Résilience cyber : combler l’écart de perception entre CEO et RSSI

Une entreprise peut réussir tous ses audits de conformité, déployer tous les contrôles recommandés, et pourtant mettre six mois à se remettre d’un incident cyber majeur. C’est la conclusion dérangeante que révèle la nouvelle étude d’Accenture sur la cyber résilience, une enquête mondiale menée auprès de 1 000 dirigeants du C-level — 505 CEO et 495 RSSI — dans 13 pays début 2026. Le point clé n’est pas que les entreprises sont mal préparées. C’est que les dirigeants pensent être d’accord sur la notion de « préparation », alors que les données prouvent le contraire.

Accenture qualifie cela de faux consensus. CEO et RSSI assistent aux mêmes comités de pilotage, lisent les mêmes rapports au conseil d’administration, et acquiescent au même discours sur la résilience — mais chacun part d’hypothèses incompatibles sur ce qui protège réellement l’entreprise en cas de défaillance des systèmes. Ce décalage compte aujourd’hui plus que jamais. Les modes de rupture ont changé : les modèles d’IA de pointe parviennent désormais à trouver et exploiter des vulnérabilités dès la première tentative dans 83 % des cas, alors que ce taux était quasi nul auparavant, et les attaquants se propagent au-delà du point d’entrée initial en seulement 29 minutes en moyenne.

Pour une plateforme d’échange de données sécurisée Kiteworks, conçue pour gouverner les flux de contenu sensible entre l’organisation et les tiers, cette étude confirme ce que nous affirmons depuis des années : sécuriser uniquement pour empêcher une attaque ne relève pas du même métier que bâtir une organisation capable de continuer à fonctionner — et de prouver ce qui est arrivé à ses données — pendant l’attaque. La suite de cet article détaille à quoi ressemble concrètement ce décalage de perception, pourquoi le modèle axé uniquement sur la protection touche à ses limites, et ce qu’il faut pour combler l’écart entre la vision des dirigeants sur la résilience et ce qui détermine réellement la survie d’une entreprise face à une rupture.

Résumé de l’étude

1. La rupture est devenue la norme, pas l’exception. Selon l’étude 2026 d’Accenture, 87 % des organisations considèrent la cyber-rupture comme une réalité opérationnelle récurrente, et 72 % ne croient plus que la prévention seule puisse l’arrêter.
2. CEO et RSSI répondent à la même enquête avec des hypothèses différentes. Les CEO sont 136 % plus susceptibles que les RSSI de penser que la conformité réglementaire garantit la résilience, et c’est ce décalage de croyance — et non de connaissance — qui freine la reprise.
3. Les attentes en matière de reprise sont fausses de plusieurs mois, pas de quelques jours. Les dirigeants estiment que l’arrêt critique durera 10 jours ou moins ; les données d’Accenture montrent qu’une reprise après incident majeur prend en réalité entre trois et six mois.
4. Les dépendances aux tiers sont désormais un enjeu de résilience, pas seulement de sécurité. 61 % des organisations affirment que leur capacité à maintenir leurs activités dépend de partenaires externes, mais seulement 38 % savent réellement quelles dépendances sont les plus critiques.
5. La résilience est autant une question de gouvernance des données que d’IT. Les organisations qui se relèvent le plus vite sont celles qui savent déjà où se trouvent leurs données sensibles, qui peut y accéder, et comment reconstruire des opérations fiables autour de ces données avant même qu’une rupture ne survienne.

La rupture : une condition permanente de fonctionnement

L’enquête d’Accenture commence par une statistique qui devrait changer la façon dont chaque équipe dirigeante aborde le risque cyber : 87 % des organisations considèrent désormais la cyber-rupture comme une réalité opérationnelle récurrente, et non comme un événement rare et isolé. Près des trois quarts, soit 72 %, vont plus loin et estiment qu’empêcher toute rupture n’est plus réaliste au vu de la complexité de leurs écosystèmes technologiques.

