Les ransomwares peuvent paralyser une entreprise en quelques minutes, et les tentatives d'hameçonnage – qui s'appuient sur l'IA générative – sont plus insidieuses que jamais, échappant même aux regards les plus attentifs et aux défenses les plus vigilantes. À l'approche de l'année 2025 , les responsables de la sécurité de l'information d', , sont confrontés à un dilemme : comment se défendre contre des menaces incessantes avec des budgets modestes.
Ce n’est pas que ces RSSI ne soient pas dotés d’un budget suffisant. La plupart des experts du secteur estiment que les dépenses en cybersécurité représentent entre 9 % et 20 % des budgets informatiques les plus importants. Il y a quelques années à peine, ces budgets affichaient des taux de croissance à deux chiffres, les entreprises cherchant à garantir que leurs collaborateurs, soudainement en télétravail, puissent travailler dans les meilleures conditions de sécurité et de protection possibles.
Cette époque est désormais clairement révolue, comme le montrent les budgets consacrés à la cybersécurité, qui mettent en évidence de nouveaux défis majeurs pour les équipes d' s de sécurité.
Cette année, par exemple, les RSSI ont vu leurs budgets consacrés à la cybersécurité augmenter en moyenne de 8 %, contre des hausses de 16 % et 17 % en 2021 et 2022 respectivement, selon une récente enquête « IANS + Artico Search » disponible à l'adresse.
Face à ces augmentations modestes et à l'incertitude économique, les responsables de la sécurité ont dû faire preuve d'une plus grande discernement dans l'affectation des fonds. Selon l'enquête, les dépenses de personnel représentaient environ un tiers (37 %) du budget moyen en 2024. Pourtant, l'enquête a révélé que la hausse des effectifs est passée de 31 % à 12 % cette année. Les coûts liés aux logiciels hébergés et à l'externalisation représentent 43 % supplémentaires. En comparaison, la formation « » ( ) – qui constitue une ligne de défense essentielle à l’ère du phishing basé sur l’IA – a représenté 4 %, selon l’étude menée par IANS et Artico Search.
Pour de nombreux responsables de la sécurité des systèmes d'information (RSSI), la consigne est claire : défendre les remparts tout en maîtrisant les coûts – un défi qui exige de rendre des comptes pour chaque dollar dépensé.
« Les dépenses en matière de sécurité constituent un élément essentiel des budgets informatiques, mais nous constatons encore que les responsables de la sécurité des systèmes d'information (RSSI) sont contraints de justifier le retour sur investissement de chaque dollar dépensé », note Frank Dickson, analyste en cybersécurité chez IDC.
Where to allocate cybersecurity budget in 2025
Alors, les RSSI s'y prennent-ils correctement ? Oui, dans l'ensemble – du moins du point de vue de la gestion financière. Mais si les équipes chargées de la sécurité n'adaptent pas leurs dépenses à certaines tendances clés, elles pourraient avoir du mal à y faire face à l'avenir – et ce, à un coût bien plus élevé.
«Les dépenses en matière de sécurité constituent un élément essentiel des budgets informatiques, mais nous constatons encore que les RSSI sont contraints de justifier le retour sur investissement de chaque dollar dépensé. »Frank Dickson, analyste en cybersécurité chez IDC
Voici cinq éléments à prendre en compte qui devraient guider chacune de vos décisions budgétaires à l'approche du nouvel exercice :
1. Solutions d'authentification multifactorielle (MFA) résistantes au phishing et solutions sans mot de passe
Les méthodes traditionnelles d'authentification multifactorielle (MFA) sont de plus en plus remises en cause. Les attaques de type « MFA bombing », les attaques de type « man-in-the-middle » et les nouvelles tactiques d'ingénierie sociale de type « » ont mis en évidence les failles de ce qui constituait autrefois la solution de sécurité incontournable.
, de Forrester, recommande aux organisations de la « » d'utiliser des applications d'authentification multifactorielle (MFA) intégrant des couches de « correspondance de chiffres » en complément des mots de passe à usage unique (OTP) , à titre de mesure provisoire. La vérification par code numérique est une fonctionnalité de sécurité MFA dans le cadre de laquelle les utilisateurs reçoivent une notification push leur demandant de saisir une série de chiffres pour s'authentifier.
Forrester recommande également d’adopter des solutions d’authentification multifactorielle (MFA) résistantes au phishing, reposant sur des schémas de cryptographie à clé publique, comme « FIDO2 » (), une norme ouverte pour l’authentification sans mot de passe ( ) qui sous-tend les « passkeys » – des identifiants numériques permettant aux utilisateurs de se connecter à des sites sans nom d’utilisateur ni mot de passe.
Une stratégie MFA efficace nécessitera une part plus importante du budget, mais la réduction du risque de vol d'identifiants et la prévention des intrusions réussies devraient largement justifier cette dépense.
2. Intégration des plateformes et consolidation des outils
La prolifération des outils est un effet secondaire coûteux lié à la croissance rapide des investissements en matière de sécurité. Disposant de nombreux outils couvrant diverses fonctions, les équipes de sécurité ont souvent besoin d'aide pour gérer et optimiser leur ensemble d'outils. Selon une récente enquête menée par Gigamon, , 76 % des responsables de la sécurité des systèmes d'information (RSSI) se sentent submergés par le volume de menaces auxquelles ils sont confrontés au quotidien. En conséquence, six RSSI sur 10 ont cité la consolidation et l'optimisation des outils comme leur priorité absolue pour combler les lacunes de sécurité.
