Les fournisseurs de cloud font passer leurs priorités d’une sécurité robuste à l’innovation en matière d’IA.
L’infrastructure cloud a gagné son statut de technologie d’entreprise en offrant une sécurité, une évolutivité et une efficacité opérationnelle de classe mondiale. Cette promesse a joué un rôle important en aidant les plateformes de cloud public à conquérir les entreprises qui étaient réticentes à abandonner leurs systèmes sur site. Mais ce qui rendait le cloud digne de confiance est en train d’être mis de côté. Aujourd’hui, l’énergie, le talent et le capital qui alimentaient autrefois l’innovation en matière de sécurité sont canalisés vers l’intelligence artificielle.
L’IA est passionnante. Elle peut automatiser les flux de travail, optimiser les décisions et ouvrir de nouveaux canaux de revenus. Mais cela ne justifie pas d’ignorer la sécurité. Un système fondamentalement non sécurisé est un système auquel vous ne pouvez pas faire confiance, quelle que soit l’avancée de la couche d’IA qui le recouvre. En ce moment même,
Selon le rapport « State of Cloud and AI Security 2025 » de la Cloud Security Alliance et de Tenable, 55 % des entreprises exécutent activement des charges de travail d’IA. C’est un chiffre important. Et si les fournisseurs conçoivent leurs plateformes en fonction de la croissance de l’IA tout en accordant moins d’importance aux opérations de sécurité, le résultat net est une infrastructure plus puissante et nettement plus exposée.
La conclusion est simple : la sécurité du cloud n’évolue pas automatiquement avec l’innovation des plateformes. Elle nécessite un réinvestissement délibéré. Si les fournisseurs de clouds continuent d’en faire une priorité, ils risquent de perdre la confiance qui les a rendus viables pour les charges de travail d’entreprise à grande échelle.
La prévalence croissante des environnements hybrides et multiclouds
Nous ne sommes plus dans un monde où les entreprises utilisent un seul fournisseur de cloud. L’environnement actuel est
hybride et multicloud,
82 % des entreprises mélangent des systèmes sur site avec du cloud public, et 63 % travaillent avec plusieurs fournisseurs. Cela signifie que l’entreprise moyenne gère environ 2,7 environnements cloud distincts.
Cette tendance est logique. Les différents clouds offrent des atouts différents, et les entreprises veulent de l’agilité. Mais ce choix s’accompagne d’une certaine complexité. Ces systèmes ne s’intègrent pas facilement. Les contrôles diffèrent. La visibilité diminue. Et en cas de panne, vous ne disposez pas d’un tableau de bord unique pour comprendre ce qui n’a pas fonctionné.
Du point de vue de la direction, ce qui compte, c’est que votre surface de risque est désormais plus grande. Les outils de sécurité traditionnels n’ont pas été conçus pour protéger ce type de configuration fragmentée. La plupart sont construits autour de modèles centralisés, et non d’environnements répartis sur trois clouds et un tas de centres de données hérités. Donc, à moins d’investir dans une sécurité cloud-native coordonnée, et de vous assurer que vos équipes savent comment opérer à travers les systèmes cloud, vous continuerez à vous heurter à des angles morts. Et les angles morts vous coûtent cher.
L’étude confirme le défi. Les échecs de l’IAM sont très répandus dans ces configurations, les équipes s’efforçant de gérer les accès et les identités de manière cohérente sur toutes les plates-formes. Cela signifie plus de permissions non gérées, plus de mauvaises configurations, plus de fuites potentielles.
Ainsi, si l’hybride et le multicloud vous apportent de la flexibilité, ils exigent également un cadre d’investissement plus intelligent en matière de sécurité. Si vous n’en tenez pas compte, la complexité érodera l’avantage que vous pensiez avoir acquis.
Les défaillances dans la gestion des identités et des accès (IAM) sont les maillons les plus faibles
Le contrôle d’accès est le fondement de la sécurité de votre entreprise. Sans lui, toutes les autres couches de sécurité s’affaiblissent. Et dès maintenant,
gestion des identités et des accès
ce que la plupart appellent IAM, est un point défaillant dans les infrastructures cloud modernes.
Selon le dernier rapport de la Cloud Security Alliance et de Tenable, 59 % des entreprises identifient les identités non sécurisées et les autorisations d’accès risquées comme leur principale préoccupation en matière de sécurité du cloud. Il ne s’agit pas de faux pas anodins. Nous parlons d’autorisations excessives, d’une mauvaise application des cadres de moindre privilège et de politiques incohérentes entre les plateformes cloud.