Ce changement n’est pas dû à une baisse de niveau des défenseurs. Il s’explique par l’évolution de l’économie des attaques. Accenture cite le Global Threat Report 2026 de CrowdStrike, qui constate une hausse de 89 % des cyberattaques dopées à l’IA en un an, et une autre étude de CyberGym montrant que les modèles d’IA de pointe réussissent à découvrir et exploiter des vulnérabilités dès la première tentative dans 83 % des cas. Le coût de la découverte d’une faille tend vers zéro, et le délai entre la découverte, l’exploitation et l’attaque est passé de plusieurs semaines à quelques heures. Ajoutez à cela le fait que les attaquants parviennent désormais à se propager au-delà du point de compromission initial en 29 minutes en moyenne, et l’ancienne hypothèse — selon laquelle l’équipe sécurité a le temps de détecter, contenir et réagir avant que les dégâts ne s’étendent — ne tient plus dans la plupart des environnements.

C’est précisément pour cette raison que les organisations s’appuient sur l’architecture Zero trust comme principe fondateur, et non comme une simple case à cocher. Quand la propagation se fait en quelques minutes, « détecter et réagir » doit s’accompagner d’une logique « supposer la compromission et contenir par conception » — segmenter le contenu sensible, appliquer le principe du moindre privilège via des contrôles d’accès, et veiller à ce qu’un identifiant ou un terminal compromis ne puisse pas entraîner une violation généralisée des données. Une plateforme SIEM qui collecte en temps réel la télémétrie de tous les canaux d’accès au contenu constitue la couche de détection qui transforme une fenêtre de 29 minutes en un événement signalé et traçable, au lieu d’un désavantage insurmontable.

La complexité croissante de l’écosystème rend la reprise plus difficile à isoler

L’étude d’Accenture met aussi en lumière une deuxième évolution structurelle : le maillage croissant de services cloud, outils d’IA, plateformes et partenaires tiers dont la plupart des entreprises dépendent désormais pour fonctionner. 69 % des organisations déclarent que leurs opérations reposent de plus en plus sur des écosystèmes numériques internes et tiers complexes, et 61 % affirment que leur capacité à maintenir leurs activités critiques dépend directement de facteurs extérieurs à leur périmètre.

Cette interdépendance a deux faces. Elle est efficace quand tout fonctionne, mais elle complique la gestion de la rupture dès qu’un maillon faillit. 81 % des dirigeants interrogés estiment que gérer une rupture cyber implique désormais de fonctionner en mode dégradé — non plus dans une logique binaire « up » ou « down », mais dans une zone grise où certains systèmes tournent, d’autres non, et où les dirigeants doivent arbitrer en temps réel sur les priorités.

C’est là que la gestion des risques liés aux tiers et la gestion des risques fournisseurs cessent d’être de simples cases à cocher pour devenir un pilier de la résilience. Si un fournisseur, cabinet d’avocats, sous-traitant ou éditeur SaaS accède à vos données sensibles, leur défaillance opérationnelle devient la vôtre. Les organisations qui tiennent un registre gouverné et auditable des tiers ayant accès à quelles données — et qui peuvent révoquer cet accès instantanément — sont celles qui parviennent à contenir un incident tiers, au lieu de le voir se propager dans la chaîne de valeur. Les démarches de gestion des risques supply chain qui cartographient l’accès de chaque fournisseur aux données selon leur criticité opérationnelle fournissent aux équipes résilience l’inventaire priorisé dont elles ont besoin pour isoler les dépendances majeures avant que la rupture n’impose ce choix dans l’urgence.

Le décalage de perception : pourquoi les dirigeants qui pensent comprendre la résilience se trompent encore

C’est ici que l’étude d’Accenture devient inconfortable. 54 % des dirigeants estiment que des contrôles de protection robustes suffisent à garantir la continuité après une attaque. Mais cette croyance n’est pas répartie équitablement : les CEO sont 136 % plus nombreux que les RSSI à penser que la conformité réglementaire seule assure la cyber résilience. Autrement dit, ceux qui décident des budgets de résilience sont, en moyenne, bien plus confiants que les responsables sécurité qui leur reportent — et nettement moins précis.

