Communiqué de presse

Le rapport de Kiteworks sur les Data Forms révèle des failles de sécurité majeures : 44 % des organisations ont subi une violation de données via des formulaires, et 85 % exigent des contrôles de souveraineté des données.

Kiteworks, expert en matière de gestion efficace des risques liés à l’envoi, au partage, à la réception et à l’utilisation de données privées, publie aujourd’hui son rapport 2025 sur la sécurité des données et les risques de conformité : enquête sur les formulaires de données. L’étude menée auprès de 324 professionnels de la cybersécurité, de la gestion des risques, de l’IT et de la conformité révèle une réalité préoccupante : les organisations font face à un écart critique entre leur confiance dans la protection des formulaires web et le nombre réel d’incidents, tandis que les exigences en matière de souveraineté et de chiffrement accélèrent la transition urgente des formulaires web traditionnels vers des formulaires de données sécurisés.

Les résultats de l’enquête dressent un constat alarmant sur la vulnérabilité des formulaires web au sein des entreprises. Bien que 64 % des organisations estiment avoir atteint un niveau de maturité avancé ou de pointe en matière de sécurité, 88 % ont subi au moins un incident de sécurité lié à un formulaire web au cours des deux dernières années, et 44 % ont été victimes de violations de données confirmées via des soumissions de formulaires.

« Les résultats sont sans appel. Il faut cesser d’utiliser les formulaires web traditionnels et adopter des formulaires de données sécurisés, » déclare Tim Freestone, CMO chez Kiteworks. « Cette étude met en lumière une réalité que les responsables de la sécurité soupçonnaient sans pouvoir la quantifier. Les formulaires web classiques sont devenus le maillon faible de la protection des données en entreprise. Les organisations collectent leurs informations les plus sensibles via ces formulaires — dossiers financiers, données de santé, identifiants d’authentification, pièces d’identité officielles — alors que la plupart des solutions existantes privilégient la facilité d’utilisation au détriment de la sécurité. Le secteur doit évoluer et considérer les formulaires non plus comme de simples outils de saisie, mais comme des infrastructures critiques nécessitant une protection de niveau militaire, une souveraineté totale des données et une validation continue de la conformité. »

Paysage des attaques : des menaces persistantes

Le rapport recense des attaques sophistiquées et généralisées ciblant les formulaires web dans tous les secteurs :

• 61 % ont subi des attaques par bots et automatisées saturant les formulaires de trafic malveillant
• 47 % ont été victimes d’injections SQL malgré l’adoption massive des requêtes paramétrées
• 39 % ont rencontré des vulnérabilités XSS (cross-site scripting)
• 28 % ont subi des détournements de session
• 21 % ont été exposés à des attaques de type « man-in-the-middle »

Ces attaques persistent malgré l’adoption généralisée de contrôles de sécurité traditionnels. Les données montrent que ces contrôles existent au niveau des plateformes, mais n’assurent pas une couverture homogène sur les formulaires traditionnels, intégrés ou gérés par les départements.

La souveraineté des données : une exigence incontournable

Le constat le plus marquant de l’enquête : 85 % des organisations considèrent la souveraineté des données comme essentielle ou très importante, et 61 % la jugent strictement nécessaire pour la conformité. Ce besoin reste élevé dans tous les secteurs : gouvernement (94 %), services financiers (93 %), santé (83 %) et technologie (86 %).

« Les résultats sur la souveraineté des données changent radicalement la donne en matière de sécurité des formulaires, » explique Patrick Spencer, SVP of Americas Marketing and Industry Research chez Kiteworks. « Les organisations ne peuvent pas se soustraire au contrôle souverain : elles doivent prouver que les données des citoyens et des clients restent dans les juridictions autorisées. Les solutions traditionnelles ne proposent pas ces fonctions, car elles n’ont jamais été conçues pour l’isolation multi-région ou le déploiement dans des clouds gouvernementaux. Le marché se divise désormais entre les fournisseurs capables de garantir la résidence des données et les autres. »

Complexité réglementaire : segmentation du marché

Les organisations évoluent sous plusieurs cadres réglementaires qui se chevauchent : 92 % doivent être conformes au RGPD, 58 % au PCI DSS, 41 % sont soumises à la HIPAA (97 % dans la santé) et 75 % des entités publiques exigent l’autorisation FedRAMP. Cette convergence réglementaire crée des segments de marché distincts, aux besoins de sécurité très différents.

