permanent.

Par ailleurs, les administrations publiques et les services gouvernementaux affichent un CRI de 39,7, pénalisées depuis longtemps par des cycles d'approvisionnement longs, de nombreux systèmes hérités et une main-d'œuvre distribuée. Les télécommunications chutent à 39,3, mais leurs détections XDR montrent une prévalence élevée d'événements de type « antivirus potentiellement désactivé », ce qui indique que les attaquants neutralisent activement les protections des points de terminaison dès qu'ils ont pénétré le système. Le secteur des services financiers, avec un CRI de 38,9, malgré une réglementation stricte, continue d'afficher une prévalence élevée de comptes MFA désactivés, révélant le fossé entre les exigences politiques et leur exécution opérationnelle. Les utilities, également à 38,9, font pour la première fois leur entrée dans le top 10 : la convergence des réseaux OT et IT expose désormais les systèmes de contrôle industriels, conçus pour la fiabilité plutôt que la sécurité, à des menaces. Le secteur de l'assurance, à 38,8, voit ses délais de remédiation allongés par la complexité de gouvernance de son environnement multicloud (y compris GCP).

Taille d'entreprise : les entreprises de taille moyenne deviennent l'épicentre du risque

Le rapport révèle un phénomène contre-intuitif : les entreprises de taille moyenne, comptant de 5 001 à 10 000 employés, affichent un CRI moyen de 41,5, supérieur à celui des très grandes entreprises aux actifs plus importants. Ce groupe présente une complexité réseau comparable à celle des grandes entreprises, mais manque souvent d'un centre opérationnel de sécurité (SOC) aussi mature et d'une profondeur de personnel équivalente. Les très grandes entreprises ont enregistré la plus forte amélioration absolue, passant de 44,2 en 2024 à 40,4, soit une baisse de 3,8 points, grâce très probablement aux économies d'échelle permises par une gestion centralisée des risques. Les petites entreprises de moins de 100 personnes constituent le seul segment de taille dont le CRI a augmenté sur un an, passant de 31,6 à 32,4. Bien que leur niveau de risque absolu reste dans la fourchette moyenne, cette tendance à la hausse concorde avec l'attention accrue portée par les attaquants aux PME en tant que point d'entrée dans les chaînes d'approvisionnement.

Événements à risque : l'identité et l'accès cloud en tête du classement pour la deuxième fois

Dans le classement des événements à risque, « accès à des applications cloud risquées » arrive en première position pour la deuxième année consécutive, et « comptes dormants Microsoft Entra ID » en deuxième position. Sept des dix premiers événements sont directement liés à l'identité, notamment « comptes MFA désactivés » en quatrième position et « expiration de mot de passe désactivée » en septième/neuvième position. Ce niveau de recoupement élevé deux années de suite indique que les équipes de sécurité, bien qu'ayant conscience des risques liés à l'identité, ne parviennent pas à les traduire en actions de remédiation systématiques. La correspondance des règles de l'accès zéro confiance (ZTSA) — contrôle d'accès privé — entre pour la première fois dans le top 5. Cela pourrait refléter l'apparition de violations de politiques jusqu'ici non détectées à mesure que les entreprises élargissent leur adoption du zéro confiance. Mais les comptes dormants et les défauts de MFA restent très présents, créant un décalage dangereux : des cadres zéro confiance sont déployés sur une base d'identités qui n'a pas encore été assainie.

Erreurs de configuration : le manque systémique de lignes de base de sécurité En matière de configuration, la liste des erreurs de configuration des endpoints est dominée par les paramètres de réputation Web, tandis que dans des secteurs comme la santé et l'agriculture, les paramètres de contrôle des appareils constituent l'erreur de configuration la plus courante. Ces erreurs n'affectent pas seulement les endpoints ; elles peuvent également affaiblir l'efficacité de contrôles clés tels que la DLP et l'antivirus, laissant ainsi des opportunités aux attaquants.

