Pendant des années, on a parlé de pénurie de professionnels en cybersécurité. En 2026, le diagnostic a changé. La dernière étude ISC2 sur les effectifs en cybersécurité, menée auprès de plus de 16 000 professionnels et publiée en décembre 2025, conclut que le manque de compétences pèse désormais davantage que le manque d’effectifs : 59 % des répondants signalent des besoins de compétences critiques ou importants dans leurs équipes, contre 44 % un an plus tôt, et 95 % en identifient au moins un.

Le Maroc fait le même constat. En octobre 2025, le Conseil des ministres a doté la DGSSI d’un régime particulier de ressources humaines, avec une indemnité incitative, précisément pour attirer et retenir les talents en cybersécurité face à la concurrence du secteur privé.

1. Les compétences les plus recherchées

L’étude ISC2 classe les compétences dont les équipes manquent le plus. Le palmarès dessine le profil du professionnel de 2026 : à l’aise avec la technique, mais aussi capable de raisonner en risques et en gouvernance.

2. Quelle certification pour quel objectif ?

Une certification n’a de valeur que si elle correspond à un objectif professionnel précis. Voici les grandes familles, et ce qu’elles attestent :

3. Trois profils, trois parcours

Vous êtes étudiant

Complétez votre diplôme par une première certification reconnue et des projets concrets : compétitions de type CTF, laboratoires, stages. Les recruteurs regardent autant ce que vous savez faire que ce que vous avez étudié.

Vous êtes en reconversion

Votre expérience passée est un atout : un juriste ira naturellement vers la conformité et la protection des données, un auditeur financier vers l’audit SMSI, un gestionnaire de projet vers la gouvernance. Choisissez une spécialisation qui prolonge votre parcours plutôt que de repartir de zéro.

Vous êtes déjà professionnel

Visez les compétences qui manquent le plus à votre équipe : l’IA, le cloud et la gestion des risques. Une certification de niveau « Lead » ou une certification de référence comme le CISSP marque souvent le passage vers des fonctions de pilotage.

4. Se former autrement

La formation en cybersécurité ne se limite plus à la salle de classe. Les parcours les plus efficaces combinent plusieurs formats :

En résumé

En 2026, la différence ne se fait plus sur le titre, mais sur les compétences démontrées. L’IA, le cloud, la gestion des risques et la gouvernance sont les terrains où les organisations cherchent le plus. Après un mois à apprendre les bons réflexes, l’étape suivante est simple : Reconnaître. Vérifier. Protéger. Préparer. Agir.

Les attaques réussies ont rarement une cause unique. Elles exploitent l’absence de vision d’ensemble : des risques jamais formalisés, des responsabilités floues, des sauvegardes jamais testées, un plan de crise qui n’existe que sur le papier. Le State of Ransomware 2026 de Sophos le rappelle : dans 56 % des attaques par rançongiciel, les données ont été effectivement chiffrées, et le coût médian de remise en état atteint 1,7 million de dollars, hors rançon.

La bonne nouvelle : la préparation paie. Dans le même rapport, 66 % des organisations dont les données ont été chiffrées ont pu les restaurer grâce à leurs sauvegardes, contre 54 % un an plus tôt. Se préparer avant l’incident n’est pas une dépense : c’est ce qui sépare une interruption d’une catastrophe.

1. Gérer les risques : identifier avant de protéger

« Identifier le risque avant de choisir la protection. » Toute démarche de sécurité commence par la même question : qu’est-ce qui compte vraiment pour l’organisation, et qu’est-ce qui pourrait l’atteindre ? La gestion des risques suit un cycle simple :

EBIOS Risk Manager : une méthode pensée pour les décideurs

Développée par l’ANSSI, la méthode EBIOS RM structure l’analyse en cinq ateliers, du socle de sécurité aux scénarios opérationnels, en passant par les sources de risque et les scénarios stratégiques. Sa force : elle part des enjeux métier et de la manière dont un attaquant raisonnerait, pour aboutir à un plan de traitement compréhensible par la direction. Elle s’articule naturellement avec l’ISO/IEC 27005 et l’ISO/IEC 27001.

