Les entreprises ne manquent pas d’informations sur les cybermenaces qui les guettent. Elles manquent de temps pour agir dessus. Un paradoxe de la gestion des menaces en 2026, radiographié par Filigran, dans le rapport “State of Threat Management”.
Un fossé qui coûte cher
Déployer en moyenne 14 flux de renseignements sur les menaces et ne toujours pas savoir lesquelles sont susceptibles d’être exploitées en priorité : c’est la réalité de 61 % des organisations interrogées dans le cadre du rapport State of Threat Management, conduit par Vanson Bourne auprès de 550 décideurs et professionnels de la sécurité dans neuf pays. Ce paradoxe, que Filigran nomme le “déficit d’exposition”, cristallise un problème structurel que les investissements massifs en outils n’ont pas réglé. Seules 41 % des entreprises disposent d’une vue réellement consolidée de leur exposition aux cyberrisques. Les 59 % restantes naviguent avec des angles morts.
Ce déficit a un coût opérationnel direct : les équipes de sécurité consacrent 42 % de leur temps à enquêter sur des risques qui s’avèrent finalement peu prioritaires ou inexploitables. Ce n’est pas un problème de détection. C’est un problème de qualification et de hiérarchisation. Et pendant ce temps, 84 % des répondants reconnaissent que les cyberattaques exploitent précisément les risques connus mais non priorisés.
La France dans un angle mort particulier
La situation française mérite un éclairage spécifique. Avec 64 % des répondants qui admettent ne pas comprendre pleinement quelles vulnérabilités sont les plus susceptibles d’être exploitées lors d’attaques réelles, la France affiche le plus grand “angle mort en matière d’exploitabilité” de tous les pays couverts par l’étude, devant la moyenne mondiale de 61 %. L’obstacle n°1 identifié n’est pas le manque de compétences, contrairement au Royaume-Uni, mais bien le manque de visibilité sur les risques concrets, cité par 50 % des répondants français, soit le taux le plus élevé de toute la région EMEA.
Plus frappant encore : alors que 78 % des répondants français déclarent avoir une bonne compréhension de la gestion des risques, seuls 26 % disposent d’une vision globale et consolidée de leur exposition, et 38 % seulement ont un programme CTEM pleinement opérationnel. La maturité perçue et la maturité réelle ne se rejoignent pas. Quant à l’IA, les Français sont les moins nombreux à considérer la vérification de l’exploitabilité réelle des menaces comme le domaine qui en bénéficierait le plus : 34 % contre 54 % en moyenne mondiale.
L’automatisation comme seule sortie de crise
Le goulot d’étranglement est clairement identifié : 48 % des organisations s’appuient encore entièrement ou majoritairement sur des processus manuels pour identifier les vulnérabilités, et 45 % font de même pour l’analyse des menaces. 82 % estiment que ces processus manuels compliquent directement la détermination des risques nécessitant une attention immédiate. À cela s’ajoute la pression des alertes, avec 89 % des répondants qui affirment que les réduire aiderait à mieux identifier celles qui représentent un risque réel.
La prise de conscience est là. 88 % des personnes interrogées s’accordent à dire que sans automatisation accrue, les équipes de sécurité ne pourront pas absorber le volume de risques à évaluer. La réponse se dessine du côté de l’IA : actuellement présente dans 37 % des processus de gestion des expositions, son adoption devrait atteindre 59 % d’ici deux ans selon les projections des répondants. 93 % estiment que retarder l’amélioration de la gestion des risques augmente la probabilité d’incidents graves. La fenêtre d’action, elle, se referme.
