L’année 2025 a été une année record pour les attaquants : 45 nouveaux groupes de rançongiciel apparus, des alliances inédites entre cybercriminels et une exploitation systématique des surfaces d’attaque. Pourtant, les défenseurs ne sont pas restés immobiles. L’année 2026 marque une rupture dans les pratiques, les outils et l’organisation des équipes de cyberdéfense. Trois évolutions majeures se dégagent du Rapport sur l’état de la menace 2025-2026 d’Advens, fruit d’une veille continue menée par les experts de l’entreprise. Ces changements concernent directement les RSSI, les responsables SOC et toutes les équipes en charge de la sécurité opérationnelle.
Un contexte de menace qui force les défenseurs à se réinventer
Pour comprendre ces évolutions, il faut d’abord saisir la pression inédite qui s’exerce sur les équipes de défense. Les surfaces d’attaque s’étendent plus vite qu’elles ne peuvent être cartographiées. Les environnements mélangent des systèmes legacy incapables de recevoir des correctifs, des infrastructures cloud qui évoluent en continu, et des équipements OT ou IoT conçus sans considération de sécurité.
Dans ce contexte, les stratégies défensives ne peuvent plus reposer sur l’illusion d’un périmètre de sécurité hermétique. Selon Advens, le modèle zero trust s’impose comme le seul cadre capable d’adresser simultanément un périmètre sans frontières définies et des menaces qui évoluent plus vite que les défenses. Il part d’un principe simple : aucun équipement ou utilisateur n’est intrinsèquement de confiance. C’est dans ce contexte sous haute pression que les trois évolutions majeures identifiées par Advens prennent tout leur sens.
1. La santé mentale des équipes cyber : un enjeu opérationnel enfin reconnu
Des chiffres qui alertent
La première évolution est peut-être la moins attendue dans un rapport sur la menace. La prise en compte des risques psychosociaux (RPS) dans le management des équipes de cybersécurité n’est pourtant plus une option. C’est une nécessité opérationnelle que les chiffres rendent indiscutable.
Advens et le CESIN ont joué un rôle pionnier sur ce sujet avec la publication en 2021 de la première étude sur le stress des RSSI en France. La seconde édition, publiée en décembre 2024, montre une amélioration relative, mais des niveaux qui restent préoccupants : 51% des responsables cybersécurité se déclarent en situation de stress modéré à élevé, 7% sont proches du burn-out, et 73% perçoivent un décalage important entre les attentes de leur organisation et leur capacité d’action réelle (Source : Grande étude sur le stress des Responsables Cyber, 2024).
De son côté, l’InterCERT France, qui fédère plus de 120 équipes CERT et CSIRT en France, a publié en 2025 une étude spécifique sur les RPS dans les centres de réponse aux incidents cyber, menée auprès de 234 répondants. Les résultats sont éloquents : 72% des professionnels dénoncent un manque de protection face aux risques psychosociaux, 86% déclarent être régulièrement exposés à des contenus psychologiquement difficiles (illicites, violents ou sensibles), et seuls 2% ont bénéficié d’un accompagnement médical ou psychologique lié à leur activité.
Ce que cela implique concrètement pour les RSSI
Les équipes de sécurité opérationnelle, et en particulier les équipes CERT, évoluent dans des conditions de stress chronique comparables à celles des métiers d’urgence. Les managers, souvent issus de la technique, ne sont généralement pas formés à la prise en compte des RPS. Le stress intense en cas d’attaque, les violences verbales et les syndromes post-traumatiques existent mais restent largement ignorés.
L’étude de l’InterCERT recommande la mise en place de « sas de décompression » au sein des équipes, ainsi qu’un accompagnement psychologique systématisé. La prise en charge des RPS n’est pas qu’une question de bien-être : c’est un enjeu de performance opérationnelle et de rétention des talents dans des équipes déjà en tension sur le marché de l’emploi.