2. Le SMSI ISO/IEC 27001 : un système, pas un projet

Le système de management de la sécurité de l’information (SMSI) défini par l’ISO/IEC 27001 transforme la sécurité en démarche permanente : gouvernance, appréciation des risques, mesures de sécurité et amélioration continue. Dans sa version 2022, son annexe A regroupe 93 mesures en quatre thèmes : organisationnelles, liées aux personnes, physiques et technologiques.

La norme ne s’applique plus seulement aux grandes entreprises. L’ISO Survey 2024 recense près de 97 000 certificats ISO/IEC 27001 dans le monde, un chiffre qui reflète aussi une meilleure collecte des données. Pour les PME et les prestataires, la certification est devenue un argument commercial, souvent exigé par les clients et les donneurs d’ordre.

3. L’audit : vous pensez être conforme, l’avez-vous vérifié ?

L’audit est le moment de vérité. L’audit interne détecte les écarts avant qu’ils ne deviennent des incidents ; l’audit de certification apporte une preuve indépendante à vos clients et partenaires. Dans les deux cas, l’auditeur vérifie que ce qui est écrit est réellement appliqué, et que les mesures fonctionnent.

Au Maroc, l’enjeu dépasse la certification volontaire : la loi 05-20 sur la cybersécurité impose aux administrations et aux infrastructures d’importance vitale de déclarer sans délai leurs incidents. En janvier 2026, la DGSSI a rappelé que de nombreuses entités ne respectaient pas encore cette obligation de façon systématique.

4. La crise et la continuité : préparer le pire calmement

« Votre organisation subit une cyberattaque demain matin. Savez-vous qui appeler en premier ? » Si la réponse hésite, la préparation est incomplète. La norme ISO 22301 structure la continuité d’activité, et la gestion de crise suit quatre temps :

Les 5 piliers de la cyber-résilience

En résumé

Structurer la sécurité, c’est relier les étapes : analyser les risques (EBIOS RM), les traiter dans un système de management (ISO/IEC 27001), vérifier par l’audit, et se préparer à la crise (ISO 22301). Ce parcours transforme la sécurité d’une suite de réactions en une capacité durable.

Les réflexes individuels restent la première ligne de défense. Mais face à des attaquants organisés, ils ne suffisent pas : il faut un environnement technique conçu pour résister, surveillé en permanence et éprouvé régulièrement. Les rapports de référence de 2026 montrent pourquoi.

Selon le Verizon DBIR 2026, l’exploitation de vulnérabilités est devenue la première voie d’accès des attaquants, à l’origine de 31 % des violations, tandis que 48 % impliquent un tiers (prestataire, fournisseur, éditeur). Et il faut en moyenne 43 jours aux organisations pour corriger une vulnérabilité critique déjà exploitée, contre 32 l’année précédente.

1. Le cloud : savoir qui est responsable de quoi

« Vos données sont dans le cloud. Mais savez-vous qui est responsable de leur sécurité ? » La réponse tient dans le modèle de responsabilité partagée : le fournisseur sécurise l’infrastructure, mais la configuration, les identités, les accès et les données restent sous la responsabilité du client.

Le rapport Cloud Threat Horizons H1 2026 de Google Cloud montre que, au second semestre 2025, les vulnérabilités logicielles sont devenues pour la première fois la principale porte d’entrée dans les environnements cloud (44,5 %), devant les identifiants faibles ou absents (27,2 %) et les mauvaises configurations (21 %). Le délai entre la publication d’une faille et son exploitation se compte désormais en jours, parfois en heures.

2. Le SOC : voir ce que l’utilisateur ne voit pas

« Une attaque peut être invisible pour l’utilisateur. Qui la détecte ? » C’est le rôle du centre des opérations de sécurité (SOC), qui surveille en continu les journaux, les terminaux, le réseau et le cloud pour repérer les signaux faibles.