Analyse de l'impact sur les entreprises : implications commerciales derrière les données de risque

• Risque opérationnel : Le CRI élevé des entreprises de taille moyenne signifie qu'elles sont plus vulnérables aux cyberattaques. Une attaque de ransomware ou de phishing réussie peut interrompre leurs processus métier essentiels, car elles ne disposent pas de la redondance ni des ressources d'urgence des grandes entreprises. Pour les secteurs à forte intensité OT comme les mines et les services publics, une attaque peut même menacer la sécurité physique.
• Risque financier : Le rapport indique que la hausse du risque pour les petites entreprises coïncide avec la tendance des attaques de la chaîne d'approvisionnement. La compromission de tout fournisseur de petite ou moyenne taille peut servir de tremplin aux attaquants pour pénétrer les réseaux de grands clients, entraînant ainsi des indemnisations, des amendes et des pertes d'activité. Pour les PME utilisées comme point d'entrée, les pertes financières et de réputation peuvent être plus directes.
• Risque de conformité : Les secteurs de la santé et de la finance sont depuis longtemps strictement réglementés, mais les problèmes liés à la MFA et au patching restent importants. Cela révèle un écart d'exécution entre la satisfaction des audits de conformité et la réponse aux menaces réelles. Les autorités de régulation renforcent leurs contrôles sur la gestion des identités et la sécurité de la chaîne d'approvisionnement ; ces constatations pourraient servir de preuves de responsabilité lors du prochain contrôle de conformité.
• Risque de marque : Les risques élevés dans les secteurs des télécommunications et de la santé affectent directement l'intérêt public. En cas de violation de données, ces secteurs déclenchent souvent une crise de confiance du public et des sanctions réglementaires. Dans le secteur de l'éducation, en raison de la grande sensibilité des données des élèves, la compromission de tout compte d'identité peut entraîner un incident de confidentialité à grande échelle.
• Risque de données : La concentration des violations de DLP dans le secteur agricole indique une protection insuffisante des secrets commerciaux tels que les données de la chaîne d'approvisionnement et les données de production. Le secteur des télécommunications présente à la fois des attaques entrantes et des fuites sortantes, ce qui montre qu'il ne fait pas seulement face aux menaces d'intrusion, mais doit également résoudre les problèmes d'exfiltration de données internes.

Observation des tendances sectorielles : hygiène des identités, zéro confiance et expansion de l'OT

Les tendances révélées par ce rapport ne sont pas des événements isolés, mais le point de convergence d'au moins trois évolutions structurelles majeures :1. La sécurité des identités est devenue une variable centrale du risque d'entreprise. Pour la deuxième année consécutive, les incidents liés aux identités dominent le classement, ce qui montre que l'inefficacité de la protection périmétrique traditionnelle a contraint les attaquants à se tourner vers l'abus de comptes. Les architectures de sécurité d'identité de nouvelle génération (telles que la sécurité ID-first) doivent passer du « nettoyage après coup » à la « propreté par conception ». 2. La confiance zéro est un amplificateur, pas une panacée. L'entrée de ZTSA dans le top cinq prouve la généralisation des déploiements de confiance zéro, mais elle expose également les lacunes de l'hygiène des identités sous-jacente. Sans gouvernance des identités, le « ne jamais faire confiance » de la confiance zéro ne peut devenir que « toujours des faux positifs ». 3. La convergence OT/IT expose les secteurs d'infrastructures à un cumul de risques anciens et nouveaux. La progression dans le classement des mines, des services publics et de l'agriculture reflète la tendance inéluctable de la numérisation qui s'étend des bureaux aux sites de production. Ces secteurs doivent à la fois lutter contre les cyberattaques traditionnelles et faire face aux vulnérabilités propres à l'Internet des objets et aux systèmes de contrôle industriels.

