Sécurité des e-mails en 2025 : des résultats clés révèlent que votre secteur et votre localisation déterminent votre niveau de risque

Résumé Exécutif

L’e-mail reste le vecteur d’attaque privilégié des cybercriminels, mais la plupart des organisations abordent la sécurité des e-mails avec des idées dépassées. Une nouvelle étude menée auprès de 461 professionnels de la cybersécurité dans 11 secteurs et 4 régions met en lumière des schémas de vulnérabilité inattendus qui remettent en cause les stratégies de sécurité traditionnelles.

Idée Principale

Votre niveau de risque lié à la sécurité des e-mails dépend de deux facteurs souvent négligés : le secteur d’activité et la localisation. Les données révèlent un écart de risque de 52 % entre les secteurs (Défense & Sécurité à 6,21 contre Sciences de la vie à 4,09) et une différence régionale de 28 % (APAC à 5,73 contre Europe à 4,48). Ces facteurs se cumulent dangereusement : un sous-traitant de la défense en APAC atteint un score de risque effectif de 7,95. Malgré des décennies d’évolution de la sécurité, l’e-mail reste 15,9 % plus risqué que des canaux conçus pour la sécurité comme SFTP, l’architecture même de l’e-mail traditionnel créant des vulnérabilités persistantes que les solutions de sécurité ajoutées ne peuvent pas corriger totalement.

Pourquoi c’est important

Les stratégies de sécurité génériques échouent parce que les attaquants ne ciblent pas au hasard : ils exploitent précisément les vulnérabilités propres à chaque secteur et aux régions les moins protégées. Si vous vous fiez à des référentiels moyens du secteur, vous gaspillez des ressources ou vous laissez des failles dangereuses. Les organisations qui réduisent leur risque de 40 à 60 % appliquent trois pratiques : prévenir les erreurs humaines en amont (et pas seulement bloquer les menaces), mettre en œuvre un chiffrement « zero-knowledge » où même les administrateurs IT n’ont pas accès aux données, et rendre la sécurité invisible pour atteindre 95 % d’adoption. L’élément clé : 60 % des violations démarrent par une erreur humaine, alors que la plupart des organisations se concentrent uniquement sur la détection des menaces entrantes. Comprendre votre position réelle sur la matrice risque secteur-localisation permet d’investir dans des fonctions réellement pertinentes pour votre profil de menace spécifique.

I. Introduction & Résumé des Principaux Résultats

Quand 461 professionnels de la cybersécurité ont révélé les failles de leur organisation en matière d’e-mails, un schéma clair s’est dégagé : selon votre secteur, vous avez 52 % de chances en plus de subir une violation par e-mail — et la plupart des entreprises ignorent dans quelle catégorie elles se situent.

À l’ère où un seul e-mail compromis peut coûter des millions et ruiner une réputation bâtie sur des décennies, connaître le profil de risque de son organisation est devenu fondamental. Ces résultats, issus d’une analyse approfondie de professionnels de la cybersécurité dans 11 secteurs et 4 grandes régions du monde, montrent que le risque lié à la sécurité des e-mails n’est pas universel — il s’agit d’un paysage complexe façonné par des facteurs que la plupart des organisations négligent.

Les données sont sans appel :

• Les organisations de Défense et Sécurité affichent un score de risque de 6,21 — soit 52 % de plus que les entreprises des Sciences de la vie
• Les entreprises basées en APAC ont un score moyen de 5,73 — 28 % plus vulnérables que leurs homologues européennes
• L’e-mail reste 16 % plus risqué que SFTP, malgré des décennies d’évolution de la sécurité

Ce qui frappe, c’est que les organisations qui parviennent à réduire ces risques partagent des approches communes : elles ont mis en place la prévention proactive des erreurs humaines, des architectures de chiffrement « zero-knowledge » et une intégration de la sécurité sans friction qui ne perturbe pas les processus métier. Ces résultats ne se limitent pas à des chiffres — ils fournissent des informations actionnables pour comprendre où se situe votre organisation et quelles fonctions spécifiques peuvent réellement renforcer votre posture de sécurité.