Pour les RSSI, cela signifie concrètement intégrer cette dimension dans leur politique managériale, plaider pour des ressources dédiées auprès de la direction générale, et reconnaître que la résilience humaine est aussi critique que la résilience technique.
2. Le bruit informationnel : quand la sur-information paralyse la défense
L’explosion médiatique de la menace cyber
La deuxième évolution identifiée par Advens touche à la qualité de l’information disponible sur la menace. En 2025, le nombre d’articles dans les médias grand public sur les incidents cyber et les fuites de données a explosé. Certains acteurs prennent la parole pour alerter de façon excessive ; on communique sur des fuites de données non avérées ou sur de vieilles données recyclées ; et les groupes de rançongiciel alimentent ce bruit en revendiquant parfois des attaques fictives.
Le résultat est un « bruit ambiant » particulièrement problématique pour les équipes de cyberdéfense. L’impact direct sur les RSSI est considérable. Ils doivent se justifier en permanence auprès de leur hiérarchie : « Sommes-nous concernés par cette fuite ? » ou « Pourquoi n’a-t-on pas détecté cette attaque ? ». Ces sollicitations incessantes représentent une perte de temps considérable, surtout lorsqu’il s’agit de contredire un article sensationnaliste ou une alerte basée sur des informations erronées.
La Cyber Threat Intelligence comme réponse structurelle
Face à ce phénomène, les experts d’Advens préconisent une réponse structurelle : se doter d’une véritable capacité de Cyber Threat Intelligence (CTI) organisée. Cette CTI doit être capable de filtrer le signal du bruit en s’appuyant sur des sources fiables, d’adapter les contenus aux différentes cibles (la direction générale n’a pas besoin du même niveau de détail que les équipes SOC), et de répondre rapidement aux requêtes internes lorsqu’une alerte circule.
Cette capacité CTI peut être internalisée, externalisée ou hybride. L’essentiel est qu’elle existe et soit opérationnelle pour éviter que les équipes cyber ne soient submergées par l’infobruit. Une CTI bien dimensionnée permet aussi de prioriser les actions de remédiation, d’anticiper les campagnes d’attaque émergentes et de crédibiliser les arbitrages présentés au comité de direction. C’est une fonction qui évolue d’un rôle de veille passive vers un véritable outil d’aide à la décision stratégique.
3. L’arsenal technologique face à l’IA : trois axes de transformation
La troisième évolution est la plus structurante sur le plan technologique. L’intelligence artificielle transforme le paysage des menaces, comme le montre l’article d’Advens sur l’IA et les cyberattaques, mais elle représente aussi une opportunité majeure pour les défenseurs. Selon le Rapport sur l’état de la menace 2025-2026 d’Advens, l’arsenal technologique de défense doit évoluer sur trois axes distincts.
Sécuriser les usages de l’IA générative
Le premier axe concerne les risques spécifiques introduits par l’IA générative dans les organisations. La prompt injection, l’exfiltration de données via des prompts malveillants et le shadow AI constituent des vecteurs d’attaque nouveaux qui nécessitent des outils spécialisés. Le standard OWASP Top 10 Risk & Mitigations for LLMs and Gen AI Apps 2025 classe la prompt injection comme le risque numéro 1 pour les applications d’IA générative.
Des solutions émergent pour y répondre : Prompt Security (racheté par SentinelOne) pour la sécurisation des interactions avec les LLM, Microsoft Azure Prompt Shields pour détecter les injections de prompts, ou encore des plateformes CASB évoluées pour identifier les usages non autorisés de l’IA. Pour les RSSI, l’enjeu est double : cartographier les usages de l’IA générative au sein de leur organisation et déployer des contrôles adaptés à ces nouveaux flux de données.
Augmenter les SOC grâce à l’IA
Le deuxième axe touche directement à l’efficacité des équipes de détection et réponse. Les plateformes SOC doivent intégrer l’IA générative pour améliorer la détection (analyse de volumes de logs dépassant les capacités humaines, identification de patterns émergents), accélérer l’investigation (corrélation automatique d’événements, suggestions d’hypothèses d’attaque) et automatiser la réponse pour les scénarios à faible ambiguïté.