Le décalage est encore plus flagrant sur les délais de reprise. Accenture a constaté que 81 % des dirigeants estiment que l’arrêt critique des SI durera 10 jours ou moins en cas d’incident grave. La réalité mesurée par Accenture : de trois à six mois pour une reprise effective. Ce n’est pas une simple approximation, mais un écart d’un ordre de grandeur qui influence tout, des décisions d’assurance cyber aux budgets de continuité d’activité, en passant par ce que le conseil d’administration doit attendre en cas de crise. 64 % des répondants déclarent concevoir, gouverner et mesurer la technologie en partant du principe que les systèmes sont généralement stables et disponibles — alors que huit sur dix s’attendent à devoir fonctionner en mode dégradé lors d’une rupture. Les dirigeants planifient donc pour un monde dont ils savent déjà qu’il n’existe pas.

Accenture présente cela comme un défaut structurel plutôt qu’un simple manque de connaissances : les dirigeants croient être alignés sur les priorités de résilience, mais agissent sur la base d’hypothèses incompatibles, jusqu’à la question de la responsabilité. L’enquête montre que la responsabilité de la cyber résilience repose de façon inégale sur le RSSI, avec une répartition fragmentée et chevauchante sur le reste du C-level. Cette fragmentation crée des angles morts qui peuvent transformer un incident technique circonscrit en une crise prolongée à l’échelle de l’entreprise — car personne n’a l’autorité claire pour prendre les décisions de séquencement et d’arbitrage que la reprise impose sous pression. Un plan de réponse aux incidents documenté, qui attribue explicitement ces droits de décision — qui déclare l’incident, qui gère chaque chantier de reprise, quels sont les déclencheurs d’escalade — est l’artefact de gouvernance qui transforme une responsabilité fragmentée en action coordonnée quand la rupture survient.

Six idées reçues qui freinent la résilience réelle des organisations

Le rapport d’Accenture énumère six croyances fortement ancrées chez les dirigeants, mais que les données démentent. Trois concernent directement la gouvernance et la circulation des données sensibles, et méritent d’être examinées de près.

« Nous sommes conformes, donc nous sommes protégés. » 87 % des répondants pensent que la conformité réglementaire garantit la cyber résilience, mais seulement 35 % testent régulièrement cette résilience à travers des exercices réels de reprise et de continuité, au lieu de se limiter aux audits. La conformité réglementaire prouve qu’une organisation respecte un ensemble de règles à un instant donné. Elle ne garantit pas que l’organisation pourra maintenir la circulation du contenu sensible vers les bonnes personnes, sous les bons contrôles, en mode dégradé. Une certification SOC2 Type II ou un audit ISO 27001 réussi n’est qu’un instantané, pas une garantie de continuité opérationnelle. Une analyse de risques formelle qui teste la capacité de reprise en conditions dégradées — et pas seulement le statut des contrôles de conformité — est le complément opérationnel qui transforme la preuve d’audit en véritable assurance de résilience.

« Les tiers sont responsables de leur propre sécurité. » 61 % des organisations affirment que leur capacité à maintenir leurs activités critiques dépend de partenaires externes, mais seulement 38 % ont une vision claire de leur chaîne de valeur et de ses dépendances les plus critiques. Les contrats peuvent attribuer la responsabilité a posteriori. Mais ils ne peuvent pas rétablir un résultat opérationnel partagé en temps réel. Étendre la résilience à toute la chaîne de valeur — et pas seulement à l’intérieur du périmètre de l’entreprise — suppose de savoir précisément quels fournisseurs, sous-traitants et partenaires accèdent à des données réglementées ou sensibles, et de disposer de la gouvernance nécessaire pour isoler ou révoquer cet accès dès qu’un incident survient.

