Les architectures de sécurité traditionnelles ont fait leur temps. Les systèmes de défense sont l'avenir

Quelque chose a changé fin 2025, dont je ne pense pas que notre secteur en ait encore pleinement pris la mesure. Lorsque les modèles d'IA de pointe ont franchi un nouveau seuil de capacité vers la fin de l'année dernière – développant le type de compétence qui permet à presque n'importe quel adversaire de générer du code d'exploitation fonctionnel, d'élaborer une ingénierie sociale convaincante à grande échelle et d'enchaîner des attaques qui franchissent les frontières des produits de sécurité de manière autonome – le paysage des menaces n'a pas seulement évolué. Il est passé dans une catégorie complètement différente.

La vitesse, l’ampleur et la portée des attaques ont toutes basculé simultanément en faveur de l'adversaire. Les intrusions qui se déroulaient autrefois sur plusieurs jours ou heures se produisent désormais en quelques minutes ou secondes. Les campagnes à plusieurs étapes qui nécessitaient autrefois des ressources étatiques sont désormais accessibles à presque tout le monde. Et chaque agent d'IA, chaque flux de travail automatisé qu'une organisation adopte pour gagner en productivité, offre discrètement aux adversaires une nouvelle surface d'attaque par la même occasion.

J'observe cette évolution et je réfléchis sérieusement à la manière d'y répondre. Et j'en arrive toujours à la même conclusion : la défense sur laquelle la plupart des organisations s'appuient aujourd'hui a été conçue pour une menace différente. Pas seulement une menace plus ancienne. Une menace structurellement différente.

Lorsque les attaques se produisent à la vitesse machine, les organisations qui réussissent ne sont pas celles qui possèdent le plus de produits. Ce sont celles dont la défense devient plus intelligente à chaque fois qu'elle rencontre une menace, et qui transmet cette intelligence à tous les autres clients du système.

Le problème des architectures de sécurité traditionnelles

Pendant quarante ans, le secteur de la cybersécurité a suivi un manuel éprouvé : chaque nouvelle catégorie de menace donnait lieu à un nouveau produit. Nouvelle menace, nouvel outil. Nouvelle faille, nouveau fournisseur. Le résultat ? L'entreprise moyenne gère aujourd'hui plus de 45 produits de sécurité distincts.

Le problème avec ce chiffre n'est pas le coût et la complexité, bien que cela soit également réel. C'est ce qui arrive au renseignement lorsqu'il est fragmenté entre 45 silos. Le poste ne sait pas ce que le pare-feu a détecté. La passerelle de messagerie ne communique pas à la couche d'identité ce qu'elle a intercepté. Chaque outil apprend isolément. Rien ne capitalise sur ce qui a déjà été observé.

Lorsque les attaques se déplacent à la vitesse des machines et exploitent simultanément les endpoints, le cloud, les identités, le réseau et la messagerie, une défense qui corrèle ces signaux manuellement – lorsqu’elle le fait — n’est plus une défense C’est un rapport post-mortem extrêmement coûteux.

Le modèle basé sur une pile de produits suppose qu'un analyste humain peut relier les suffisamment vite les informations provenant de 45 outils différents pour que cela ait un impact. Dans un monde plus lent, cette approche restait viable. Aujourd’hui, elle ne l’est plus.

Le SIEM et le XDR étaient les bons instincts

Il faut reconnaître le mérite de l'industrie. Elle n'a pas seulement identifié le problème de fragmentation, elle a développé deux technologies pour le résoudre : SIEM et XDR. Le SIEM visait à centraliser chaque journal en un seul endroit. La première vague de XDR visait à corréler les détections entre les outils.

Ces deux approches étaient pertinentes. Ce sont de réelles capacités.

En fait, les deux sont des composants essentiels d'un système de défense, et Sophos les fournit aujourd'hui. Cependant, une décennie de déploiements a démontré une réalité : ni l’une ni l’autre, même combinées, ne répondent à l’ensemble des exigences actuelles.

Le SIEM agrège les données après coup. Il collecte les journaux de produits qui sont encore étrangers les uns aux autres, puis demande à un analyste de donner un sens à cet amas. Les premiers XDR corrélaient les alertes, mais uniquement entre les outils qu'un seul fournisseur possédait par hasard, et seulement après que chaque outil avait déjà décidé, seul, de ce qui était important. L'agrégation n'est pas une architecture. Rassembler des données dans une fenêtre partagée ne rend pas les sources conscientes les unes des autres, et ne leur permet pas d'agir comme une seule entité.