Comment nous avons calculé les scores de risque : notre méthodologie

Les scores de risque présentés dans cette analyse (de 4,09 à 6,21) reposent sur une pondération composite de trois facteurs clés issus de nos 461 répondants :

1. Fréquence des incidents déclarés (pondération 40 %)

• Nombre d’incidents de sécurité des e-mails sur les 12 derniers mois
• Gravité des incidents (violation de données, pertes financières, interruption opérationnelle)
• Délai de détection et de résolution

2. Efficacité des contrôles (pondération 35 %)

• Mise en œuvre de 25 contrôles de sécurité clés (DMARC, chiffrement, DLP, etc.)
• Niveau de maturité de chaque contrôle (aucun, basique, intermédiaire, avancé)
• Taux d’adoption et de conformité des utilisateurs

3. Exposition aux menaces (pondération 25 %)

• Volume des tentatives d’attaque
• Sophistication des attaques subies
• Renseignements sur les menaces propres au secteur
• Données sur le paysage des menaces par région

L’échelle de 1 à 10 :

• 8-10 : Risque critique (incidents fréquents, contrôles faibles, exposition extrême)
• 6-7 : Risque élevé (incidents réguliers, lacunes dans les contrôles, exposition accrue)
• 4-5 : Risque modéré (quelques incidents, contrôles standards, exposition moyenne)
• 1-3 : Risque faible (incidents minimes, contrôles solides, faible exposition)

Modificateurs régionaux : Nous les avons calculés en comparant le score moyen de chaque région au niveau mondial, pour créer des facteurs multiplicateurs (Europe = 0,88x, APAC = 1,28x, etc.). Cela permet aux organisations d’ajuster leur score de risque sectoriel selon leur localisation géographique.

II. Hiérarchie des risques sectoriels : qui est dans le viseur ?

A. Secteurs à haut risque : les cibles privilégiées

Les données révèlent trois secteurs affichant des scores de risque supérieurs à 5,3 :

Défense & Sécurité (6,21) domine notre indice de risque, pour des raisons évidentes. Ces organisations manipulent des informations classifiées, des renseignements militaires et des données d’infrastructures critiques — ce qui en fait des cibles de choix pour les États-nations et les groupes APT. La cohérence entre la moyenne et la médiane (6,21 contre 6,46) montre qu’il ne s’agit pas de cas isolés : tout le secteur fait face à des menaces élevées.

À cette pression s’ajoutent les exigences du CMMC 2.0 (Cybersecurity Maturity Model Certification) du Département de la Défense, qui impose désormais des contrôles spécifiques pour la sécurité des e-mails à tous les sous-traitants gérant des informations non classifiées contrôlées (CUI). Si le CMMC 2.0 fixe un socle de protection, nos données montrent que le respect du minimum réglementaire ne suffit pas : les organisations les plus performantes vont au-delà, en misant sur la prévention proactive plutôt que sur la détection réactive seule.

Pourquoi ? Quand les attaquants savent qu’une organisation détient des données sensibles pour la sécurité nationale, ils investissent davantage pour la compromettre. Les acteurs du secteur qui réduisent leur risque misent sur des systèmes de protection pilotés par l’IA, capables de détecter les attaques sophistiquées avant qu’elles n’atteignent les utilisateurs, associés à une prévention automatisée des pertes de données (DLP) qui analyse chaque communication sortante à la recherche de données confidentielles.

Services professionnels (5,51) — cabinets de conseil, d’expertise comptable, services aux entreprises — détiennent des données clients précieuses. Des plans de fusion-acquisition aux dossiers financiers, ces organisations disposent souvent d’une sécurité plus faible que leurs clients grands comptes, tout en gérant des informations tout aussi sensibles. Elles deviennent ainsi des tremplins idéaux pour des attaques sur la supply chain.