En regroupant leurs outils et en investissant dans des plateformes bien intégrées à leur infrastructure existante, les entreprises peuvent réduire la complexité opérationnelle, améliorer les délais de réponse, accélérer la détection et la correction des incidents, rendre l'automatisation plus efficace et permettre à leur personnel de se consacrer à des projets ou à des tâches plus prioritaires.
« De nombreux responsables de la sécurité des systèmes d'information (RSSI) cherchent à optimiser leur ensemble d'outils », explique Nick Kakolowski, directeur de recherche senior chez IANS. « Les pressions financières ont suscité un intérêt pour la consolidation. » Parallèlement, les effectifs limités pour tirer pleinement parti des outils poussent les équipes à rechercher des moyens de réduire la prolifération des systèmes et d’automatiser les processus. »
3. Automatisation : faire plus avec moins
Les contraintes en matière de personnel sont bien réelles, et les RSSI en sont conscients. L'automatisation est essentielle pour que les équipes de sécurité puissent maintenir le même niveau de protection avec moins de personnel.
«Les pressions financières ont suscité un intérêt pour… les moyens de limiter l’étalement urbain et d’automatiser les processus. »Nick Kakolowski, directeur de recherche senior, IANS
M. Dickson recommande de privilégier les outils qui améliorent les capacités de détection et rationalisent les interventions, ce qui permet de réduire le délai moyen de détection (MTTD) et le délai moyen de réparation (MTTR) . « L’automatisation ne consiste pas seulement à investir dans des outils ; il s’agit d’investir dans des outils qui vous permettent de réaliser des économies ailleurs, par exemple en ralentissant la croissance des effectifs », explique-t-il.
L'IA générative est un domaine dans lequel l'automatisation semble prometteuse. Qu'il s'agisse d'automatiser l'analyse des menaces ( ) ou de trier les alertes, les outils d'IA peuvent aider les équipes de sécurité à gérer les menaces sans augmenter leurs effectifs. Toutefois, les responsables de la sécurité des systèmes d'information doivent faire preuve de prudence. Les outils de GenAI doivent être intégrés avec soin dans les environnements de sécurité existants, car leur efficacité repose sur une interaction fluide avec d'autres plateformes.
4. Accordez la priorité à la formation et à la sensibilisation aux menaces internes
Les cybercriminels utilisant l'intelligence artificielle pour concevoir des tentatives d'hameçonnage ultra-réalistes et automatiser leur envoi à grande échelle vers des adresses e-mail, un faible investissement dans la gestion humaine des risques pourrait constituer une faille fatale dans la stratégie d'une organisation. Après tout, ce sont souvent les personnes qui constituent le maillon faible en matière de sécurité au sein de toute organisation.
« La formation doit constituer un volet essentiel de tout budget consacré à la cybersécurité », déclare M. Dickson.
Plus que jamais, les simulations de hameçonnage, l'analyse comportementale « » et les outils de gestion des risques liés au facteur humain devraient être mis en œuvre régulièrement au sein de chaque organisation. Des programmes de formation renforcés, axés sur la détection et la prévention des tentatives d'hameçonnage basées sur l'IA, peuvent permettre aux collaborateurs de jouer leur rôle de première ligne de défense. La mise en œuvre de politiques visant à surveiller les activités des personnes internes et le recours à l'analyse comportementale pour signaler les actions inhabituelles peuvent également contribuer à détecter les menaces internes avant qu'elles ne s'aggravent.
5. Sécurité du cloud et observabilité approfondie
L'adoption généralisée des environnements cloud hybrides et « » rend indispensable la visibilité sur l'ensemble des flux de données, mais la plupart des entreprises doivent encore améliorer leur maîtrise en la matière. Selon l'enquête Gigamon, huit CISO sur 10 , par exemple, citent les angles morts au sein de l'infrastructure cloud hybride comme l'une de leurs principales préoccupations.
Les RSSI n'ignorent bien sûr pas cette réalité fondamentale concernant le cloud : une observabilité approfondie a un coût élevé.
Pourtant, elle est de plus en plus considérée comme un pilier fondamental de la sécurité dans les environnements hybrides. Près de 85 % des RSSI interrogés dans le cadre de l'enquête Gigamon ont souligné l'importance des données au niveau des paquets pour identifier les cybermenaces en temps réel, mettant ainsi en évidence la nécessité de disposer de solutions de surveillance performantes dans le cadre de 2025 budgets.
Les principes fondamentaux du budget dédié à la cybersécurité : aligner les risques cybernétiques sur les objectifs de l'entreprise
Aucun responsable de la sécurité des systèmes d'information (RSSI) ne devrait établir son budget en fonction de ces priorités à court terme. En effet, l'une des erreurs les plus graves commises par les responsables de la sécurité consiste à considérer les budgets comme des dotations annuelles au lieu de les intégrer dans des plans stratégiques pluriannuels, explique M. Dickson. « En adoptant des cycles de planification de trois à cinq ans, les RSSI pourront mieux aligner leurs investissements en matière de sécurité sur les objectifs de l'entreprise, ce qui permettra à chaque dollar d'apporter une valeur mesurable », ajoute-t-il.
Pour l'exercice 2025, les RSSI devront trouver un équilibre entre les besoins immédiats et les stratégies à long terme, en réaffectant les ressources à l'authentification multifactorielle (MFA) résistante au phishing, à l'intégration des plateformes, à l'automatisation, à la formation des collaborateurs et à la sécurité dans le cloud, non seulement pour se prémunir contre les menaces croissantes, mais aussi pour démontrer que les investissements en cybersécurité contribuent à la résilience et à la croissance future de l'entreprise.
