Pourquoi l'ancien modèle échoue auprès des organisations modernes

Le lundi matin que personne ne souhaite

Il est lundi, 7h43.

Vous buvez votre deuxième café, rattrapant vos e-mails avant que la semaine ne commence officiellement. Puis votre téléphone vibre. Puis encore. Puis le responsable de votre équipe SOC vous appelle.

Il y a eu une intrusion. Un mouvement latéral suspect a été détecté au cours du week-end. Un attaquant s'est introduit dans votre réseau, discrètement, patiemment, depuis au moins 72 heures.

Vous prenez une inspiration. Votre poitrine se serre. Et vous ouvrez vos fichiers.

Il y a trois semaines, votre organisation a réalisé un test d'intrusion complet. Périmètre externe, applications web, réseau interne. Le rapport est revenu avec quelques résultats moyens, rien de critique. La conclusion était claire : votre posture de sécurité est acceptable.

Vous étiez conforme. Vous étiez couvert. Vous aviez le rapport pour le prouver.

Et pourtant, vous voilà.

Voici la partie qui devrait empêcher tout responsable de la sécurité de dormir : ce scénario n’est pas une mise en garde fictive. C'est la réalité au quotidien. Selon le rapport M-Trends 2026 de Mandiant, les attaquants qui ne sont pas détectés rapidement passent une médiane de 14 jours au sein d'un environnement compromis avant d'être détectés, et dans les intrusions liées à l'espionnage, ce chiffre s'étend à 122 jours. Quatre mois. Dans votre réseau. À cartographier vos actifs, à élever leurs privilèges, à attendre. L'étude d'IBM ajoute un coût brutal à ce silence : les violations qui s'éternisent au-delà de 200 jours coûtent en moyenne 5,01 millions de dollars à résoudre.

Le CISO dans ce scénario n'a pas échoué. C’est le modèle qui a échoué.

Le monde pour lequel la sécurité a été conçue

Pour comprendre pourquoi le modèle actuel est en difficulté, il est utile de comprendre pourquoi il a été conçu.

Les tests d'intrusion traditionnels sont apparus à une époque d'infrastructures relativement stables et bien définies. Vous aviez un datacenter, un périmètre, un ensemble d'applications connues. Vous embauchiez des professionnels de la sécurité qualifiés, des membres d'une équipe rouge, des pirates éthiques, pour simuler une attaque dans un périmètre défini, sur une période définie, et fournir un rapport de ce qu'ils avaient trouvé.

C'était rigoureux. C'était professionnel. Pour l'époque, cela fonctionnait.

La mission suivait généralement un rythme familier : des appels de cadrage, de la reconnaissance, des tentatives d'exploitation, un débriefing, et enfin un rapport PDF, souvent livré deux à quatre semaines après le début de la mission. Les équipes de sécurité examinaient les résultats, hiérarchisaient les correctifs et planifiaient le test suivant pour l'année d'après.

Annuel. Cadré. Manuel. Documenté.

C'était le guide méthodologique classique. Et pour de nombreuses organisations, cela le reste aujourd'hui.

Le problème : votre réalité a changé plus vite que vos processus

L'entreprise moyenne en 2026 ne ressemble en rien à ce qu'elle était il y a dix ans.

L'infrastructure cloud a remplacé les systèmes sur site, ou cohabite avec eux. Les équipes de développement déploient du code chaque semaine, parfois chaque jour. Les API connectent des dizaines de services internes et externes. Les applications mobiles étendent votre surface d'attaque à des appareils que vous ne contrôlez pas. Les intégrations tierces introduisent des dépendances que vous n'avez pas développées et que vous ne pouvez pas entièrement auditer.

Ce qui était autrefois un périmètre clairement défini est aujourd'hui un écosystème tentaculaire, dynamique et en constante évolution.

Et les attaquants se sont adaptés. Les cybercriminels modernes n'ont pas besoin de semaines pour trouver un point d'entrée. Les outils d'analyse automatisés, les identifiants divulgués, les stockages cloud mal configurés, les API non corrigées, tout cela peut être identifié et exploité en quelques heures. Parfois moins.

Le calcul est brutal : votre surface d'attaque augmente continuellement. Les attaquants agissent en quelques minutes. Votre pentest traditionnel a lieu une fois par an. L'écart entre ces réalités n'est plus un fossé, c'est un canyon, et c'est là que logent les failles de sécurité.

Les coûts cachés de l'ancien modèle

Au-delà du timing, l'approche traditionnelle comporte une série de limites structurelles qui apparaissent rarement dans les brochures des fournisseurs, mais qui sont familières à tous ceux qui ont géré un programme de sécurité à grande échelle.