La cause est claire : les attaquants visent le maillon faible. S’ils ne peuvent pas pénétrer directement chez un grand groupe, ils s’attaquent au cabinet de conseil qui a accès aux mêmes données. Les stratégies les plus efficaces observées reposent sur le machine learning pour détecter les risques (e-mails mal adressés, mauvaise gestion des données) avant l’envoi, avec des alertes en temps réel pour éviter les erreurs coûteuses.

Les entreprises technologiques (5,37) font face à un paradoxe : malgré des piles de sécurité sophistiquées et des talents techniques, elles restent des cibles privilégiées. Pourquoi ? Elles traitent d’énormes volumes de données, développent de la propriété intellectuelle de valeur et jouent un rôle clé dans la supply chain numérique. L’écart entre la moyenne et la médiane (5,37 contre 5,81) suggère que certaines entreprises du secteur excellent en sécurité, d’autres beaucoup moins.

B. Secteurs à risque modéré : des cibles constantes

Cinq secteurs se situent dans la zone de risque modéré (5,0-5,3), chacun avec ses défis :

Énergie/Services publics (5,32) : ces organisations sont devenues des cibles en raison de leur rôle dans les infrastructures critiques. Une panne de réseau électrique ou d’eau affecte des régions entières — ce qui attire aussi bien les criminels cherchant une rançon que les États-nations en quête de levier. L’alignement parfait entre la moyenne et la médiane montre un niveau de menace constant dans tout le secteur.

Ces organisations tirent le plus de bénéfices de plateformes unifiées de gouvernance des données centralisant sécurité, journalisation et audit sur tous les canaux de communication. Pourquoi ? Parce que les attaques empruntent souvent plusieurs vecteurs, et une sécurité cloisonnée crée des angles morts.

Les cabinets juridiques (5,18) traitent des informations confidentielles avocat-client, des détails de fusion, des stratégies de contentieux — autant de données convoitées par concurrents et criminels. La médiane élevée (5,64) indique que la plupart des cabinets sont très exposés, quelques exceptions faisant baisser la moyenne.

Les cabinets qui réduisent leur risque misent sur des architectures de chiffrement « zero-knowledge ». Logique : si le cabinet ne peut pas déchiffrer les échanges avec ses clients, les pirates non plus. Associé à des journaux d’audit intégrés et à une preuve légale de remise, ce modèle répond aux enjeux de sécurité et de conformité.

Les services financiers (5,13) bénéficient d’une forte régulation (SOX, PCI-DSS) qui impose des investissements en sécurité, mais restent des cibles de choix pour leur valeur monétaire directe. Leur classement modéré montre que la sécurité imposée par la conformité protège réellement — à condition d’être bien appliquée.

Les institutions financières les plus efficaces conjuguent conformité réglementaire et politiques de sécurité adaptatives, qui imposent dynamiquement chiffrement et DLP selon le comportement utilisateur, la sensibilité du contenu et l’évaluation du risque en temps réel. On dépasse ainsi la conformité « case à cocher » pour une vraie réduction du risque.

C. Secteurs à risque plus faible : toujours concernés

Même les secteurs « moins à risque » affichent des scores préoccupants au-dessus de 4,0 :

Santé (4,80) bénéficie des exigences de conformité HIPAA qui imposent des investissements en sécurité. La proximité entre la moyenne et la médiane traduit une application homogène dans le secteur. Mais ce qui est intéressant : les organisations de santé réussissent avec des solutions qui s’intègrent nativement aux plateformes e-mail existantes comme Outlook ou Gmail.

Pourquoi est-ce important ? Parce que médecins et infirmiers n’utilisent pas les outils qui les ralentissent. Quand la sécurité est invisible et automatique, le taux d’adoption grimpe et le risque baisse.

Sciences de la vie/Pharma (4,09) : c’est le résultat le plus surprenant — le score moyen le plus bas, mais un écart de 1,72 point avec la médiane. Cela montre que le secteur est scindé entre organisations très bien protégées et d’autres quasiment pas.

