CSPM et CNAPP : pourquoi la sécurité cloud est le plus gros poste des budgets cybersécurité

L’Épidémie de Mauvaises Configurations : La Plus Grande Menace du Cloud N’Est Pas les Hackers

Voici une vérité inconfortable que l’industrie de la cybersécurité contourne depuis des années : la majorité des violations cloud ne sont pas causées par des hackers sophistiqués exploitant des vulnérabilités zero-day. Elles sont causées par quelqu’un qui a laissé la porte ouverte. Les ressources cloud mal configurées, des buckets S3 publics aux rôles IAM surprivilégiés en passant par les bases de données non chiffrées avec des identifiants par défaut, restent une cause majeure de violations de données cloud en 2026, tout comme en 2020. Les outils ont changé, les plateformes cloud ont mûri, mais l’erreur humaine à la vitesse et à l’échelle du déploiement cloud continue de dépasser les contrôles de sécurité.

Les chiffres sont éloquents. Gartner a prédit que d’ici 2025, 99 % des défaillances de sécurité cloud seraient la faute du client, pas du fournisseur cloud. Le rapport IBM 2025 Cost of a Data Breach a trouvé que le coût moyen mondial d’une violation de données était de 4,44 millions de dollars, avec le phishing comme vecteur d’attaque initial le plus courant à 16 % des violations et un coût moyen de 4,8 millions de dollars par incident initié par phishing. La mauvaise configuration cloud, qu’IBM note n’était même pas un vecteur de menace catégorisé en 2015, est désormais une cible majeure. Les violations multi-environnement couvrant cloud et systèmes sur site étaient les plus coûteuses de toutes à 5,05 millions de dollars en moyenne et les plus lentes à contenir à 276 jours.

Cette épidémie a créé le segment en plus forte croissance en cybersécurité : le Cloud Security Posture Management (CSPM) et son évolution vers les Cloud-Native Application Protection Platforms (CNAPP). Ces outils promettent de scanner en continu les environnements cloud pour détecter les mauvaises configurations, appliquer les politiques de sécurité et fournir la visibilité dont les organisations manquent cruellement alors que leurs empreintes cloud s’étendent à travers AWS, Azure, Google Cloud et des architectures de plus en plus multi-cloud.

---

De CSPM à CNAPP : La Convergence du Marché

Le CSPM a émergé fin 2010 comme une solution ciblée à un problème ciblé : scanner les configurations d’infrastructure cloud contre les meilleures pratiques de sécurité et les standards de conformité. Les premiers outils CSPM comme Aqua Security, DivvyCloud (acquis par Rapid7 en 2020 pour 145 millions de dollars) et Prisma Cloud de Palo Alto vérifiaient si les buckets S3 étaient publics, si les groupes de sécurité autorisaient un accès SSH illimité et si la journalisation était activée. Précieux, mais limité en portée.

Le marché a rapidement reconnu que la mauvaise configuration n’était qu’une dimension du risque de sécurité cloud. Les vulnérabilités des charges de travail, les permissions excessives, les API non sécurisées, les secrets exposés dans les dépôts de code et les menaces d’exécution contribuaient tous à la surface d’attaque cloud globale. Cela a conduit à la convergence vers CNAPP, un terme inventé par Gartner en 2021 pour décrire des plateformes unifiant CSPM, Cloud Workload Protection (CWPP), Cloud Infrastructure Entitlement Management (CIEM), scanning Infrastructure as Code (IaC) et sécurité Kubernetes en une plateforme unique.

En 2026, le marché CNAPP a atteint un segment que plusieurs cabinets d’études estiment à plus de 10 milliards de dollars, avec des taux de croissance annuels entre 19 % et 22 %. Mordor Intelligence évalue le marché à 10,9 milliards de dollars en 2025 avec un CAGR de 20,8 % vers 28 milliards d’ici 2030, tandis que Markets and Markets projette un marché atteignant 19,3 milliards d’ici 2027 avec un CAGR de 19,9 %. La thèse de convergence a été validée par la demande client : les RSSI ne veulent pas gérer six outils de sécurité cloud distincts de six fournisseurs différents. Ils veulent une plateforme unique qui peut leur dire, dans un seul tableau de bord, ce qui est mal configuré, ce qui est vulnérable, qui a des permissions excessives et ce qui est attaqué en ce moment à travers tous leurs environnements cloud.

