Étude : L’augmentation du budget cloud ne comble pas la faille de sécurité

1.163 responsables de la sécurité, un constat : le cloud devient complexe plus vite que les équipes ne peuvent le sécuriser. Le *2026 State of Cloud Security Report* de Cybersecurity Insiders (rapport avec Fortinet comme partenaire industriel) qualifie ce phénomène de *Complexity Gap* – et fournit des chiffres qui rebattent les cartes des discussions budgétaires.

Les points clés en bref

À lire aussi :Flexera 2026 : le cloud et les coûts pour les PME  /  Le niveau de maturité cloud que les PME s’attribuent

L’étude repose sur une enquête en ligne menée fin 2025 auprès de 1.163 professionnels de l’IT et de la cybersécurité – couvrant des secteurs allant de la tech à la finance, en passant par la santé et le secteur public, avec des profils allant des spécialistes aux cadres dirigeants. L’éditeur est Cybersecurity Insiders ; Fortinet est partenaire industriel du rapport. Il s’agit donc d’une recherche sponsorisée, mais avec un échantillon robuste. Ce n’est pas un benchmark de laboratoire. Pour les décideurs, l’essentiel n’est donc pas la marque en couverture, mais les tendances qui se dégagent de manière cohérente sur plusieurs chapitres.

Trois amplificateurs, un modèle opérationnel

Le rapport compresse l’écart en identifiant trois facteurs amplificateurs. Premièrement, des défenses fragmentées : les outils évoluent avec le cloud, souvent sans télémétrie commune. Les équipes corrèlent manuellement les alertes entre des systèmes qui n’ont jamais été conçus pour fonctionner ensemble. 69 % considèrent cela comme le principal frein à une sécurité cloud efficace.

Deuxièmement, des équipes sous-dimensionnées : 74 % signalent une pénurie active de professionnels qualifiés en sécurité, et 77 % s’inquiètent fortement de l’écart de compétences dans le secteur. Les rôles cloud exigent une maîtrise simultanée de l’infrastructure, de l’identité, des données et des applications – précisément la combinaison la plus difficile à pourvoir. Troisièmement, des attaquants évoluant à la vitesse des machines : l’automatisation et l’IA détectent les mauvaises configurations, les chemins de permissions et les données exposées plus rapidement que les files d’attente humaines ne peuvent les traiter. 66 % manquent de forte confiance dans leur capacité à détecter et répondre en temps réel – une légère hausse par rapport à l’année précédente (64 %).

Le modèle opérationnel sous-jacent est clairement multi-cloud. 88 % des environnements sont hybrides ou multi-cloud, 81 % utilisent au moins deux fournisseurs pour les charges de travail critiques, et 29 % en comptent plus de trois. Chaque compte supplémentaire, chaque SaaS et chaque identité non humaine élargit les configurations et les chemins de données. L’infrastructure s’adapte automatiquement – la compréhension de la posture de sécurité, souvent non.

Où se niche le risque – et ce que les chiffres signifient pour l’architecture

La concentration des risques n’a rien de surprenant, mais elle est déterminante pour l’action. L’identité et l’accès arrivent en tête avec 77 %, suivis par les services cloud mal configurés (70 %) et l’exposition des données (66 %). Les exploits de workloads et les attaques sur la chaîne d’approvisionnement passent relativement au second plan. Le chemin quotidien passe par les droits, la configuration et les données.

C’est précisément là que se forme la chaîne d’exposition : une mauvaise configuration ouvre une ressource, une identité sur-privilégiée fait un pas de plus, et les données sensibles deviennent la cible. Les outils de posture, d’identité et de données voient chacun leur segment. 77 % donnent la priorité à l’identité – et pourtant, le contexte commun sur l’ensemble de la chaîne fait souvent défaut. Les attaquants, eux, automatisent précisément cette corrélation.

Le déficit d’automatisation agit comme un multiplicateur silencieux. 37 % décrivent l’automatisation comme largement centrée sur les alertes : détection oui, correction manuelle. Seuls 11 % rapportent une remédiation autonome sans intervention humaine. En parallèle, beaucoup expérimentent l’IA dans la défense cloud, mais seulement 18 % qualifient la détection par IA de pleinement opérationnelle dans leurs environnements cloud. 32 % restent en mode pilote. Les attaquants, eux, n’ont pas besoin de ce niveau de maturité – ils scannent, cartographient et priorisent déjà de manière automatisée.

Ce que les équipes cloud en DACH peuvent en tirer concrètement

Premièrement : le budget n’est pas synonyme de maturité. Si 62 % augmentent leurs budgets et que 59 % restent malgré tout en phase initiale, le goulot d’étranglement réside dans l’intégration et le modèle opérationnel. Chaque nouvel outil ponctuel sans contexte partagé alourdit la charge opérationnelle que l’équipe doit assumer.

Deuxièmement : la consolidation des plateformes est à la fois un signal issu de l’enquête et une priorité opérationnelle. 64 % choisiraient « from scratch » une plateforme mono-éditeur couvrant la sécurité réseau, cloud et applicative ; seuls 27 % resteraient fidèles à une approche purement best-of-breed sans gouvernance unifiée. Les acheteurs privilégient la couverture et la profondeur (79 %), l’intégration et l’orchestration (72 %), ainsi que l’automatisation et la conformité (68 % – avant la simple convivialité ou le prix).

Troisièmement : les métriques axées sur les résultats remplacent le simple comptage d’outils. 81 % donnent la priorité aux résultats en matière de sécurité (moins de mauvaises configurations, moins de sur-privilèges), 76 % à l’efficacité opérationnelle (détection plus rapide, moins de bruit), 66 % à l’intégration et à l’automatisation, et 62 % à la conformité continue. Pour les responsables plateforme et sécurité, cela signifie : aligner les feuilles de route sur la réduction de l’exposition et les indicateurs MTTD/MTTR, et non sur le nombre de modules achetés.

Quatrièmement : le fossé de complexité est avant tout une question d’architecture et d’identité, avant même d’être un ticket SOC. Quiconque opère en multi-cloud a besoin d’une vision unifiée des permissions, de la dérive de configuration et des flux de données – sans quoi chaque nouvelle initiative d’IA devient un multiplicateur de surfaces d’attaque sur une base déjà fragmentée.

Le rapport ne propose pas une analyse spécifique à la DACH ni un benchmark pratique par hyperscaler. Il fournit en revanche un ordre de priorité solide : d’abord le contexte sur l’identité, la configuration et les données, puis l’automatisation en laquelle on peut avoir confiance, et enfin la détection par IA sur cette base. Inverser cette logique, c’est acheter une illusion de rapidité tout en conservant le fossé.

Foire aux questions

Source de l’image : générée par IA (juillet 2026)