Cela n’est pas dû à un manque de sensibilisation. La plupart des équipes comprennent l’importance de l’IAM. Le problème est d’ordre opérationnel. Dans les configurations hybrides et multiclouds, les responsabilités IAM sont réparties entre les équipes, la sécurité, DevOps et les opérations de la plateforme. Cela conduit à un désalignement dans l’application des politiques et la visibilité. Les mesures qui comptent réellement, comme l’utilisation abusive des privilèges, les comptes dormants ou les anomalies d’accès en temps réel, ne sont pas suivies de manière cohérente. En conséquence, la prolifération des identités s’accroît plus rapidement qu’elle ne peut être contenue.
Les dirigeants doivent considérer l’IAM non pas comme une liste de contrôle, mais comme un impératif de contrôle. Ce n’est pas très excitant, mais cela réduit considérablement les risques si c’est fait correctement. La clé réside dans la cohérence opérationnelle, la clarté des rôles, l’application stricte des autorisations et la centralisation de la surveillance. Si vous y parvenez, le reste de votre dispositif de sécurité sera plus efficace. Si vous vous trompez, vous offrez aux pirates un accès direct à vos données.
Les mesures de sécurité réactives actuelles sont insuffisantes pour faire face aux menaces modernes liées au cloud.
Aujourd’hui, la plupart des mesures de sécurité du cloud en entreprise sont réactives. Les entreprises examinent les journaux après un incident. Elles suivent la fréquence et l’impact des brèches et en rendent compte une fois que le mal est fait. Cela doit changer.
Les recherches le confirment. Les organisations ont signalé en moyenne deux failles de sécurité liées au cloud en l’espace de 18 mois. Les causes les plus fréquentes ? Des systèmes mal configurés et des autorisations excessives. Il ne s’agit pas d’attaques sophistiquées, mais de simples oublis. Il s’agit de simples oublis, et c’est bien là le problème.
Les mesures de sécurité s’appuient fortement sur le signalement de la gravité des incidents plutôt que sur la réduction de l’exposition. Cela ne suffira pas dans un environnement sans périmètre et axé sur les API. Les menaces modernes liées au cloud évoluent rapidement et les attaquants ciblent les points faibles connus, les identifiants, les chemins d’accès et les actifs mal gérés. Si vous commencez à réagir après une alerte de violation, vous êtes déjà en retard.
Les dirigeants doivent promouvoir des stratégies de sécurité proactives. Cela signifie qu’il faut utiliser les données pour renforcer l’infrastructure avant qu’elle ne tombe en panne. Cela signifie qu’il faut investir dans des outils qui vous donnent une visibilité en temps réel sur les schémas d’abus ou les configurations non approuvées. Et cela signifie qu’il faut cesser de croire que les paramètres par défaut de la plateforme sont suffisants. Ce n’est pas le cas.
En d’autres termes, la prévention est moins coûteuse que la réaction. Si votre stratégie de sécurité est encore axée sur les rapports plutôt que sur la posture, changez cela.
Les applications de l’IA introduisent de nouvelles vulnérabilités
L’intelligence artificielle se développe rapidement dans les systèmes d’entreprise. De l’automatisation et de l’analyse au contenu génératif et à la modélisation avancée, l’IA est déployée plus rapidement que la plupart des équipes ne peuvent la sécuriser. C’est là que le bât blesse.
Les charges de travail d’IA n’existent pas dans le vide. Elles ont des dépendances logicielles, des pipelines d’infrastructure et des profils de données uniques. Lorsque ceux-ci sont mal configurés, ou pas du tout sécurisés, ils introduisent de nouveaux points d’entrée pour les attaquants. Le récent rapport de la Cloud Security Alliance et de Tenable montre que 34 % des organisations qui adoptent l’IA ont déjà subi des brèches liées à l’IA. Il ne s’agit pas de risques théoriques. Il s’agit de failles actives, allant des menaces d’initiés aux API mal configurées et aux déploiements de modèles défectueux.
Le problème réside dans les priorités. La plupart des organisations consacrent des efforts au développement de capacités basées sur l’IA tout en négligeant les pratiques fondamentales de sécurité de l’IA, telles que le cryptage des données utilisées dans l’entraînement, la validation des autorisations dans les pipelines de ML ou le test de l’intégrité des modèles pendant le déploiement. Ces lacunes laissent la place à l’exploitation, à la manipulation et à la corruption des résultats.
