Le rôle du Chief Information Security Officer (CISO) n’a jamais été aussi exposé. Le dernier rapport annuel Voice of the CISO 2025 de Proofpoint dresse un panorama préoccupant : 76 % des responsables de la cybersécurité à l’échelle mondiale anticipent subir une attaque informatique significative dans les 12 prochains mois, alors que l’adoption de l’intelligence artificielle générative (GenAI) s’intensifie et que l’épuisement professionnel dans le secteur progresse.

Publié le 26 août 2025, cette étude a interrogé 1 600 CISOs dans 16 pays, analysant leurs priorités, perceptions et pressions dans un environnement de plus en plus hostile. Les conclusions sont claires : le risque humain demeure la principale vulnérabilité, l’IA constitue à la fois une alliée et une menace, et le décalage entre les CISOs et les conseils d’administration menace d’aggraver la crise de confiance en la cybersécurité d’entreprise.

La peur du prochain grand assaut

Un chiffre très remarquable indique que trois CISOs sur quatre (76 %) reconnaissent que leur organisation court le risque de subir une cyberattaque grave dans l’année à venir. La situation est d’autant plus alarmante quand on sait que 58 % d’entre eux se sentent insuffisamment préparés pour y répondre efficacement.

En 2024, ce sentiment de risque concernait 70 %. L’augmentation témoigne non seulement de l’intensification des attaques, mais aussi de leur complexité : ransomware, fraudes par email, menaces internes et détournements de comptes dans le cloud constituent un paysage fragmenté mais tout aussi dangereux.

Conséquence presque toujours identique : perte de données. Selon le rapport, deux tiers des CISOs ont subi la perte matérielle d’informations en 2025, contre 46 % en 2024.

Le dilemme du paiement de la rançon : payer ou ne pas payer

Dans un contexte où les données sont devenues l’actif le plus précieux, il n’est pas surprenant que 66 % des CISOs déclarent être prêts à payer une rançon pour restaurer leurs systèmes ou éviter une fuite d’informations. La tendance diffère selon les régions : au Canada et au Mexique, ce taux grimpe à 84 %.

Ce constat soulève un débat éthique et stratégique majeur. Alors que les autorités et experts en sécurité déconseillent formellement de payer, la pression pour empêcher l’effondrement des opérations ou la divulgation d’informations sensibles pousse de nombreuses entreprises à voir cette option comme le « moindre mal ».

Le rôle humain : le maillon faible

L’étude insiste sur une réalité qui perdure année après année : les personnes constituent la principale vulnérabilité. 66 % des CISOs le confirment, même si 68 % pensent que leurs employés comprennent bien les bonnes pratiques de sécurité.

Il y a une contradiction évidente : la connaissance ne se traduit pas toujours par un comportement de sécurité. La rotation du personnel aggrave la situation : 92 % des pertes de données en 2025 sont liées, au moins en partie, à des employés partant de l’organisation, contre 73 % en 2024.

Bien que la majorité des entreprises utilisent déjà des outils de prévention de la perte de données (DLP), un tiers des CISOs admet que leurs systèmes restent insuffisants.

L’intelligence artificielle générative : opportunité ou risque ?

L’émergence de la GenAI constitue le principal sujet transversal de ce rapport. Pour 64 % des CISOs, qu’il est stratégique de déployer en toute sécurité des outils GenAI dans les deux prochaines années. Cependant, l’enthousiasme diminue : en 2024, ce chiffre s’élevait à 87 %.

Les préoccupations sont manifestes : trois CISOs sur cinq craignent des fuites de données clients via des plateformes publiques de GenAI. En particulier, 80 % des CISOs américains voient ce risque comme critique.

La réponse n’a pas été l’interdiction, mais la gouvernance. 67 % des organisations ont déjà mis en place des guides d’utilisation, et 68 % explorent des défenses basées sur l’IA. Néanmoins, plus de la moitié (59 %) continue de restreindre l’usage de ces outils par leurs employés.

Le double tranchant de l’IA est évident : tout en accélérant l’innovation et la productivité, elle augmente aussi les risques humains et expose les entreprises à de nouvelles formes d’attaques.

Pression au poste : épuisement et manque de soutien

Le rôle de CISO devient de plus en plus stratégique, mais aussi plus difficile à soutenir. Le rapport indique que :

• 66 % des CISOs jugent que leurs attentes sont excessives.
• 63 % déclarent avoir été victimes ou témoins d’un burnout au cours de la dernière année.
• Bien que 65 % indiquent que leurs organisations ont pris des mesures pour les soutenir, un tiers estime ne pas disposer de ressources suffisantes pour remplir leurs missions de sécurité.

Le désalignement avec la direction est un autre enjeu : la perception de soutien du conseil d’administration a chuté, passant de 84 % en 2024 à 64 % en 2025. En revanche, l’attention portée à l’impact sur la valorisation de l’entreprise suite à une attaque est désormais prioritaire en conseil, ce qui pourrait encourager une plus grande allocation de ressources à la cybersécurité.

Une profession à la croisée des chemins

Le CISO d’aujourd’hui doit non seulement faire face aux hackers, mais aussi naviguer dans un environnement de plus en plus complexe où convergent :

• Innovation technologique (IA, cloud, environnements hybrides)
• Facteurs humains (erreurs, rotation, culture de sécurité)
• Pressions réglementaires et légales (conformité, responsabilité personnelle)
• Attentes du business (réduction des coûts et augmentation de la résilience)

Selon Patrick Joyce, CISO mondial de Proofpoint :

“Les leaders en sécurité affichent un optimisme quant à la posture de cybersécurité de leur organisation, mais la réalité est tout autre : pertes de données croissantes, lacunes en préparation et un risque humain toujours présent.”

L’avenir proche

Tout indique que 2026 sera une année déterminante. Avec la consolidation de la GenAI, la montée des cybermenaces et la réglementation en forte évolution, le rôle du CISO se consolide comme un acteur clé de la stratégie d’entreprise.

Le défi sera d’équilibrer innovation et protection, attirer et fidéliser les talents dans des équipes en demande croissante, et maintenir la confiance dans un contexte de désinformation et de risques croissants.

Questions fréquentes (FAQ)

1. Qu’est-ce qu’un CISO et quel est son rôle dans l’entreprise ?
Le Chief Information Security Officer (CISO) est responsable de la stratégie de cybersécurité de l’organisation. Son rôle englobe la prévention des attaques, la gestion des incidents, la conformité réglementaire et la sensibilisation des employés.

2. Pourquoi l’IA générative représente-t-elle un risque pour la cybersécurité ?
L’IA générative facilite certaines tâches, mais accroît aussi le risque de fuite d’informations lorsque des employés utilisent des plateformes publiques. De plus, les cybercriminels l’utilisent pour des attaques de phishing plus crédibles et pour développer des malwares avancés.

3. Quel pourcentage de CISOs serait prêt à payer une rançon après une attaque ?
Selon le rapport de Proofpoint, 66 % des CISOs y seraient favorables. Dans des régions comme le Canada et le Mexique, cette proportion grimpe à 84 %.

4. Quelles mesures peuvent prendre les entreprises pour réduire le risque humain en cybersécurité ?
Les clés incluent renforcer la formation pratique (au-delà de la sensibilisation théorique), déployer des solutions de prévention de la perte de données (DLP), établir des politiques claires sur l’utilisation de l’IA et constituer des équipes spécialisées sur les risques internes.

via : proofpoint