Le segment à haute sécurité — gouvernement et services financiers — exige l’autorisation FedRAMP, le chiffrement validé FIPS 140-3 et des contrôles stricts de résidence des données. Les agences gouvernementales imposent que 75 % des données restent sur le territoire national, excluant de fait les fournisseurs sans certifications de niveau gouvernemental. Les services financiers présentent le profil de risque le plus élevé (90 % collectent des dossiers financiers, 83 % traitent des cartes de paiement), tandis que la santé gère les données les plus sensibles (97 % collectent des informations médicales protégées). Selon l’étude, 71 % prévoient une mise à niveau dans les six prochains mois, motivés par des incidents récents (82 %) et des exigences réglementaires (76 %).

Détection et réponse : un écart qui fragilise les organisations

L’étude met en lumière un écart opérationnel critique : 82 % des organisations disposent de capacités de détection des menaces en temps réel, mais seules 48 % ont automatisé la réponse aux incidents. Ainsi, environ 34 % détectent les attaques en temps réel, mais s’appuient encore sur des processus manuels — tickets, e-mails, interventions humaines — pour les contenir.

Les organisations qui associent détection en temps réel et réponse automatisée constatent des taux de violation nettement inférieurs et des délais de confinement plus courts. Les données montrent que la détection sans orchestration engendre des retards dangereux, augmentant le risque que des attaques de reconnaissance dégénèrent en violations de données majeures.

La sécurité mobile à la traîne malgré une utilisation massive

Les appareils mobiles constituent désormais le principal canal de soumission des formulaires : 71 % des organisations reçoivent entre 21 % et 60 % des soumissions depuis des mobiles. Pourtant, les contrôles de sécurité spécifiques au mobile accusent un retard important par rapport à ceux des postes fixes. Seuls 23 % considèrent la validation des certificats comme essentielle, et l’authentification biométrique — adoptée par 48 % — est rarement imposée sur les flux à haut risque.

Ce décalage accroît considérablement les risques, car les attaquants ciblent de plus en plus les formulaires à forte utilisation mobile, tels que la vérification d’identité client, la réinitialisation de mot de passe, l’inscription aux avantages sociaux ou les portails de services, où les données sensibles se retrouvent protégées par des défenses côté client plus faibles.

Recommandations clés pour les responsables de la sécurité

Le rapport propose des recommandations stratégiques pour réduire les risques liés aux formulaires, notamment :

• Centraliser la gouvernance de tous les formulaires pour appliquer des standards de sécurité uniformes
• Imposer le chiffrement de bout en bout avec validation FIPS 140-3 et chiffrement au niveau des champs
• Mettre en place des contrôles de souveraineté des données avec des options de déploiement flexibles
• Associer la surveillance en temps réel à une réponse automatisée aux incidents
• Automatiser la génération des preuves de conformité

Le rapport complet 2025 sur les formulaires de données est disponible ici

About Kiteworks

Kiteworks’ mission is to empower organizations to effectively manage risk in every send, share, receive, and use of private data. The Kiteworks platform provides customers with a Private Data Network that delivers data governance, compliance, and protection. The platform unifies, tracks, controls, and secures sensitive data moving within, into, and out of their organization, significantly improving risk management and ensuring regulatory compliance on all private data exchanges. Headquartered in Silicon Valley, Kiteworks protects over 100 million end-users and over 1,500 global enterprises and government agencies.

Contact presse :
Kiteworks Relations presse
press@kiteworks.com
(650) 800-1234