L’enjeu n’est pas de remplacer les analystes humains, mais de les augmenter. Dans un contexte où les équipes sont soumises à un flux d’alertes croissant, l’IA permet de concentrer l’attention humaine là où elle a le plus de valeur : sur les situations complexes et ambiguës qui exigent un jugement d’expert.
Accélérer la productivité des équipes
Au-delà de la détection, le troisième axe concerne la productivité globale des équipes cyber. L’IA peut transformer d’autres pans de la sécurité : génération automatique de rapports d’incident et de documentation technique, modélisation et simulation de scénarios de risque, création de contenus de formation personnalisés, automatisation de la veille et synthèse de rapports techniques.
Cette productivité accrue libère du temps pour les activités à plus forte valeur ajoutée : réflexion stratégique, chasse proactive aux menaces (threat hunting), amélioration continue de l’architecture de sécurité. Comme le souligne le rapport d’Advens, « l’évolution de l’arsenal technologique à l’heure de l’IA n’est pas une option : c’est une condition de survie face à des attaquants qui maîtrisent déjà ces technologies ».
Focus : la cryptographie post-quantique, une transition à enclencher dès maintenant
En complément de ces trois évolutions majeures, le Rapport sur l’état de la menace 2025-2026 d’Advens identifie un chantier qui ne peut plus attendre : la cryptographie post-quantique. L’année 2026 marque un point de bascule dans la préparation à l’ère post-quantique, avec des échéances réglementaires désormais précises.
L’ANSSI a fixé un calendrier clair : dès 2027, elle n’acceptera plus en qualification des produits de sécurité sans cryptographie post-quantique, et à partir de 2030, il ne sera plus raisonnable d’acquérir des solutions qui n’y résistent pas. La menace dite « store now, decrypt later », où des données chiffrées aujourd’hui pourraient être déchiffrées demain par des ordinateurs quantiques, donne une dimension d’urgence à cette transition.
Pour la majorité des organisations, la démarche commence par un inventaire : quels algorithmes cryptographiques sont utilisés, où, et pour protéger quelles données ? Celles qui n’ont pas la main directe sur leur cryptographie doivent a minima interroger leurs fournisseurs sur leurs feuilles de route post-quantiques. Pour les acteurs des secteurs sensibles (OIV, OSE, défense), l’enjeu est plus immédiat : intégrer la transition post-quantique dans les roadmaps produit dès 2026 et concevoir des architectures hybrides permettant une migration progressive. La crypto-agilité, c’est-à-dire la capacité à remplacer un algorithme sans refondre l’architecture, devient un critère de conception incontournable.
Ce que ces évolutions signifient pour votre organisation
Les trois évolutions majeures identifiées par Advens dans son Rapport sur l’état de la menace 2025-2026 dessinent un même mouvement de fond : les défenseurs doivent se transformer en profondeur, sur des dimensions humaines, informationnelles et technologiques simultanément.
La santé des équipes n’est plus un sujet périphérique, c’est une condition de la performance opérationnelle. La qualité de l’information sur la menace est un facteur différenciant, car trop de bruit tue la vigilance. Et l’IA, loin d’être uniquement un outil aux mains des attaquants, peut devenir le levier central d’une sécurité opérationnelle plus efficace et plus résiliente.
Pour les RSSI, ces évolutions appellent une réflexion stratégique sur trois fronts : le management de leurs équipes, la structuration de leur capacité CTI et la roadmap technologique de leur SOC. Autant de chantiers que les experts d’Advens accompagnent au quotidien dans les organisations, quelles que soient leur taille et leur secteur.
Téléchargez le Rapport sur l’état de la menace 2025-2026 d’Advens pour accéder à l’analyse complète des évolutions chez les défenseurs, aux recommandations opérationnelles issues du terrain et au panorama détaillé des menaces qui ont marqué 2025.