« L’assurance cyber couvrira les impacts. » 60 % des organisations comptent sur l’assurance cyber comme substitut à la résilience, et non comme filet de sécurité financier, alors que le coût total d’une rupture — perte de chiffre d’affaires, indisponibilité, atteinte à la réputation — peut atteindre dix fois le montant indemnisé. L’assurance peut compenser une partie des pertes financières. Elle ne peut pas restaurer la confiance client, réparer une image de marque ou relancer les opérations critiques. Seule l’anticipation et la pratique de la reprise le permettent.

Les trois autres mythes identifiés par Accenture — la protection garantit la reprise, la réponse à incident équivaut à la résilience, et la résilience relève uniquement de l’équipe sécurité — illustrent le même point de fond : une approche centrée sur la prévention répond à une question différente de celle qui conditionne la survie de l’entreprise en cas de rupture.

Protection vs résilience : la vraie différence

Accenture trace une distinction nette entre ces deux notions, et il est important de la rappeler car une grande partie de la confusion de l’enquête vient de leur amalgame. La protection vise à réduire la probabilité qu’une rupture survienne. La cyber résilience, c’est la capacité à maintenir et restaurer rapidement les opérations critiques pendant une rupture, pour protéger la valeur de l’entreprise — que la protection ait fonctionné ou non.

La protection reste nécessaire. La détection et la réponse sur les endpoints, l’authentification multifactorielle et des contrôles stricts de prévention des pertes de données réduisent la probabilité de réussite d’une attaque. Mais selon Accenture, seuls 11 % des dirigeants estiment fermement que la sécurité prédictive et basée sur le contrôle perd en efficacité dans les systèmes complexes — autrement dit, la grande majorité continue de concevoir leurs dispositifs comme si les contrôles allaient tenir, alors même que la même étude montre que la propagation se fait en moins de 30 minutes et que l’exploitation par l’IA atteint des taux inédits. Concevoir la survie, c’est partir du principe que les contrôles finiront par échouer, et bâtir l’infrastructure opérationnelle et data qui permettra à l’entreprise de continuer à fonctionner — et de prouver ce qui s’est passé — quand cela arrive. La minimisation des données appliquée à la portée des accès et à la rétention — c’est-à-dire limiter le volume de contenu sensible accessible à chaque compte ou système — réduit directement l’ampleur des dégâts quand les contrôles de protection échouent.

Cinq actions prioritaires — et le rôle de la gouvernance des données

Accenture propose cinq actions prioritaires aux dirigeants qui veulent combler l’écart entre résilience supposée et réelle : identifier les fonctions les plus critiques et cartographier leurs dépendances dans la chaîne de valeur ; prédéfinir les décisions de reprise — séquencement, autorité, déclencheurs, arbitrages — avant la rupture et non pendant ; bâtir un environnement de reprise capable de fonctionner en conditions hostiles et doté des artefacts nécessaires à la reconstruction ; automatiser la reconstitution pour réduire le délai de reprise de plusieurs semaines à quelques heures ; et tester en continu sur des scénarios réels au fil de l’évolution de l’entreprise.

En regardant de près les troisième et quatrième actions, on voit émerger une problématique de gouvernance des données. Un « environnement de reprise doté des artefacts essentiels à la reconstruction » ne fonctionne que si l’organisation sait réellement où se trouvent ses contenus critiques, qui y a accès légitimement, et si ces contenus et leur historique d’accès sont suffisamment fiables pour servir de socle à la reprise. C’est précisément la discipline de la gouvernance des données et de la classification des données : savoir quelles données sont les plus importantes, les étiqueter en conséquence, et maintenir une traçabilité complète de chaque accès, transfert et modification, afin que la reconstitution puisse s’appuyer sur une base fiable et non devoir tout revérifier dans l’urgence. L’application du contrôle d’accès basé sur les attributs (ABAC) à l’environnement de reprise — restreindre quels rôles peuvent accéder à quels artefacts de reprise, dans quelles conditions — empêche un acteur malveillant d’exploiter le processus de reconstitution comme vecteur d’attaque supplémentaire.