Le rapport M-Trends 2026 de Mandiant donne la mesure de l’enjeu : la durée médiane de présence d’un attaquant avant sa détection est remontée à 14 jours en 2025, et seules 52 % des intrusions ont été détectées par les organisations elles-mêmes. Pour le reste, c’est un tiers (ou l’attaquant, via une demande de rançon) qui a donné l’alerte. Le même rapport observe qu’il ne s’écoule parfois que 22 secondes entre l’accès initial et la remise de cet accès à un second groupe criminel.

3. Le pentest : tester avant l’attaquant

Un test d’intrusion (pentest) consiste à attaquer volontairement, dans un cadre autorisé et maîtrisé, ses propres systèmes pour découvrir les failles avant qu’un attaquant ne les trouve. Applications web, infrastructure exposée, cloud, réseau interne, ingénierie sociale : chaque périmètre se teste.

Avec des failles exploitées de plus en plus vite, le pentest annuel « pour la conformité » ne suffit plus. Les organisations matures combinent des tests ciblés après chaque changement important, un scan de vulnérabilités continu et un suivi rigoureux des corrections.

4. Les standards : structurer plutôt qu’empiler

Des outils sans cadre produisent des angles morts. Les référentiels donnent la structure :

Les 5 éléments à protéger

En résumé

Une sécurité technique robuste repose sur trois verbes : protéger (un cloud bien configuré et des identités maîtrisées), détecter (un SOC capable de voir l’invisible) et tester (des pentests réguliers). Les standards comme le NIST CSF 2.0 relient le tout dans une démarche cohérente.

En 2026, l’intelligence artificielle n’est plus un sujet d’avenir pour la cybersécurité : elle est déjà dans les attaques, et déjà dans les bureaux. Le Global Cybersecurity Outlook 2026 du Forum économique mondial le confirme : 87 % des organisations interrogées désignent les vulnérabilités liées à l’IA comme le risque cyber qui a le plus progressé en 2025, alors qu’environ un tiers n’a toujours aucun processus pour vérifier la sécurité d’un outil d’IA avant de le déployer.

Pour une entreprise, la question n’est donc plus « faut-il utiliser l’IA ? », mais « qui contrôle l’IA que nous utilisons, et comment résister à celle que l’on utilise contre nous ? ».

1. Le deepfake, nouvel outil de la fraude au président

La fraude au président a toujours reposé sur la confiance accordée à une voix d’autorité. Le clonage vocal et vidéo la rend désormais presque indétectable à l’oreille. Le cas de référence reste celui d’un employé d’une multinationale à Hong Kong qui, en 2024, a effectué environ 25 millions de dollars de virements après une visioconférence où son directeur financier et plusieurs collègues étaient entièrement générés par IA.

Les institutions elles-mêmes sont visées : le 27 avril 2026, la Banque de France et l’ACPR ont alerté sur de fausses vidéos reproduisant l’apparence et la voix de leurs dirigeants pour promouvoir de prétendus placements. Si un gouverneur de banque centrale peut être imité, votre directeur général aussi.

2. L’IA de l’ombre : quand vos données partent dans un chatbot

Le second risque ne vient pas d’un attaquant, mais de l’intérieur. Résumer un contrat, reformuler un e-mail client, analyser un fichier RH : les collaborateurs utilisent des outils d’IA publics, souvent avec les meilleures intentions, sans validation de l’entreprise. C’est l’« IA de l’ombre » (shadow AI).

Le rapport IBM Cost of a Data Breach 2025 estime que ces usages non encadrés étaient présents dans environ une violation sur cinq, avec un surcoût moyen de 670 000 dollars par incident. Au Maroc, une donnée personnelle collée dans un service d’IA externe reste un traitement soumis à la loi 09-08 et au contrôle de la CNDP : la responsabilité de l’entreprise demeure, quel que soit l’outil.