Un système de défense est différent par nature, pas par degré. Le SIEM et le XDR y vivent en tant que capacités, et non comme le plafond de ce que le système peut faire. Les points de contrôle partagent une couche de données dès l'instant où un signal est généré, et non après son arrivée dans un entrepôt. Ils informent les décisions des uns et des autres en temps réel, et non dans un rapport qu'un analyste lit plus tard. C'est la limite entre la collecte de renseignements et l'exploitation de ceux-ci. Le SIEM et le XDR collectent et corrèlent. Le système de défense agit.

Le véritable écart de capacité

Avec ~359 millions d'entreprises dans le monde, moins de 35 000 disposent d'un RSSI ou d'un responsable de la sécurité. 35 000 disposent d'un RSSI . Ce ratio — un RSSI pour 10 000 organisations — est au cœur de la raison pour laquelle le secteur n'a pas réussi à suivre le rythme de la menace.

Le seuil de pauvreté en cybersécurité est ce qui se produit lorsque les organisations ne parviennent pas à convertir leur technologie de sécurité en une défense fonctionnelle. Il n'est pas défini par la taille ou le budget seul ; j'ai vu des organisations bien financées se situer bien en dessous, et des entreprises régionales de 200 personnes fonctionner bien au-dessus. Il est défini par la capacité stratégique : la capacité à mettre en place des contrôles correctement, à les surveiller en continu, à mesurer s'ils fonctionnent et à s'améliorer au fil du temps.

L'IA a rendu cet écart à la fois plus dangereux et, pour la première fois, réellement comblable. Plus dangereux car les attaquants l'ont adopté instantanément, une mise à niveau immédiate et gratuite. Comblable parce que les mêmes capacités d'IA qui accélèrent les attaques peuvent également accélérer la défense si elles sont intégrées à l'architecture et non ajoutées en tant que fonctionnalité.

Présentation de Sophos Fusion

Aujourd'hui, nous annonçons Sophos Fusion, le système de défense de cybersécurité natif en IA le plus complet du marché.

Sophos Fusion est l'évolution de ce que nous appelons les plateformes dans le secteur. Il s'agit d'une architecture unique et ouverte où chaque point de contrôle — endpoint, pare-feu, email, cloud, réseau, identité, opérations de sécurité, et plus encore — partage les mêmes données, la même intelligence et réagit comme un seul ensemble.

Ce qui différencie Sophos Fusion des plateformes concurrentes réside dans son architecture :

Un lac de contexte unifié , où chaque signal provenant de chaque point de contrôle circule dans une couche de données partagée en temps réel. Aucun délai d'agrégation. Aucun silo. L'ensemble du système voit ce que chaque partie individuelle voit.

Sécurité Synchronisée™ est le tissu conjonctif qui transforme les connaissances partagées en une réponse coordonnée. Une détection au niveau du poste déclenche une réponse coordonnée au niveau du pare-feu, une identité compromise verrouille l'accès dans tout l'environnement et un email suspect augmente le niveau de vigilance partout ailleurs. Détection partout, réponse partout.

Autonomie agentique avec expertise humaine . Le système peut détecter, enquêter et répondre sans attendre l'intervention humaine, en opérant dans les limites que nos analystes MDR définissent et calibrent en continu. Il ne s'agit pas d'une automatisation remplaçant la responsabilité humaine. Il s'agit d'une IA qui raisonne sur des situations inédites, avec des humains qui régissent la limite de confiance.

Intelligence cumulative . Chaque menace observée au sein de plus de 625 000 organisations protégées par Sophos est réinjectée dans le système. Un nouveau client ne part pas de zéro, il hérite du bénéfice de chaque menace que le système n’a jamais rencontrée.

Nous sommes également clairs sur ce qu'il n'est pas : un système fermé. Plus de 500 intégrations tierces alimentent la même couche de données partagée. La télémétrie des menaces provenant des terminaux, pare-feu ou outils d'identité existants d'un client, issus d'un grand nombre d'éditeurs, circule dans le même lac de contexte que les informations issues de leurs solutions Sophos, le même moteur de corrélation et la même équipe MDR. Natif là où cela compte. Ouvert là où le client en a besoin.

L'évolution de Sophos Central

Sophos Fusion est l'évolution de Sophos Central, réarchitecturé pour l'ère de l'IA. Tous les clients Sophos font déjà partie de Sophos Fusion et bénéficient déjà d'une protection inégalée contre les menaces qui se propagent à la vitesse machine. Au cours des prochains mois, les utilisateurs verront Sophos Central évoluer vers Sophos Fusion dans l'interface à mesure que nous déploierons cette appellation, sans aucune action requise de la part des clients ou des partenaires.