Les dirigeants de la suite devraient traiter les charges de travail d’IA comme des actifs de grande valeur, car c’est ce qu’elles sont. Si leur infrastructure est vulnérable ou si leurs résultats peuvent être manipulés, cela compromet la confiance entre les unités commerciales et les canaux de clientèle. La sécurisation de l’IA nécessite à la fois des investissements techniques et l’application de politiques. Ne vous attendez pas à ce que l’innovation réussisse si vous ne tenez pas compte des risques inhérents aux plateformes qui l’alimentent.
Le décalage stratégique entre les fournisseurs de cloud et les besoins des entreprises amplifie les cyber-risques.
L’échec de la sécurité du cloud n’est pas seulement dû à un mauvais outillage, mais aussi à un mauvais alignement. Les entreprises et les fournisseurs de cloud ne fonctionnent pas avec les mêmes priorités, et cela se voit.
Selon l’étude CSA et Tenable, seulement 20 % des entreprises accordent la priorité à l’évaluation unifiée des risques dans l’ensemble de leurs environnements ; seulement 13 % consolident les outils. Cela signifie que la plupart des organisations appliquent des stratégies fragmentées dans des configurations hybrides et multiclouds. Pendant ce temps, les fournisseurs de cloud continuent de promouvoir des capacités axées sur la mise à l’échelle de l’IA et la fourniture de services spécifiques à la plateforme, et non sur l’aide à apporter aux clients pour mettre en œuvre des architectures entièrement sécurisées et cohésives.
De nombreuses entreprises se sont trop reposées sur les outils de sécurité par défaut fournis par les vendeurs de cloud, pensant qu’ils étaient suffisants pour assurer une protection à grande échelle. Cette hypothèse n’est plus valable. La complexité de l’architecture actuelle crée davantage d’angles morts, et ceux-ci ne seront pas couverts par des contrôles génériques ou statiques. Ajoutez à cela le fait que 31 % des entreprises estiment que leurs dirigeants ne savent pas clairement comment fonctionne la sécurité du cloud, et le risque devient plus évident.
Les dirigeants doivent prendre en charge l’alignement de l’appétit pour le risque, des modèles opérationnels et des protocoles de surveillance sur l’écosystème en évolution du cloud. Pour ce faire, ils doivent aller au-delà des paramètres par défaut des fournisseurs et mettre en place des cadres de sécurité qui correspondent aux configurations réelles qu’ils utilisent. Plus l’alignement entre les opérations commerciales et l’architecture de sécurité est important, plus l’espace est réduit pour les lacunes qui causent des dommages. En d’autres termes, c’est en réduisant la distance entre les priorités de l’entreprise et la réalité technique que l’on renforce la résilience de l’entreprise.
Principaux faits marquants
- La sécurité du cloud perd sa priorité au profit de la croissance de l’IA : Les fournisseurs de cloud investissent massivement dans l’IA tout en laissant stagner les fonctions de sécurité de base. Les dirigeants devraient pousser les fournisseurs à maintenir la sécurité de l’infrastructure comme un premier principe, et non comme une réflexion après coup.
- La complexité des environnements hybrides et multiclouds accroît la vulnérabilité : La plupart des entreprises gérant plusieurs environnements cloud, les outils traditionnels ne suffisent pas. Les dirigeants doivent investir dans des cadres de sécurité intégrés qui couvrent les systèmes cloud et sur site.
- La mauvaise gestion des identités et des accès constitue un risque critique : Une mauvaise application de l’IAM et des permissions excessives sont les principaux facteurs de violation dans les environnements cloud. Les dirigeants doivent exiger une gouvernance stricte des accès, des politiques unifiées et une surveillance en temps réel.
- La sécurité réactive échoue face aux menaces modernes du cloud : Le suivi des incidents après coup maintient les organisations dans un cycle de violations évitables. Les dirigeants devraient passer à des investissements de sécurité proactifs qui réduisent l’exposition avant qu’un incident ne se produise.
- Les systèmes d’IA sont déployés plus rapidement qu’ils ne sont sécurisés : Plus d’un tiers des organisations utilisant l’IA ont déjà subi des violations liées. Les décideurs doivent associer l’adoption de l’IA à des contrôles spécifiques tels que des ensembles de données cryptées et des opérations de ML sécurisées.
- Les clients et les fournisseurs de cloud sont mal alignés en matière de sécurité : La plupart des entreprises s’appuient trop sur les outils natifs, tandis que les fournisseurs privilégient l’IA par rapport à la gestion des risques. Les dirigeants devraient aligner les équipes internes sur les priorités en matière de sécurité et exiger des fournisseurs de cloud une responsabilité plus claire.
