Résultats clés
68 %
des organisations signalent des lacunes en matière de compétences concernant les risques liés à l’IA.
67 %
signalent des lacunes en matière de compétences concernant les menaces avancées liées à l’identité et à l’hameçonnage.
67 %
estiment que les équipes de sécurité sont sous pression et peinent à monter en puissance.
32 %
ne peuvent sécuriser l’entreprise que de manière réactive plutôt que proactive.
69 %
combinent l’IA/l’automatisation et l’expertise humaine dans la réponse aux incidents — les personnes restent responsables du contexte, du jugement et des décisions finales.
56 %
des effectifs de sécurité sont réduits en raison de l'IA.
Résumé analytique
Les équipes de cybersécurité sont confrontées à un défi de capacité croissant, car l’IA, les attaques fondées sur l’identité et l’expansion des opérations numériques accroissent à la fois la complexité et l’ampleur du risque cyber.
L’enquête internationale de Barracuda Research révèle que les entreprises peinent à développer les compétences, la visibilité et la gouvernance nécessaires pour suivre le rythme de cette évolution rapide.
Les conclusions suggèrent que l’avenir de la cybersécurité ne se définit pas uniquement par les effectifs. Les organisations privilégient la visibilité, une IA de confiance et la résilience opérationnelle plutôt que des effectifs supplémentaires, ce qui témoigne d’une évolution vers une profession de la cybersécurité fondée sur l’expertise humaine, la compréhension des enjeux commerciaux et une supervision responsable de technologies de plus en plus autonomes.
À qui est destiné ce rapport
Ce rapport s’adresse aux professionnels de la sécurité et à leurs employeurs, ainsi qu’aux fournisseurs de services gérés (MSP) et à d’autres acteurs, afin de les aider à comprendre les défis en matière de compétences et de capacités auxquels sont confrontées les équipes de sécurité à l’ère de l’IA.
Méthodologie
Barracuda a interrogé 2 000 décideurs informatiques et de sécurité de niveau intermédiaire à supérieur, issus d’organisations de 100 à 2 000 employés et de secteurs d’activité variés, aux États-Unis, au Royaume-Uni, en France, dans la région DACH (Allemagne, Autriche, Suisse), au Benelux (Belgique, Pays-Bas, Luxembourg), dans les pays nordiques (Danemark, Finlande, Norvège, Suède), en Australie, en Inde et au Japon. L’enquête a été réalisée pour Barracuda par l’agence d’études indépendante Arlington Research.
- Une évolution majeure se profile
- Le manque de compétences reflète l’évolution de la nature des attaques
- Les capacités en matière de sécurité ne suivent pas le rythme de la demande des entreprises
- Les pressions professionnelles affectent l’ensemble du cycle de vie d’un incident
- Les organisations veulent améliorer leurs opérations et renforcer leurs compétences, pas simplement augmenter leurs effectifs
- Le modèle émergent de réponse aux incidents est soutenu par l’IA et piloté par l’humain
- L’IA transforme les rôles et les effectifs dans le domaine de la sécurité
Une évolution majeure se profile
La profession de la cybersécurité se dirige vers une conjonction de facteurs particulièrement préoccupante. Les menaces deviennent plus ciblées, davantage axées sur les identités et renforcées par l’IA, tandis que les entreprises développent rapidement leurs activités numériques et adoptent l’IA. L’effet combiné de ces évolutions transforme le paysage de la cybersécurité plus vite que de nombreuses équipes de sécurité ne peuvent acquérir les compétences, la visibilité et la gouvernance nécessaires.
Barracuda a interrogé des responsables informatiques et de la sécurité dans plusieurs pays à travers le monde sur les difficultés rencontrées au cours des 12 derniers mois en matière de compétences et de capacités.
Les résultats suggèrent que le défi professionnel auquel font face les organisations ne se limite pas aux effectifs. Les organisations de toutes tailles sont confrontées à un défi de « capacité » plus large, qui touche l’expertise, la technologie, l’approche organisationnelle de la cybersécurité, le leadership et la résilience. Les organisations ont besoin d’équipes capables de comprendre les nouvelles menaces, de prendre des décisions éclairées lors d’incidents, de gouverner des technologies de plus en plus autonomes et d’expliquer le risque cyber en termes métier — souvent tout en prenant en charge davantage d’opérations sans recevoir davantage de ressources.
