Analyse des écarts cyber au Moyen-Orient : le zero trust dépasse l’IA

La stratégie de sécurité a un problème de talents, et le panneau « on recrute » est désormais assez grand pour être considéré comme une infrastructure. Computer Weekly rapporte que la pénurie de main-d’œuvre en cybersécurité au Moyen-Orient a atteint 300 000 personnes, ce qui n’est pas une erreur d’arrondi : c’est une contrainte de conception avec un badge autour du cou. La réponse tentante en salle de conseil consiste à dire que l’IA va arriver avec une cape et combler l’écart. La réponse la plus utile est moins théâtrale : construire des environnements où moins de problèmes évitables arrivent jusqu’aux humains en premier lieu.

Ce qui s’est passé, selon Computer Weekly

Computer Weekly, dans le rapport d’Andrea Benito publié le 6 juillet 2026 à 11 h 59, indique que les responsables de la sécurité au Moyen-Orient sont encouragés à donner la priorité à la prévention et aux architectures zero trust, alors que les attaques s’accélèrent et que les organisations étendent leur empreinte numérique. Le rapport présente clairement le problème : l’idée selon laquelle l’IA comblera le déficit croissant de compétences dans la région ne devrait pas être la stratégie principale. C’est la partie qui mérite d’être affichée au-dessus de la machine à café du SOC, idéalement près de la machine qui a elle aussi déposé trois tickets suspects cette semaine. Voici une analyse de violation sans violation, ce qui est le type le moins coûteux si vous y parvenez. L’actif exposé n’est pas une base de données cette fois-ci, mais l’attention : le temps des analystes, le temps d’ingénierie, le temps de formation et la patience des dirigeants. Une fois que l’attention devient rare, les outils de sécurité qui génèrent plus de travail qu’ils n’en éliminent deviennent une partie de la surface d’incident. Chaque alerte qui nécessite un magicien est une petite dette de personnel avec une invite de connexion.

Cause racine, selon Fortinet et Computer Weekly Le rapport 2026 Cybersecurity

Skills Gap Global Research Report de Fortinet indique que ses conclusions reposent sur les réponses de 2 750 décideurs informatiques et cybersécurité, avec une étude menée par Sapio Research en décembre 2025 dans 32 lieux. La structure même du rapport saisit la tension : les organisations s’appuient fortement sur l’IA, tandis que le déficit de compétences en cybersécurité augmente avec l’IA. En langage humain normal, l’IA peut aider les équipes à trier, résumer et automatiser, mais elle ne supprime pas le besoin de personnes qui savent à quoi ressemble un bon résultat. Le point de Computer Weekly sur la prévention s’intègre bien dans ce calcul de personnel. Si une organisation ne peut pas recruter assez de défenseurs qualifiés, elle ne devrait pas concevoir un modèle de sécurité qui suppose un examen expert sans fin. La prévention d’abord ne signifie pas la prévention seulement, car cette voie mène au déni avec des tableaux de bord. Cela signifie que l’architecture devrait réduire l’exposition évitable avant que la file d’alertes ne se transforme en boîte de réception hantée.

Impact, selon le CSIS et MIT Sloan Management Review Middle East Le

CSIS décrivait déjà le déficit de main-d’œuvre en cybersécurité comme un défi persistant dans son rapport du 29 janvier 2019, notant que les organisations peinent à recruter des professionnels qualifiés à mesure que les menaces gagnent en sophistication. Le chiffre concernant le Moyen-Orient cité par Computer Weekly montre comment ce problème de longue date façonne désormais la stratégie régionale, et pas seulement les calendriers de recrutement. Les acteurs malveillants n’ont pas besoin de développement de personnage ici ; ils sont fortement motivés par la trilogie classique de l’argent, de l’accès et de l’opportunité. MIT Sloan Management Review Middle East ajoute la correction nécessaire : la cybersécurité ne concerne plus seulement la prévention, elle concerne aussi la reprise. Son article soutient que les investissements les plus déterminants pourraient être ceux qui réduisent le coût de l’échec, plutôt que seulement ceux qui renforcent le périmètre. C’est important, car la prévention réduit le nombre d’incendies, tandis que la reprise détermine si le bâtiment devient un gros titre, une facture juridique ou simplement un mauvais mardi. Le rapport 2025 Cybersecurity Skills Gap Global Research Report de Fortinet, basé sur 1 850 décideurs informatiques et cybersécurité interrogés par Sapio Research en février 2025, pointe également la formation comme un levier pratique. Le rapport indique que le manque de sensibilisation et de formation en cybersécurité reste la principale cause de violations, et que les organisations veulent du personnel cybersécurité certifié. Traduction : le recrutement compte, mais il compte aussi de rendre les personnes déjà présentes dans l’entreprise moins susceptibles de remettre les clés aux acteurs malveillants avec une réponse polie à un e-mail.

Ce que cela signifie vraiment pour vous, selon Computer Weekly et Fortinet

Pour les responsables de la sécurité, le rapport de Computer Weekly devrait faire entrer les revues d’architecture dans la conversation sur les effectifs. Demandez quels contrôles évitent du travail, lesquels se contentent de signaler du travail, et lesquels exigent un spécialiste chaque fois qu’ils clignotent. Si un outil ne fonctionne que lorsqu’un expert rare le surveille comme un baby-sitter, ce n’est pas de l’automatisation : c’est un animal de compagnie très coûteux. Pour les personnes qui construisent les systèmes, la leçon est la simplicité opérationnelle. Rendez les paramètres sécurisés par défaut plus faciles à maintenir que les exceptions, réduisez les consoles en double et concevez des flux de travail qu’une équipe fatiguée peut exécuter correctement à la fin d’un long service. Pour les conseils d’administration, la leçon du rapport 2026 de Fortinet est que s’appuyer sur l’IA devrait s’accompagner d’investissements dans les personnes, les processus et la responsabilité, et non d’un fantasme selon lequel les logiciels remplaceraient discrètement la compétence institutionnelle. La prochaine chose à surveiller est de voir si les budgets régionaux passent de l’achat de générateurs d’alertes supplémentaires à l’achat de moins de problèmes. La prévention, l’architecture zero trust, la formation et la planification de la reprise ne sont pas glamour, ce qui est justement le signe qu’elles pourraient vraiment fonctionner. Internet continuera d’essayer de s’effondrer ; la décision intelligente consiste à arrêter de demander à des équipes en sous-effectif de rattraper chaque brique à la main.