Encadré sectoriel : Qu’est-ce qui explique ces écarts de risque ? Notre analyse révèle trois facteurs clés :

1. Valeur des données : Plus les données sont précieuses, plus les attaques sont nombreuses. Les secteurs manipulant des données financières, de défense ou de propriété intellectuelle subissent 35 % de tentatives d’attaque en plus.
2. Pression réglementaire : La conformité fonctionne. Les secteurs très régulés affichent des scores de risque 22 % plus bas — mais seulement si la technologie automatise la conformité.
3. Facteur humain : La technologie seule ne suffit pas. Les organisations qui aident leurs collaborateurs à éviter les erreurs constatent 41 % d’incidents en moins que celles qui se contentent de bloquer les e-mails malveillants à l’arrivée.

III. Vulnérabilités géographiques : une cartographie mondiale du risque

A. Classement régional des risques : la localisation façonne la menace

L’analyse géographique met en évidence des écarts nets de risque lié à la sécurité des e-mails :

APAC (5,73 de moyenne, 6,29 de médiane) arrive en tête du classement du risque, et la médiane élevée montre qu’il ne s’agit pas de quelques exceptions : la plupart des organisations de la région font face à des menaces accrues. Pourquoi ? La digitalisation rapide en Australie, Nouvelle-Zélande et Singapour a devancé la maturité de la sécurité. Les entreprises ont adopté l’e-mail et la communication numérique très vite, sans investir proportionnellement dans la sécurité.

Amérique du Nord (5,60 de moyenne, 5,81 de médiane) suit de près. Les États-Unis abritent la plus grande économie mondiale et les entreprises les plus valorisées, ce qui en fait une cible de choix. Les sociétés canadiennes de ressources naturelles accentuent le profil de risque régional. Autre facteur : la prévalence de systèmes hérités difficiles à moderniser avec des fonctions de sécurité récentes.

Europe (4,48 de moyenne, 4,84 de médiane) illustre l’effet d’une régulation qui pousse à l’investissement en sécurité. Le RGPD n’a pas seulement créé des obligations de conformité — il a transformé la perception de la protection des données. Les organisations européennes ont largement adopté des standards de chiffrement flexibles, compatibles avec des protocoles variés et assurant une livraison sécurisée sans friction. Résultat : un risque nettement plus faible.

B. Pourquoi la géographie compte : les quatre piliers du risque régional

1. L’environnement réglementaire crée la culture sécurité
L’avantage de 28 % de l’Europe ne tient pas qu’aux amendes RGPD. Le règlement a instauré une culture où la confidentialité est la norme, la sécurité est financée, et les violations sont inacceptables. Ce changement culturel favorise l’adoption de technologies préservant la vie privée, comme les architectures « zero-knowledge » où seul le propriétaire détient les clés de chiffrement.

2. L’infrastructure régionale façonne les vulnérabilités
Des infrastructures plus récentes dans les pays APAC créent paradoxalement plus de risques. Pourquoi ? Elles ont été conçues pour la rapidité et la connectivité, pas pour la sécurité. L’Europe, elle, a reconstruit ses infrastructures en intégrant la réglementation sur la confidentialité — la sécurité y est native.

3. Les attaquants suivent l’argent
Les entreprises nord-américaines subissent davantage d’attaques, car c’est là que se trouvent les plus grandes richesses. Avec la plus grande économie et la propriété intellectuelle la plus précieuse, la région attire groupes criminels et États-nations. L’équation est simple : plus la récompense est élevée, plus l’investissement dans l’attaque est important.

4. Les attitudes culturelles influencent le comportement utilisateur
En Europe, les employés attendent de la confidentialité et se méfient des e-mails suspects. Dans les régions où la croissance prime, la commodité l’emporte souvent sur la sécurité. Ce facteur humain explique jusqu’à 40 % de l’écart de risque régional.