La preuve dans nos propres opérations

Sophos gère le plus grand SOC agentique au monde sur Sophos Fusion. 52 % des cas sont entièrement traités par l'IA, sans intervention humaine. Le temps moyen entre l'alerte et une réponse entièrement automatisée est de 89 secondes. Nous ne mesurons plus le temps de réponse MDR en minutes. Nous le mesurons en secondes.

Le marché valide également ce que nous avons construit. Dans les rapports G2 Summer 2026 — basés entièrement sur des avis clients vérifiés — Sophos s'est classé numéro un en matière de terminaux, d'EDR, de XDR, de MDR et de pare-feu au cours d'une même saison. Aucun autre éditeur n'a réalisé cela dans les cinq catégories simultanément. Sophos est également le seul éditeur reconnu comme « Customers’ Choice » par Gartner® Peer Insights™ dans les catégories Sécurité de la messagerie, plateformes de protection Endpoint, Détection et réponse gérées, Détection et réponse étendues, et Pare-feu réseau. Ces reconnaissances reflètent ce qui compte le plus : des clients qui choisissent systématiquement Sophos pour protéger, détecter et répondre sur l'ensemble de leur environnement de cybersécurité.

Nouveautés à venir

Sophos Fusion est disponible dès maintenant, et nous étendons considérablement le système au cours des prochains mois.

À partir de la mi-août, nous lancerons des améliorations majeures du service Sophos MDR, une extension significative de Sophos XDR optimisée par les analyses de Secureworks Taegis, et une nouvelle offre de SIEM de nouvelle génération.

Sophos Next-Gen SIEM mérite une attention particulière : il est tarifé par utilisateur et par serveur plutôt que par volume de données, ce qui élimine l'incitation perverse qui conduit les équipes de sécurité à limiter la télémétrie qu'elles ingèrent et à laisser délibérément des angles morts dans leur couverture ou à faire face à des coûts incontrôlés.

En octobre, deux fonctionnalités supplémentaires seront disponibles. Sophos AI Defense offre aux organisations une visibilité, un contrôle et une protection sur chaque outil d'IA présent dans leur environnement, y compris Shadow AI, en s'appuyant sur des fonctionnalités déjà intégrées au système. Et Sophos CISO Advantage étend les conseils de niveau CISO à chaque organisation, avec ou sans CISO, en fournissant une validation continue des contrôles, une cartographie de la conformité, une analyse comparative par rapport aux pairs et une évaluation des risques prête pour la direction. Pour les organisations disposant de peu de moyens qui n'ont jamais eu accès à ce type de capacité stratégique, cela transforme ce qui est possible.

Une défense qui se renforce

Pendant des décennies, le secteur a affirmé aux clients que davantage d'outils signifiaient une meilleure sécurité. L'ère de l'IA a totalement révélé le mensonge de cette hypothèse. L'avantage appartient aux organisations dotées d'une défense coordonnée qui voit chaque signal, apprend de chaque menace et réagit comme une seule entité..

Cela nécessite une architecture fondamentalement différente, une architecture que la majorité des principaux fournisseurs de cybersécurité n'ont pas réussi à construire entièrement.

Sophos Fusion est l'architecture vers laquelle nous avons travaillé pendant des années. L'ère de l'IA l'a rendu nécessaire. Le travail que nous avons accompli, de nos capacités produits primées à l'acquisition de Secureworks et au SOC agentique que nous exploitons aujourd'hui, a rendu cela possible.

Les architectures de sécurité traditionnelles ont connu une belle histoire. L’avenir appartient désormais au système.

Avis de non-responsabilité

Le contenu de Gartner® Peer Insights™ est constitué d’avis d’utilisateurs individuels basés sur leurs propres expériences et ne doit pas être interprété comme des déclarations de faits et ne représente pas les opinions de Gartner® ou de ses affiliés. Gartner® ne cautionne aucun éditeur, produit ou service décrit dans ce contenu et n’offre aucune garantie, explicite ou implicite, quant à l’exactitude ou l’exhaustivité de ce contenu, y compris toute garantie de qualité marchande ou d’adéquation à un usage particulier.

GARTNER® et PEER INSIGHTS™ sont des marques commerciales de Gartner, Inc. et/ou de ses filiales.