3. Des attaques industrialisées, et des systèmes d’IA eux-mêmes ciblés

L’IA accélère aussi le travail des attaquants : e-mails de phishing sans faute produits en masse, reconnaissance automatisée des cibles, exploitation plus rapide des vulnérabilités. Et lorsqu’une entreprise intègre l’IA dans ses propres outils (assistant interne, chatbot client, agent connecté à ses données), elle crée une nouvelle surface d’attaque : injection de consignes malveillantes (prompt injection), fuite de données d’entraînement, manipulation des réponses. Des référentiels comme MITRE ATLAS recensent désormais ces techniques propres aux systèmes d’IA.

4. Gouverner l’IA plutôt que la subir

Interdire l’IA ne fonctionne pas : les usages se déplacent simplement hors de vue. La réponse est la gouvernance : savoir quels outils sont utilisés, pour quoi, avec quelles données et sous quelle responsabilité.

Le cadre réglementaire se précise

En Europe, l’AI Act applique depuis le 2 août 2026 ses obligations de transparence (article 50), notamment l’information des personnes qui interagissent avec un système d’IA. Le « Digital Omnibus » adopté en juin 2026 a en revanche reporté les obligations des systèmes à haut risque au 2 décembre 2027 (et au 2 août 2028 pour ceux intégrés à des produits réglementés). Les entreprises marocaines qui servent des clients européens sont directement concernées.

ISO/IEC 42001 : un système de management pour l’IA

Publiée fin 2023, la norme ISO/IEC 42001 est la première norme internationale de système de management de l’intelligence artificielle. Sur le modèle de l’ISO 27001 pour la sécurité de l’information, elle structure la démarche :

Les 4 réflexes IA, dès aujourd’hui

En résumé

L’IA générative ne crée pas seulement de nouveaux outils : elle crée de nouveaux angles morts. Les deepfakes exploitent la confiance, l’IA de l’ombre exploite la bonne volonté, et les systèmes d’IA mal encadrés exposent les données. Les entreprises qui s’en sortent le mieux ne sont pas celles qui interdisent, mais celles qui gouvernent.

L'ingénierie sociale n'attaque pas un serveur ni un pare-feu : elle attaque la confiance. Son principe reste le même depuis toujours — se faire passer pour quelqu'un de légitime, créer une urgence, obtenir une action (un clic, un code, un virement). Ce qui a changé, c'est l'échelle et le réalisme. Selon le Verizon DBIR 2026, le phishing représente 16 % des accès initiaux lors des violations analysées, et le prétexting (manipulation par appel ou messagerie) 6 %.

Les signalements suivent la même courbe. En Belgique, le Centre pour la cybersécurité a reçu en moyenne environ 42 000 signalements de phishing par jour au premier trimestre 2026, contre 25 000 à 27 000 en 2025 — près du double. En France, Cybermalveillance.gouv.fr a enregistré plus de 500 000 demandes d'assistance en 2025, avec une hausse de 70 % des demandes liées à l'hameçonnage. Au Maroc, la DGSSI a multiplié les alertes en 2026, notamment sur des campagnes de faux SMS d'amendes routières.

1. Ce qui a changé en 2026

Trois évolutions rendent les attaques actuelles beaucoup plus difficiles à repérer qu'il y a seulement deux ans :

2. Le phishing : l'e-mail, toujours en tête

L'e-mail frauduleux reste la porte d'entrée la plus fréquente. Il usurpe une banque, une administration, un fournisseur, le service informatique ou un dirigeant. En 2026, deux variantes progressent fortement : la fausse demande d'authentification (« votre MFA expire, reconnectez-vous ») et l'e-mail contenant un QR code plutôt qu'un lien, qui échappe à de nombreux filtres et pousse la victime à scanner avec son téléphone personnel, hors des protections de l'entreprise.