La couverture est limitée par le temps et la portée. Une mission de deux semaines, même approfondie, ne peut raisonnablement pas couvrir chaque actif, chaque point de terminaison, chaque application d'une organisation moderne. Les auditeurs travaillent dans des limites convenues. Ce qui se trouve en dehors de ces limites reste non testé et potentiellement exposé. En 2024, une violation de données sur trois concernait les « données fantômes » (shadow data), des informations situées en dehors des systèmes centralisés de l'entreprise, hors de portée de tout pentest raisonnable.

Les résultats sont un instantané, pas une stratégie. Le rapport que vous recevez reflète votre posture de sécurité au moment des tests. Le temps qu'il arrive sur votre bureau, votre environnement a déjà changé. Un nouveau code a été déployé. De nouveaux services ont été connectés. L'instantané vieillit déjà, et dans un monde où l'usurpation d'identifiants (22 %) et l'exploitation de vulnérabilités (20 %) sont les principaux moyens d'intrusion des attaquants, ce vieillissement se fait rapidement.

Les résultats disparaissent dans les failles des processus. C'est peut-être le problème le moins reconnu. Un test d'intrusion génère des résultats. Ces résultats vont dans un rapport. Le rapport va à une équipe. Et ensuite, quoi ? Qui suit les correctifs ? Comment savoir, six mois plus tard, quelles vulnérabilités ont été corrigées et lesquelles ont discrètement survécu ? Dans de nombreuses organisations, la réponse honnête est : vous ne le savez pas. Pas avec une réelle certitude. Et quelque part dans ce manque de suivi, une faille de gravité moyenne qui n'a pas été priorisée devient le point d'entrée qui vous coûte 10 millions de dollars. Ce n'est pas une hypothèse, c'est le coût moyen d'une violation aux États-Unis en 2025, le plus élevé de tous les pays du monde pour la quinzième année consécutive.

La collaboration est fragmentée. Le pentesteur travaille de manière isolée. L'équipe de développement entend parler des résultats de seconde main. Le client ou la partie prenante interne attend un document final. Il n'y a pas d'espace de travail partagé, pas de visibilité en temps réel, pas de source unique de vérité. Tout le monde travaille sur des versions différentes du même problème.

Le passage à l'échelle est douloureux. Gérer un test d'intrusion est gérable. Gérer cinq missions simultanées sur des applications web, des plateformes mobiles, des environnements cloud et des réseaux internes, chacune à des stades différents, générant chacune des résultats et nécessitant chacune un suivi, est un défi logistique que les tableurs et les chaînes d'e-mails n'ont jamais été conçus pour relever.

Le problème des talents aggrave la situation

À ces problèmes structurels s'ajoute une crise dont le secteur parle depuis des années et qu'il n'a toujours pas résolue.

Il y a des millions de postes de cybersécurité non pourvus dans le monde. Plus de la moitié des organisations ayant subi des violations en 2025 ont indiqué que le manque de personnel de sécurité était un facteur contributif, soit une augmentation de 26 % par rapport à l'année précédente. Les pentesteurs qualifiés figurent parmi les professionnels de la sécurité les plus rares et les plus chers à recruter et à fidéliser. La demande dépasse systématiquement l'offre, et cet écart se creuse.

Ce n'est pas une abstraction. Cela apparaît clairement dans les données sur les violations d'accès. IBM a constaté que les organisations confrontées à des pénuries de personnel devaient faire face à des coûts de violation supérieurs de plusieurs centaines de milliers de dollars par rapport aux équipes disposant d'un effectif adéquat. La rareté de l'expertise humaine n'est pas un problème que le recrutement seul peut résoudre. Elle nécessite une refonte structurelle de la manière dont le travail de sécurité offensive est effectué.

La vérité dérangeante est que votre organisation essaie probablement de résoudre un problème à croissance exponentielle avec une solution à échelle linéaire. Et les attaquants, de plus en plus assistés par l'IA, de plus en plus automatisés, ne sont pas soumis aux mêmes contraintes. En 2025, le vol d'identifiants grâce à l'IA a bondi de 160 %. Plus de 80 % des e-mails d'hameçonnage contiennent désormais du contenu généré par l'IA, parfaitement personnalisé, indétectable par les seuls correcteurs de grammaire.

L'adversaire s'est modernisé. Reste à savoir si votre programme l'a fait.

Une autre façon d'aborder le problème

Les organisations qui s'en sortent bien ont cessé de considérer les tests d'intrusion comme un événement ponctuel pour commencer à les traiter comme une pratique continue.