Recommandations de défense et de réponse : des données à l'action

Sur la base des conclusions du rapport, les entreprises devraient agir sur les quatre niveaux suivants :

1. Gouvernance des identités : corriger les risques les plus fondamentaux

• Réaliser immédiatement un audit des comptes, en assainissant tous les comptes zombies, les comptes d'employés partis et les comptes d'intégration tiers.
• Activer systématiquement la MFA, en particulier sur les applications cloud, l'accès à distance et les comptes administrateurs. Ne transigez pas sur les comptes « privilégiés ».
• Réévaluer la politique de cycle de vie des mots de passe, veiller à l'alignement sur les recommandations du NIST, et utiliser les stratégies d'accès conditionnel pour détecter les connexions anormales.

2. Mise en œuvre de la confiance zéro : assainir d'abord, connecter ensuite

• Avant d'étendre la couverture ZTSA, résolvez d'abord les comptes dormants et la désactivation de la MFA ; sinon, les politiques de confiance zéro risquent d'être contournées par des identités invalides.
• Combiner les politiques de confiance zéro avec la découverte d'actifs et la prédiction des chemins d'attaque, afin de protéger en priorité les données critiques et les comptes à hauts privilèges.

3. Durcissement des configurations et visibilité

• Effectuer un audit de base des configurations des points de terminaison, et corriger en priorité les réglages de réputation Web, les paramètres de contrôle des appareils et les risques liés à la désactivation de l'antivirus.
• Optimiser les paramètres des capteurs EDR/XDR, garantir une couverture complète des journaux et éliminer les angles morts de détection. Pour les environnements OT, il est possible d'introduire une découverte d'actifs et une détection des comportements anormaux adaptées aux protocoles industriels.

4. Programmes ciblés sur les maillons faibles

• Entreprises de taille moyenne : s'inspirer des cadres matures des grandes entreprises, mais adopter, selon le budget réel, des modèles à la demande tels que les services de sécurité gérés (MDR) pour compenser le manque de personnel.
• Santé et mines : constituer une équipe de sécurité OT ou recourir à une évaluation externe, isoler les systèmes non patchables et appliquer des correctifs virtuels, tout en renforçant la passerelle de sécurité e-mail et la DLP.
• Chaîne d'approvisionnement : les PME devraient déployer une protection de base des points de terminaison et une DLP ; les grandes entreprises devraient intégrer l'évaluation de la sécurité des fournisseurs dans leurs processus d'achat.La véritable valeur du rapport TrendAI 2026 sur les risques cyber ne réside pas dans le fait qu'il démontre que « les risques sont en baisse », mais dans le fait qu'il souligne clairement que « la baisse ne signifie pas la sécurité ». Le fait que toutes les organisations se situent dans la zone de risque moyen indique que le niveau de base de l'ensemble du secteur reste encore trop bas. La donnée la plus frappante du rapport est sans doute que les problèmes d'identité dominent le classement pour la deuxième année consécutive. Ce n'est pas un problème technique, mais un échec de gestion et d'exécution. Alors que des architectures avancées telles que le zéro confiance commencent à se généraliser, l'hygiène identitaire sous-jacente n'est toujours pas résolue. Ce décalage, comparable à « de nouveaux vêtements avec une vieille doublure », risque de se traduire à l'avenir par davantage de points de rupture pour les attaques. Les entreprises de taille moyenne méritent une attention particulière : elles sont d'une taille considérable mais leur maturité en matière de sécurité est insuffisante, ce qui en fait les proies préférées des attaquants. Le rapport annonce également l'intégration future de données sur les risques liés à l'IA. On peut s'attendre à ce que le rapport 2027 décrive plus clairement comment l'IA transforme le paysage des attaques et de la défense. Pour les entreprises, il est temps dès maintenant d'inscrire le nettoyage des identités, le renforcement des configurations et la sécurité OT à l'ordre du jour, car la période d'amélioration de l'indice de risque constitue précisément le moment en or pour consolider les défenses.

---

Source d'information : TrendAI 2026 Cyber Risk Report - TrendMicro