IV. E-mail vs autres canaux de communication

A. Hiérarchie du risque par canal de communication

Notre analyse révèle des surprises sur la sécurité des différents canaux :

Pourquoi l’e-mail reste vulnérable (5,11)

Le risque de l’e-mail vient de sa conception initiale. Créé en 1971 pour la collaboration académique, il repose sur la confiance par défaut — tout le monde est présumé légitime jusqu’à preuve du contraire. Les fonctions de sécurité modernes sont des ajouts, pas des fondations. Pour réduire réellement le risque, il faut ancrer les principes de « zero trust » et « zero-knowledge » au niveau des données, afin que l’authenticité, l’intégrité et la confidentialité soient structurelles, et non ajoutées après coup. Cette approche centrée sur la donnée répond aux exigences de souveraineté des données en imposant des contrôles d’accès granulaires et en maintenant des traces d’audit conformes à des cadres comme le NIST CSF sur tous les canaux — e-mail, partage de fichiers, formulaires web.

La plupart des organisations mettent en place des protections sortantes ou entrantes, rarement les deux, laissant des failles exploitables. La protection sortante prévient les fuites de données via des analyses et un chiffrement avant que les messages ne quittent le réseau. La protection entrante bloque les menaces comme les malwares et le phishing avant qu’elles n’atteignent les utilisateurs. Sans protection bidirectionnelle, les attaquants cherchent simplement la faille non couverte — c’est pourquoi 60 % des violations réussissent malgré les investissements en sécurité.

Les organisations qui réduisent le mieux le risque e-mail mettent en place une protection bidirectionnelle complète avec accès « zero trust » (authentification continue et contrôles par politique) et chiffrement « zero-knowledge » (seuls les destinataires autorisés peuvent déchiffrer le contenu). Cette approche ferme les failles et répond aux exigences de souveraineté des données via l’application des politiques de résidence des données par région, les règles de flux transfrontaliers et une auditabilité totale.

La surprise : les formulaires web (5,22) sont plus risqués

Les formulaires web présentent un risque supérieur à l’e-mail. Pourquoi ? Car même si l’e-mail a bénéficié de décennies d’évolution sécuritaire, beaucoup de formulaires web sont développés rapidement sans validation des entrées, chiffrement ou traces d’audit. Ils sont souvent oubliés lors des audits de sécurité, jusqu’à la faille.

Le problème va au-delà de la simple négligence. Les formulaires web sont généralement créés par des développeurs focalisés sur la fonctionnalité, pas la sécurité. Contrairement aux protocoles standardisés de l’e-mail (SPF, DKIM, DMARC), chaque formulaire est unique et expose des vulnérabilités spécifiques : stockage en clair, absence de limitation de débit, scripts malveillants acceptés, transmission non chiffrée de données sensibles. Les organisations pensent à tort que les formulaires web sont plus sûrs car « sur leur site », ce qui conduit à une surveillance minimale alors que les attaquants exploitent ces portes d’entrée non gardées.

La solution est claire : il faut des solutions de formulaires web sécurisés, avec les mêmes fonctions avancées que les plateformes modernes de partage de fichiers, de transfert sécurisé de fichiers (MFT) et de communication sécurisée. Cela implique chiffrement intégré, traces d’audit, validation des entrées, analyse DLP et détection des menaces en temps réel — pas de simples formulaires de contact ajoutés à la va-vite. De la même façon qu’on n’utilise pas un e-mail grand public pour des données sensibles, on ne doit pas recourir à des formulaires web basiques quand il existe des alternatives sécurisées de niveau entreprise, sans sacrifier la simplicité d’usage.

Le champion de la sécurité : SFTP (4,41)

SFTP illustre ce qu’apporte une solution conçue pour la sécurité. Avec chiffrement et authentification natifs, il est 16 % plus sûr que l’e-mail. Le défi ? Il faut que l’expéditeur et le destinataire disposent d’un accès SFTP, ce qui le rend peu pratique pour les communications générales.