Le manque de compétences reflète l’évolution de la nature des attaques
La quasi-totalité des répondants (94 %) signalent des déficits de compétences en cybersécurité, dont la plupart sont liés à l’évolution de la nature des attaques. Par exemple, 68 % signalent un déficit de compétences lié aux risques de l’IA, notamment la capacité à répondre efficacement à l’hameçonnage ou au social engineering générés par l’IA et très ciblés.
Dans le même temps, 67 % signalent des déficits liés aux menaces avancées touchant l’identité et l’hameçonnage, telles que la compromission de messagerie professionnelle, l’utilisation abusive d’OAuth et le contournement de l’authentification multifacteur (MFA).
À mesure que les outils d’IA sont de plus en plus utilisés dans les différentes fonctions de l’entreprise, ils engendrent de nouveaux défis en matière de sécurité et de gouvernance.
38 % de l’ensemble des répondants déclarent manquer des compétences nécessaires pour sécuriser et gouverner les outils d’IA utilisés par l’entreprise, mais ce chiffre atteint près de la moitié chez les responsables informatiques seniors. Cela suggère que de nombreuses organisations développent encore les compétences, la visibilité, la gouvernance et les contrôles de politique nécessaires pour gérer efficacement l’utilisation de l’IA en entreprise. À mesure que l’IA s’intègre aux flux de travail quotidiens des entreprises, comprendre comment les systèmes d’IA accèdent aux données de l’organisation, les traitent et les partagent devient un enjeu important de cybersécurité et de gouvernance.
Les résultats mettent également en évidence des lacunes en matière de compétences qui vont au-delà des seules connaissances techniques. Plus d’un tiers (35 %) signalent un manque d’expertise en matière de rapidité de réponse aux incidents et de prise de décision sous pression, tandis que 32 % peinent à traduire les risques techniques en impact sur l’activité. Cela souligne que l’efficacité en cybersécurité exige de plus en plus du discernement, de la communication et une compréhension des enjeux de l’entreprise, en plus de l’expertise technique.
Les capacités en matière de sécurité ne suivent pas le rythme de la demande des entreprises
Les déficits de compétences sont amplifiés par un décalage entre ce que les organisations attendent de la sécurité et les ressources disponibles pour y répondre.
La moitié des répondants indiquent qu’on attend de la sécurité qu’elle prenne en charge des opérations numériques nouvelles et en expansion sans ressources supplémentaires.40 % estiment que les attentes de l’entreprise dépassent leurs compétences et leurs outils de cybersécurité, tandis que 35 % estiment qu’elles dépassent leur capacité en personnel.
On demande aux équipes de sécurité de protéger un environnement plus vaste, plus complexe et de plus en plus doté de capacités d’IA, sans augmentation correspondante des effectifs, des compétences ou des technologies. Au total, 60 % signalent des lacunes en matière de capacités et de ressources, et 67 % indiquent que leurs équipes de sécurité sont sous pression et peinent à monter en puissance.
Près d’un tiers (32 %) déclarent qu’ils ne peuvent sécuriser l’entreprise que de manière réactive plutôt que proactive.
Cela suggère un cycle néfaste : l’expansion des activités numériques engendre davantage de systèmes, d’identités et d’activités à sécuriser ; une visibilité limitée et des outils fragmentés compliquent cette tâche ; des équipes débordées se concentrent sur les incidents immédiats ; et le temps disponible pour la prévention, la préparation et le développement des compétences diminue encore davantage.
Les pressions professionnelles affectent l’ensemble du cycle de vie d’un incident
Lorsqu’on a demandé aux organisations d’identifier les activités pour lesquelles il est le plus difficile de trouver du personnel ou d’apporter le soutien nécessaire en matière d’expertise, les résultats se répartissent largement entre la détection, la réponse, la continuité, la reprise, et la gouvernance.
Cela montre que les organisations ont besoin d’expertise et de capacités couvrant l’intégralité du cycle de vie d’un incident — avant, pendant, et après une attaque.