---

La Carte du Marché : Qui Gagne la Course CNAPP

Aucune entreprise n’a défini la catégorie CNAPP plus dramatiquement que Wiz. Fondée en janvier 2020 par quatre entrepreneurs israéliens qui avaient précédemment co-fondé Adallom (une société de sécurité cloud acquise par Microsoft en 2015), Wiz a atteint une valorisation de 12 milliards de dollars lors de sa Series E en mai 2024, levant 1 milliard de dollars et devenant la société de cybersécurité privée la plus valorisée au monde. L’approche de scan sans agent de Wiz, utilisant les API des fournisseurs cloud pour analyser configurations, charges de travail et permissions sans déployer d’agents sur les machines individuelles, a résonné auprès des entreprises frustrées par la surcharge opérationnelle des solutions basées sur des agents. Avec un ARR dépassant 500 millions de dollars en 2024 et des clients incluant 40 % du Fortune 100, Wiz est devenue l’histoire de succès CNAPP définissante. Google a initialement proposé 23 milliards de dollars pour acquérir Wiz en juillet 2024, mais Wiz a décliné, citant des préoccupations antitrust et des projets d’IPO. L’histoire ne s’est pas arrêtée là : en mars 2025, Google et Wiz se sont accordés sur une acquisition en numéraire de 32 milliards de dollars, le plus grand deal de cybersécurité de l’histoire. Le Département de la Justice américain a approuvé l’accord en novembre 2025, avec une clôture attendue en 2026.

Palo Alto Networks a construit sa position CNAPP par acquisition et intégration. Prisma Cloud a évolué à partir de l’acquisition de RedLock en 2018 (173 millions de dollars) et des achats ultérieurs de Twistlock et PureSec (2019), Bridgecrew (2021, 156 millions) et Cider Security (2022, 300 millions), formant la plateforme CNAPP la plus complète d’un fournisseur établi. Avec la base installée de plus de 70 000 clients entreprise de Palo Alto et un ARR Next-Generation Security atteignant 5,6 milliards de dollars pour l’exercice 2025, Prisma Cloud bénéficie de dynamiques de vente croisée que les concurrents pure-play ne peuvent égaler.

CrowdStrike est entré sur le marché CNAPP via son module Falcon Cloud Security, exploitant sa position dominante en détection et réponse endpoint (EDR) pour étendre la protection aux charges de travail cloud. L’argument de CrowdStrike est convaincant : les mêmes adversaires qui attaquent les endpoints attaquent l’infrastructure cloud, donc une plateforme unifiée corrélant la télémétrie endpoint et cloud offre une meilleure détection que des outils cloisonnés. L’acquisition de Bionic en septembre 2023 pour environ 350 millions de dollars a ajouté des capacités de gestion de la posture de sécurité des applications (ASPM).

Parmi les autres acteurs CNAPP significatifs : Orca Security (pionnier sans agent valorisé à 1,8 milliard lors de son extension de Series C en 2021), Sysdig (orienté runtime avec Falco open source comme avantage compétitif, nommé Leader dans le Forrester Wave pour CNAPP au T1 2026) et Microsoft Defender for Cloud (bénéficiant de l’intégration native Azure). Lacework, autrefois valorisée à 8,3 milliards, a été acquise par Fortinet en 2024 pour 200 à 230 millions estimés après un déclin dramatique de valorisation. Le marché se consolide : les petits fournisseurs CSPM sans chemin crédible vers CNAPP sont acquis ou marginalisés.

---

L’Impact Réel : Quand la Mauvaise Configuration Devient une Violation

Les études de cas illustrent pourquoi l’adoption CSPM/CNAPP est devenue urgente. Le secteur de la santé a été particulièrement touché : près de 57 millions de dossiers patients ont été exposés dans des violations de données de santé en 2025 seul, selon le U.S. Department of Health and Human Services. Blue Shield of California a révélé qu’une implémentation mal configurée de Google Analytics avait partagé des données de membres avec Google Ads pendant près de trois ans, affectant jusqu’à 4,7 millions d’individus.