Cependant, de nombreuses organisations s’appuient encore sur des plateformes de partage de fichiers héritées, qui créent leurs propres vulnérabilités. Ces systèmes souffrent d’un manque de visibilité et de surveillance, rendant la détection des violations quasi impossible avant qu’il ne soit trop tard. Leurs contrôles d’accès sont insuffisamment granulaires, alors que les logiciels clients lourds et les déploiements complexes augmentent le risque de fuite lors de la modification ou du transfert de fichiers. Les mesures censées protéger les données finissent par gêner la collaboration en restreignant la copie, l’édition et le partage externe, créant un faux dilemme entre sécurité et productivité.

L’écart entre plateformes héritées et partage sécurisé de fichiers modernes est flagrant. Les solutions actuelles offrent traçabilité centralisée, contrôles d’accès fins, déploiement fluide et auditabilité totale — tout en préservant l’expérience utilisateur attendue. Elles prennent en charge divers formats sans compromettre la sécurité et assurent la gestion des versions pour répondre aux besoins de collaboration et de conformité. La leçon est claire : la sécurité par conception l’emporte toujours sur la sécurité par restriction.

V. Les schémas cachés : ce que disent vraiment les données

A. Le problème de la variance : pourquoi les moyennes sont trompeuses

Sciences de la vie : deux mondes en un (écart de 1,72 point)

• Risque moyen : 4,09 (le plus bas tous secteurs confondus)
• Risque médian : 5,81 (plus élevé que la technologie !)
• Ce que cela signifie : la moitié du secteur est très bien protégée, l’autre quasiment pas

Ce clivage s’explique : les grands groupes pharmaceutiques, détenteurs de brevets à plusieurs milliards, investissent massivement dans la sécurité — ils n’ont pas le choix. Les start-ups biotech, elles, privilégient la recherche, pas la sécurité IT. Résultat : une moyenne sectorielle qui ne reflète rien d’utile.

Le problème de cohérence de l’éducation (écart de 0,72 point)
Les universités suivent la même logique. Les établissements de recherche bien dotés disposent d’équipes dédiées et d’outils avancés. Les collèges communautaires n’ont parfois qu’un informaticien pour tout gérer. Les écoles primaires et secondaires ? Cibles faciles pour les ransomwares.

La leçon : comparez-vous à vos vrais pairs
Ne vous fiez pas aux moyennes sectorielles — elles masquent la réalité. À la place :

1. Trouvez des organisations de taille et de sensibilité de données comparables
2. Comparez-vous au 75e percentile, pas à la moyenne
3. Gardez en tête : les attaquants ciblent le plus faible, pas la moyenne

B. Quand les risques se multiplient : l’effet cumulatif

Voici ce qui devient intéressant. Quand un secteur à risque opère dans une région à risque, le danger ne s’additionne pas — il se multiplie :

Exemples concrets :

• Sous-traitants défense APAC : 6,21 × 1,28 = 7,95 risque effectif
• Services financiers Amérique du Nord : 5,13 × 1,25 = 6,41 risque effectif
• Santé Europe : 4,80 × 0,88 = 4,22 risque effectif

Pourquoi une multiplication, pas une addition ?
Parce que les attaquants sont stratégiques. Ils cherchent les cibles les plus faciles avec le meilleur retour. Un sous-traitant défense (données sensibles) en APAC (protection réglementaire plus faible) devient bien plus attractif que chaque facteur pris isolément.

VI. Stratégies de sécurité actionnables selon le profil de risque

A. Pour les organisations à risque critique (score 6,0+) : Défense & Sécurité

Si vous êtes dans cette catégorie, la sécurité traditionnelle ne suffit pas. Il vous faut :

1. Prévention, pas seulement détection. Stoppez les violations avant qu’elles ne surviennent :

• Machine learning pour détecter les e-mails mal adressés avant envoi
• Alertes en temps réel avant l’envoi de données sensibles non sécurisées
• Analyse comportementale pour repérer les anomalies

Pourquoi ça marche : la plupart des violations démarrent par une erreur humaine. Corriger les erreurs avant qu’elles ne deviennent des incidents réduit le risque de plus de 40 %.