Les organisations veulent améliorer leurs opérations et renforcer leurs compétences, pas simplement augmenter leurs effectifs
Lorsqu’on leur demande ce qui les aiderait à gérer plus efficacement la cybersécurité, les répondants privilégient la visibilité et une IA fiable plutôt que des effectifs supplémentaires.
Le besoin le plus souvent cité (33 %) est une meilleure visibilité sur l’identité, la messagerie, les applications, les réseaux, les données, les services cloud et les terminaux. Juste derrière, 32 % souhaitent des outils de détection et d’investigation assistés par l’IA en lesquels ils peuvent avoir confiance.
Au niveau global, 69 % souhaitent améliorer les opérations de sécurité, 66 % veulent renforcer la prévention et la préparation aux incidents, et 64 % identifient des besoins en personnel et en compétences. Ces priorités sont complémentaires : une meilleure technologie apporte le plus de valeur lorsque les équipes disposent des compétences, du temps et de l’autorité nécessaires pour l’utiliser efficacement.
Le modèle émergent de réponse aux incidents est soutenu par l’IA et piloté par l’humain
Les résultats donnent une idée claire de la façon dont les organisations souhaitent actuellement faire travailler ensemble les êtres humains et l’IA.
Plus des deux tiers (69 %) suivent un modèle de prise de décision partagée, dans lequel l’IA aide les équipes à traiter les informations, à examiner les activités et à recommander des réponses, mais les personnes restent responsables du contexte, du jugement et des décisions finales.
Pour 41 % des répondants, des systèmes automatisés ou d’IA recommandent des actions, mais ce sont des personnes qui prennent les décisions finales. Pour 28 % supplémentaires, ce sont les intervenants humains qui mènent les investigations avec l’appui de l’IA ou de l’automatisation. Les proportions sont différentes pour les plus grandes organisations interrogées. Dans les organisations de 1 500 à 2 000 employés, 35 % s’appuient sur des systèmes automatisés soutenus par des décideurs humains — tandis que 34 % attendent des intervenants humains qu’ils mènent l’investigation avec l’appui de l’IA.
Cela montre que l’IA modifie les compétences requises des professionnels de la sécurité. Au lieu de procéder au tri technique des alertes, ils doivent être en mesure de comprendre les éléments sur lesquels repose une recommandation générée par l’IA, d’en juger la fiabilité, d’évaluer son impact probable sur l’activité et de décider si une action est proportionnée.
L’IA transforme les rôles et les effectifs dans le domaine de la sécurité
La plupart des organisations interrogées (79 %) constatent déjà un impact de l’IA sur les effectifs ou les rôles liés à la sécurité. Plus de la moitié (56 %) ont connu une certaine forme de réduction des effectifs, avec une répartition égale entre les suppressions de postes de sécurité de niveau débutant et celles de postes de niveau supérieur.
En d’autres termes, les résultats montrent que les organisations utilisent l’IA pour remodeler ou réduire leurs effectifs de sécurité, tout en ayant besoin d’une expertise professionnelle plus avancée pour gouverner l’IA, enquêter sur des attaques complexes, gérer les incidents et prendre des décisions à fort impact.
Ce que cela signifie pour l’évolution des métiers de la cybersécurité
Le métier de la cybersécurité semble s’éloigner d’une expertise centrée sur des tâches techniques distinctes pour évoluer vers un rôle multidimensionnel fondé sur le discernement, l’orchestration et la responsabilité.
Au cours de l’année à venir, l’IA et l’automatisation devraient prendre en charge une part croissante des tâches courantes d’analyse, de corrélation et de recommandation. Les rôles humains se concentreront de plus en plus sur les domaines où les résultats font apparaître les besoins non satisfaits les plus importants :
Interprétation des attaques subtiles, axées sur l’identité et exemptes de malware
Validation des constats et recommandations générés par l’IA
Prise de décisions rapides sous pression
Coordonner la réponse et maintenir les activités de l’entreprise
Gouvernance de l’utilisation de l’IA et de l’automatisation
Prioriser le risque à long terme
Expliquer l’exposition technique en termes métier
Veiller à ce que les systèmes restent soumis à une supervision humaine effective
Cela a des implications pour le développement de carrière. Si les activités de début de carrière sont automatisées ou si des postes sont supprimés, les entreprises devront trouver d’autres moyens de donner aux professionnels débutants l’expérience pratique nécessaire pour devenir des analystes, responsables de la réponse aux incidents et décideurs en matière de sécurité de demain. Réduire les postes fondamentaux sans créer de nouvelles voies de développement pourrait aggraver la pénurie de compétences avancées déjà signalée par les entreprises.