L’incident d’exposition de données Toyota, divulgué en mai 2023, est devenu le cas de référence canonique. Une mauvaise configuration cloud avait laissé les données de localisation de véhicules de 2,15 millions de clients japonais T-Connect exposées pendant près d’une décennie, de novembre 2013 à avril 2023. La cause : un système cloud configuré en public au lieu de privé et jamais révisé. Toyota a cité des règles insuffisantes de traitement des données comme cause profonde. Ce cas est devenu une référence pour expliquer pourquoi la gestion continue de la posture, plutôt que des audits ponctuels, est essentielle.

Les rôles IAM surprivilégiés représentent une autre catégorie de mauvaise configuration avec un impact disproportionné. Les organisations découvrent régulièrement des comptes de service développeurs avec des privilèges administratifs couvrant des environnements cloud entiers, des identifiants exposés dans des dépôts GitHub publics et des comptes d’automatisation avec des permissions dépassant largement leur utilisation réelle. Les capacités CIEM au sein des plateformes CNAPP adressent spécifiquement ce risque en cartographiant l’utilisation réelle des permissions par rapport aux permissions accordées et en recommandant des politiques de moindre privilège.

---

Où Va le Marché : IA, Runtime et Guerres de Plateformes

La prochaine phase d’évolution CNAPP est définie par trois tendances. Premièrement, la remédiation alimentée par l’IA passe du concept à la production. Plutôt que de simplement alerter sur les mauvaises configurations, les plateformes CNAPP commencent à générer et, dans certains cas, à appliquer automatiquement des correctifs. Les capacités de remédiation IA de Wiz, alimentées par des intégrations avec Amazon Bedrock et Azure OpenAI Service, génèrent des étapes de remédiation copier-coller en Terraform, CloudFormation, Pulumi et d’autres formats d’infrastructure as code, réduisant le temps moyen de remédiation de jours à minutes.

Deuxièmement, la protection runtime émerge comme le différenciateur critique. CSPM et l’analyse statique disent ce qui est mal configuré ; la sécurité runtime dit ce qui est exploité en ce moment. L’approche runtime-first de Sysdig, construite sur le projet open source Falco (un projet diplômé CNCF avec plus de 175 millions de téléchargements, utilisé par plus de 60 % du Fortune 500), a gagné du terrain auprès des organisations qui doivent détecter des attaques actives dans des environnements conteneurisés.

Troisièmement, la guerre de consolidation des plateformes remodèle la structure du marché. L’acquisition de Wiz par Google pour 32 milliards de dollars, une fois finalisée, fera de Google Cloud un poids lourd CNAPP du jour au lendemain. La question n’est plus de savoir si un champion CNAPP indépendant peut survivre face aux mastodontes de plateformes. La réponse est arrivée en mars 2025 quand Wiz a choisi l’acquisition plutôt que l’indépendance. La question restante est de savoir si Sysdig, Orca ou un autre acteur pure-play peut maintenir sa pertinence alors que les mégavendeurs consolident le marché.

---

Sources et lectures complémentaires

• Gartner – Is the Cloud Secure?
• IBM Cost of a Data Breach Report 2025
• IBM Newsroom – 2025 Data Breach Report Key Findings
• Wiz $1 Billion Funding Round and $12 Billion Valuation
• Google Announces Agreement to Acquire Wiz
• DOJ Clears Google $32B Acquisition of Wiz – TechCrunch
• Wiz Walks Away from Google’s $23B Acquisition Offer – TechCrunch
• Palo Alto Networks FY2025 Financial Results
• CrowdStrike Acquires Bionic for ASPM
• Toyota Cloud Data Exposure – BleepingComputer
• Toyota Data Breach Reflection – Cloud Security Alliance
• Markets and Markets – CNAPP Market Report
• Mordor Intelligence – CNAPP Market Size
• Sysdig Named Leader in CNAPP – Forrester Wave Q1 2026
• Orca Security Series C Funding Announcement
• Lacework Acquisition by Fortinet – BankInfoSecurity
• Rapid7 Acquires DivvyCloud – TechCrunch
• Wiz AI-Powered Remediation with Amazon Bedrock
• HIPAA Journal – Largest Healthcare Data Breaches of 2025