2. Architecture « zero-knowledge ».
Si vous ne pouvez pas lire, les pirates non plus :

• Chiffrement de bout en bout où seuls les destinataires détiennent les clés
• Impossible pour les administrateurs IT de déchiffrer les messages
• Modules matériels de sécurité pour protéger l’infrastructure de clés

Pourquoi ça marche : même si les attaquants compromettent vos systèmes, ils n’obtiennent rien d’exploitable.

3. Sécurité unifiée sur tous les canaux
Arrêtez de courir après les failles :

• Une politique unique pour l’e-mail, le transfert de fichiers et la messagerie
• Journalisation et audit homogènes
• Un point de surveillance pour tous les risques de communication

Pourquoi ça marche : les attaquants cherchent le canal le plus faible. Une sécurité cohérente élimine les cibles faciles.

B. Pour les organisations à haut risque (5,3-5,9) : Technologies, Services professionnels, Énergie

Vous avez besoin d’une sécurité de niveau entreprise qui ne freine pas l’activité :

1. IA qui comprend votre métier

• Analyse les schémas de communication habituels
• Détecte les comportements inhabituels sans fausses alertes
• S’adapte automatiquement aux nouvelles menaces

Conseil de mise en œuvre : commencez par une phase d’apprentissage où l’IA observe sans bloquer. Cela réduit de 70 % les faux positifs.

2. Sécurité invisible pour l’utilisateur

• S’intègre à Outlook, Gmail, Microsoft 365
• Pas de mots de passe ou portails supplémentaires
• Chiffrement automatique selon le contenu

Indicateur de réussite : si les utilisateurs se plaignent de la sécurité, c’est qu’elle n’est pas optimale. Une bonne sécurité est invisible.

3. Conformité sans complexité

• Classification automatique des données réglementées
• Rapports de conformité en un clic
• Prise en charge native des réglementations de votre secteur

Réalité : la conformité manuelle coûte cher et laisse passer des risques. L’automatisation s’amortit par les amendes évitées.

C. Pour les organisations à risque modéré (4,5-5,3) : l’approche équilibrée

Vous avez besoin d’une sécurité solide sans les coûts d’une grande entreprise :

1. Les fondamentaux intelligents

• Authentification des e-mails (SPF, DKIM, DMARC) bien configurée
• Authentification multifactorielle standard pour tous
• Formation à la sensibilisation à la sécurité régulière

Erreur fréquente : disposer de ces outils mais mal les configurer. Un DMARC en mode surveillance ne protège pas.

2. Protection ciblée

• Sécurité renforcée pour les dirigeants et la finance
• Analyse automatique des e-mails liés aux paiements
• Surveillance accrue lors des périodes à risque

Pourquoi ça marche : on ne peut pas tout protéger de la même façon. Concentrez-vous sur ce qui intéresse le plus les attaquants.

3. Gestion des fournisseurs

• Exigences de sécurité dans tous les contrats
• Évaluation régulière des risques tiers
• Obligation de notification d’incident

À retenir : la sécurité de vos fournisseurs, c’est aussi la vôtre. Un partenaire faible peut tout compromettre.

VII. Anticiper l’avenir de la sécurité des e-mails

A. Ce qui arrive : la prochaine vague de menaces

Attaques générées par l’IA (déjà une réalité) Les attaquants utilisent désormais l’IA pour :

• Rédiger des e-mails de phishing parfaits dans toutes les langues
• Imiter le style d’écriture des dirigeants
• Générer des deepfakes audio pour l’hameçonnage vocal
• Choisir le moment idéal pour attaquer

Stratégie de défense : combattez l’IA par l’IA. L’examen humain ne suffit pas à détecter les menaces générées par l’IA à grande échelle.

Informatique quantique (dans 3 à 5 ans) Quand les ordinateurs quantiques arriveront :

• Le chiffrement actuel deviendra obsolète
• Les anciens e-mails chiffrés pourront être lus
• Le déchiffrement en temps réel sera possible

Stratégie de défense : commencez dès maintenant la migration vers un chiffrement résistant au quantique. Il est compatible avec les systèmes actuels et protège contre les menaces futures.