Elles testent plus fréquemment, non pas de manière annuelle, mais sur une base continue liée aux changements de leur environnement. Elles maintiennent une visibilité sur l'ensemble de leur surface d'attaque, et pas seulement sur les actifs qu'elles ont pensé à inclure dans un document de cadrage. Elles suivent chaque découverte, de son identification à sa résolution, avec une attribution claire des tâches et un statut en temps réel. Leurs équipes de sécurité, leurs développeurs et leurs testeurs externes collaborent sur la même plateforme, visualisant les mêmes données en temps réel.

Elles s'appuient sur l'automatisation pour atteindre une couverture et une régularité que des testeurs humains seuls ne pourraient maintenir à grande échelle. Et elles intègrent l'IA non pas pour remplacer le discernement humain, mais pour l'affiner : cela permet de faire remonter les failles prioritaires, de réduire le bruit qui encombre le temps des analystes et d'accélérer le passage de la découverte à la prise de décision. Les données confirment cette urgence : IBM a révélé que les organisations utilisant des flux de travail de sécurité basés sur l'IA réduisaient en moyenne le coût d'une violation de 2,2 millions de dollars par rapport à celles qui n'en utilisaient pas.

L'expert humain reste indispensable. L'IA gère le volume de travail, l'humain en apprécie le contexte. Un pentesteur qualifié secondé par des outils intelligents n'est pas dévalorisé ; il gagne considérablement en efficacité. Les meilleurs résultats sont obtenus lorsque l'automatisation gère les tâches répétitives, tandis que l'expertise humaine se concentre là où elle apporte le plus de valeur : les chaînes d'exploits complexes, l'évaluation des risques contextuels et les recommandations personnalisées adaptées à votre environnement métier spécifique.

Ce n'est pas une vision du futur. Ces capacités existent aujourd'hui. Le fossé se creuse entre les organisations qui ont adopté ce modèle et celles qui se limitent encore à des audits annuels, en espérant qu'un rapport PDF suffira à les protéger jusqu'à l'année suivante.

Ce que cela signifie pour votre organisation

Si vous êtes CISO, directeur de la sécurité ou décideur technique, la question à vous poser n'est pas « effectuons-nous des tests d'intrusion ? » La plupart des organisations le font.

Les véritables questions à se poser sont :

• Testons-nous en continu ou simplement de manière périodique ?

• Disposons-nous d'une visibilité sur l'ensemble de notre surface d'attaque, ou seulement sur les parties définies lors du trimestre précédent ?

• Pouvons-nous identifier, dès maintenant, quelles vulnérabilités issues de notre dernier audit ont été corrigées et lesquelles ne l'ont pas été ?

• Nos équipes de sécurité, nos testeurs et nos parties prenantes travaillent-ils à partir d'une même vue partagée en temps réel ?

• Utilisons-nous les résultats de nos tests de sécurité pour prendre de meilleures décisions en matière de risques, ou simplement pour satisfaire à une exigence de conformité ?

Si l'une de ces questions suscite l'hésitation, la lacune ne réside pas dans la compétence de votre équipe. Elle réside dans le modèle que vous utilisez.

La faille de sécurité est déjà présente ou sur le point de l'être. Et en 2026, la seule question qui importe est de savoir à quelle vitesse vous vous en rendrez compte.

Une perspective d'évolution

Le scénario présenté au début de cet article — le CISO confronté à une alerte d'intrusion malgré un rapport d'audit vierge — ne témoigne pas d'un manque de compétences individuelles. Il illustre les limites d'une méthodologie qui n'a jamais été conçue pour détecter ce qui lui a échappé.

Les organisations qui comblent cette lacune n'y parviennent pas en recrutant davantage ou en multipliant les audits annuels. Elles repensent entièrement leur approche : continue, automatisée, assistée par l'IA, validée par l'humain et pilotée depuis une plateforme unique qui offre à chaque partie prenante la visibilité nécessaire, en temps réel.

C'est cette réflexion qui nous a conduits à concevoir Rifteo, une plateforme pensée pour les équipes de sécurité qui ne peuvent se permettre d'attendre le prochain rapport annuel pour évaluer leur niveau d'exposition.

Les articles suivants de cette série explorent plus en détail chaque aspect de ce défi : la gestion de la surface d'attaque, le suivi des vulnérabilités, la priorisation assistée par l'IA, la collaboration en temps réel et la structure concrète d'un programme de sécurité offensive moderne. Bien que conçus pour être consultés indépendamment, ils offrent ensemble une vue d'ensemble de l'état du secteur, de ses évolutions et des stratégies adoptées par les organisations pionnières pour garder une longueur d'avance.

« Le prochain rapport sur votre bureau devrait vous indiquer votre niveau de sécurité aujourd'hui, et non celui d'il y a trois semaines. »