La définition d’un professionnel de la sécurité senior s’élargit également. Une expertise technique approfondie reste essentielle, mais elle doit de plus en plus être complétée par une bonne maîtrise de l’IA, une expertise en gestion des identités, une sensibilisation aux enjeux de continuité d’activité, des compétences en communication ainsi qu’une compréhension de la gouvernance et des risques organisationnels.
Prochaines étapes pour la gestion de la cybersécurité
Pour les responsables de la cybersécurité, les résultats suggèrent que la réponse n’est pas un choix binaire entre recruter du personnel et déployer l’IA. L’approche la plus efficace consiste à repenser la gestion de la sécurité autour de la combinaison de personnes qualifiées, d’une technologie fiable et d’une responsabilité clairement définie.
Cela signifie :
1
En considérant le défi professionnel comme un portefeuille de capacités, et non simplement comme un décompte des postes vacants.
Les dirigeants doivent comprendre dans quels domaines ils manquent d’expertise technique, de capacité décisionnelle, de connaissances métier, de compétences en matière de gouvernance, et de capacité de résilience.
2
Investir dans la visibilité et l’intégration avant d’ajouter davantage de complexité.
Les équipes ne peuvent pas réagir efficacement si les éléments pertinents restent dispersés entre les systèmes d’identité, la messagerie électronique, le cloud, les applications, les données et les terminaux.
3
Utiliser l’IA pour renforcer les équipes aux ressources limitées, avec une supervision humaine explicite.
Les responsabilités doivent être clairement définies : ce que l’IA peut recommander, ce qu’elle peut exécuter automatiquement, les situations dans lesquelles une validation humaine est requise et la personne qui reste responsable.
4
Préserver du temps pour la prévention, la préparation et l’apprentissage.
Une équipe constamment cantonnée à une posture réactive ne peut pas suivre le rythme de l’évolution des menaces liées à l’IA et aux identités, quels que soient les outils dont elle dispose.
5
Développer la résilience sur l’ensemble du cycle de vie des incidents.
Les investissements dans les compétences doivent couvrir la détection et la réponse, mais aussi la continuité d’activité, la reprise, la remédiation et l’amélioration après incident.
6
Renforcer les liens entre la sécurité et la direction de l’entreprise.
Les dirigeants doivent comprendre les conséquences opérationnelles des risques cyber, tandis que les équipes de sécurité doivent relier les décisions techniques aux priorités de l’entreprise.
Les résultats de l’enquête montrent que l’IA transforme la cybersécurité plus vite que de nombreuses organisations ne peuvent adapter leurs capacités professionnelles.
L’IA aide les pirates à créer des menaces plus ciblées, impose de nouvelles exigences de gouvernance aux entreprises, remodèle les rôles de sécurité et s’intègre dans la réponse aux incidents. Dans le même temps, on attend des équipes de sécurité qu’elles prennent en charge des opérations numériques en expansion avec des ressources limitées, une visibilité fragmentée et peu de temps pour la prévention.
La fonction cybersécurité de demain ne se définira donc pas uniquement par les effectifs ou la technologie. Elle dépendra de la capacité des organisations à conjuguer la puissance de l’IA à grande échelle avec le jugement humain, une visibilité étendue sur la sécurité, des opérations résilientes et des responsabilités clairement définies.
Dans un monde façonné par l’IA, les équipes de sécurité les plus performantes ne seront pas simplement celles capables d’utiliser davantage d’outils ou de traiter un plus grand nombre d’alertes. Ce seront celles capables de comprendre des menaces complexes, de remettre en question les conclusions automatisées, de prendre des décisions éclairées sous pression et d’assurer la continuité des activités en cas de perturbation.