Attaques sur la supply chain (en forte hausse) Les attaquants visent de plus en plus :

• Les fournisseurs pour atteindre les vraies cibles
• Un seul compromis pour en toucher plusieurs
• Des relations de confiance utilisées comme armes

Stratégie de défense : appliquez vos exigences de sécurité à tous vos partenaires. Faites confiance, mais vérifiez — toujours.

B. Construire une sécurité des e-mails résiliente

L’architecture de demain inclut :

1. Analyse prédictive du risque : IA qui prévient les attaques avant leur lancement
2. Protection contextuelle : Sécurité qui s’adapte à l’utilisateur, au contenu et au niveau de menace
3. Sécurité pilotée par API : Protection qui suit les données partout
4. Chiffrement résistant au quantique : Protection pérenne dès aujourd’hui

VIII. Conclusion & prochaines étapes

Notre analyse de 461 organisations montre que le risque lié à la sécurité des e-mails varie fortement selon le secteur (écart de 52 %) et la géographie (28 %). Mais les données tracent aussi une voie claire pour avancer.

Ce qui réduit réellement le risque :

• Prévenir les erreurs humaines en amont (réduction de 41 %)
• Rendre la sécurité invisible pour l’utilisateur (95 % d’adoption contre 30 %)
• Unifier la sécurité sur tous les canaux (élimine les failles)
• Utiliser l’IA contre les menaces pilotées par l’IA (indispensable contre les attaques modernes)
• Déployer des architectures « zero-knowledge » (protège même en cas de violation)
• Mettre en place un réseau de données privé avec une gouvernance avancée

Les organisations les plus performantes vont au-delà des solutions ponctuelles pour adopter des réseaux de données privés qui unifient sécurité et gouvernance sur tous les canaux de communication. Cette approche considère l’e-mail, le partage de fichiers, les formulaires web et le transfert sécurisé de fichiers comme les composantes d’un même écosystème de données, et non comme des outils isolés. En appliquant des politiques de sécurité avancées cohérentes, en maintenant des traces d’audit unifiées et en imposant la souveraineté des données sur tous les canaux, les organisations éliminent les failles exploitées par les attaquants tout en simplifiant la conformité et en réduisant la complexité opérationnelle.

Le rapport complet, incluant la méthodologie détaillée et des analyses sectorielles complémentaires, sera publié en août 2025. Les organisations souhaitant se comparer à ces résultats doivent se concentrer sur des fonctions qui couvrent à la fois les aspects technologiques et humains de la sécurité des e-mails dans un cadre de gouvernance unifié.

À retenir : dans le contexte actuel, la question n’est pas de savoir si vous serez ciblé — mais si vous serez prêt. Les données montrent que la préparation ne dépend pas du nombre d’outils, mais des bonnes fonctions, bien mises en œuvre, avec l’adoption utilisateur intégrée dès le départ — le tout au sein d’un réseau de données privé qui garantit visibilité, contrôle et protection sur chaque canal de communication.

Ces résultats sont issus d’une analyse approfondie de 461 professionnels de la cybersécurité dans 11 secteurs et 4 régions du monde, réalisée en avril 2025. Les scores de risque ont été calculés selon une méthodologie pondérée basée sur la fréquence des incidents, l’efficacité des contrôles et l’exposition aux menaces. Le rapport complet avec la méthodologie détaillée sera publié en août 2025.

Ressources complémentaires

• Article de blog Zero Trust Architecture : Never Trust, Always Verify
• Vidéo Comment Kiteworks fait avancer le modèle Zero Trust de la NSA au niveau de la donnée
• Article de blog Étendre le Zero Trust à la couche contenu : ce que cela signifie
• Article de blog Renforcer la confiance dans l’IA générative grâce à une approche Zero Trust
• Vidéo Kiteworks + Forcepoint : démonstration de la conformité et du Zero Trust à la couche contenu