3. Le smishing : le piège qui tient dans la poche

Le smishing (hameçonnage par SMS ou messagerie) prospère parce que nous faisons davantage confiance à notre téléphone qu'à notre boîte mail, et que le message arrive directement, sans filtre. Selon l'APWG, son volume a progressé de 30 à 40 % d'un trimestre à l'autre fin 2025, et les simulations du DBIR 2026 montrent un taux de clic plus élevé sur mobile que par e-mail.

Les scénarios de 2026 exploitent la peur de la sanction ou l'attente d'un service :

4. Le vishing et les deepfakes : quand entendre ne suffit plus

Le vishing (hameçonnage vocal) a changé de nature avec le clonage de voix. Quelques secondes d'enregistrement — une vidéo publiée, une intervention en webinaire, un message vocal — suffisent désormais pour reproduire le timbre, le rythme et même les tics de langage d'une personne. D'après une enquête Gartner publiée en 2026, 41 % des organisations interrogées ont déjà fait face à un deepfake associé à de l'ingénierie sociale lors d'un appel audio, et 35 % lors d'un appel vidéo.

Le scénario type : un « directeur financier » appelle pour une opération confidentielle et urgente, ou un « technicien du support » demande de valider une notification d'authentification. Des cas documentés montrent un employé validant un virement important après une visioconférence dont tous les autres participants étaient générés par IA. La fraude au président n'a plus besoin d'un e-mail : elle parle avec la bonne voix.

5. Le quishing : le QR code qui cache sa destination

Impossible de lire l'adresse d'un QR code avant de le scanner : c'est tout son intérêt pour les fraudeurs. Microsoft a vu le volume d'attaques par QR code passer de 7,6 à 18,7 millions entre janvier et mars 2026. On le retrouve dans les e-mails (faux enrôlement MFA, faux document à signer), mais aussi physiquement : autocollants collés sur des horodateurs, des bornes de recharge, des tables de restaurant ou de faux avis de stationnement. Règle simple : pour payer une amende, un stationnement ou un service, passez par l'application ou le site officiel, jamais par un QR code trouvé.

6. Les 4 bons réflexes, quel que soit le canal

Puisque les signaux techniques s'effacent, la meilleure défense est comportementale. Nous recommandons quatre réflexes simples, valables pour un e-mail, un SMS, un appel ou un QR code :

7. Pour les organisations : passer du réflexe individuel à la procédure

La vigilance individuelle ne suffit pas si les processus laissent une seule personne valider seule une opération sensible. Les mesures qui font la différence en 2026 :

• Double validation systématique des virements, changements de RIB fournisseur et créations d'accès, avec rappel sur un numéro référencé — jamais celui fourni dans la demande.
• Un mot de vérification convenu entre dirigeants et services financiers pour authentifier une demande inhabituelle par téléphone ou visio.
• Une authentification résistante au phishing (clés FIDO2, passkeys) pour les comptes critiques, plutôt que des codes SMS interceptables ou des notifications que l'on peut faire approuver par lassitude.
• Des simulations multicanales : e-mail, SMS, appel vocal et QR code. Une campagne annuelle de faux e-mails ne prépare pas à un deepfake vocal.
• Une culture du signalement sans sanction : un collaborateur qui signale vite un clic est un atout, pas une faute.
• Une exposition publique maîtrisée : organigrammes détaillés, vidéos de dirigeants et numéros directs en ligne nourrissent la reconnaissance des attaquants.

En résumé

En 2026, on ne reconnaît plus une arnaque à sa forme, mais à ce qu'elle exige : agir vite, en dehors des procédures, sans vérifier. Un message parfait, une voix familière ou des informations exactes ne sont plus des garanties. Ce qui protège, c'est un réflexe : s'arrêter, vérifier par un autre canal, ne jamais transmettre un code, et signaler.

Pendant tout ce Cybermois, nous partageons chaque semaine des réflexes concrets sous le hashtag #CyberReflex. Parce que la cybersécurité commence par le bon réflexe.