L’automatisation de la reconstitution — quatrième action d’Accenture — repose sur la même base. Impossible d’automatiser la reconstruction d’opérations fiables autour de données qu’on ne sait pas localiser, classifier ou dont on ne peut pas prouver l’intégrité. Les organisations qui centralisent la gouvernance du contenu sensible via un tableau de bord RSSI offrant une visibilité en temps réel sur qui accède à quoi, et qui appliquent le contrôle d’accès basé sur les rôles de façon homogène aux utilisateurs internes comme aux partenaires externes, raccourcissent considérablement leur délai de reprise par rapport à celles qui doivent reconstituer ce panorama a posteriori, incident après incident.

Pourquoi CEO et RSSI doivent s’aligner avant la crise, pas pendant

Le cœur dérangeant de l’étude d’Accenture, c’est que le défaut d’alignement reste invisible tant qu’il n’est pas mis à l’épreuve. CEO et RSSI peuvent tous deux afficher une grande confiance dans la résilience de leur organisation, et se tromper sur les mêmes points — le temps réel de reprise, la répartition des responsabilités, ou la profondeur des dépendances tiers. La solution proposée par Accenture commence par une décision simple, mais déterminante, prise en amont : quel est le périmètre minimal d’activités que l’entreprise doit protéger et rétablir en priorité pour continuer à fonctionner malgré la rupture ?

Répondre à cette question oblige à une discussion que la plupart des organisations, selon les données, n’ont pas réellement eue — non par omission, mais parce que chaque partie suppose à tort que l’autre est déjà d’accord. Réunir CEO et RSSI autour des mêmes données — où se trouvent les informations sensibles, qui en dépend, et dans quels délais elles peuvent être restaurées — remplace le faux consensus par un plan partagé réel. C’est le travail de fond qui permet de bâtir la résilience avant qu’un incident n’impose la discussion sous pression. Un Réseau de données privé qui tient un registre complet et mis à jour en continu de chaque flux de contenu sensible — via la messagerie, le partage de fichiers, le MFT et les formulaires web — offre au CEO comme au RSSI la même vision en temps réel pour élaborer ce plan commun.

Le bénéfice business d’une bonne gestion de la résilience

Le rapport d’Accenture conclut sur un point à prendre au sérieux : les organisations dotées de capacités de résilience matures ne se contentent pas d’éviter le pire, elles affichent aussi de meilleures performances financières et opérationnelles. Le rapport cite une optimisation des dépenses grâce à un équilibre entre investissements en protection et en résilience, des budgets cybersécurité mieux dimensionnés grâce à une vision claire des priorités, et des coûts de conformité réduits par une gouvernance mieux répartie et moins de redondances. Bien menée, la résilience n’est pas un centre de coûts greffé au budget sécurité. C’est une discipline opérationnelle qui s’autofinance par ses gains d’efficacité, avant même la prochaine crise.

Pour les organisations qui repensent la gouvernance de leurs échanges de données sensibles dans cette logique de résilience, la plateforme d’échange sécurisé de Kiteworks centralise la visibilité, la gouvernance des accès et la traçabilité sur tous les canaux de circulation du contenu sensible — messagerie, partage de fichiers, transfert sécurisé de fichiers et formulaires web — afin que le « périmètre minimal à protéger et rétablir en priorité » soit clairement identifié, et non supposé.

Pour en savoir plus sur la gouvernance des échanges de données sensibles dans votre stratégie de cyber résilience, réservez votre démo sans attendre !

Ressources complémentaires

• Article de blog Architecture Zero Trust : ne jamais faire confiance, toujours vérifier
• Vidéo Microsoft GCC High : les inconvénients qui poussent les acteurs de la défense vers des solutions plus intelligentes
• Article de blog Comment sécuriser des données classifiées après détection par DSPM
• Article de blog Instaurer la confiance dans l’IA générative grâce à l’approche Zero Trust
• Vidéo Guide ultime pour le stockage sécurisé des données sensibles à destination des responsables IT