Haut de page
Une cyberattaque peut effacer une année de résultat opérationnel en l’espace de quelques semaines, faisant de la cybersécurité une nécessité défensive.
Avec le développement constant de la numérisation de l’économie, l’accélération de l'intelligence artificielle (IA) et la persistance des tensions géopolitiques, la fréquence, la sophistication et les conséquences financières des cyberattaques ne cessent d'augmenter. Les entreprises de tous les secteurs, et pas seulement celles traditionnellement considérées comme à risque, sont désormais exposées. Pour les investisseurs de long terme, la question n’est pas de savoir si le risque cyber existe, mais de savoir si les entreprises sont prêtes à le gérer.
En 2025, nous avons appliqué notre cadre d’évaluation propriétaire de la cybersécurité à certaines sociétés en portefeuille que nous considérons comme relativement exposées au risque cyber, afin d’évaluer ce risque potentiellement significatif sur le plan financier au niveau de l’entreprise.
Les menaces potentielles
La cybercriminalité devrait coûter 10 500 milliards de dollars en 2025, soit près de 50 fois plus que les investissements dans la cybersécurité.1 La société d’évaluation du crédit Equifax a mis en exergue la fréquence croissante des attaques : en 2024, elle a dû réagir à plus de 15 millions de cybermenaces, soit près de 175 tentatives hostiles chaque seconde et une augmentation de 25 % par rapport à 2023.2 Des incidents largement relayés par les médias continuent d’illustrer l’ampleur des dommages potentiels. En 2025, les attaques par rançongiciel (« ransomware ») au Royaume-Uni ont perturbé l’activité de grandes entreprises et entraîné des pertes de bénéfices et des coûts de remédiation se chiffrant à plusieurs centaines de millions.
De nombreux dirigeants reconnaissent que des lacunes subsistent en matière de préparation. Selon une enquête récente3, la majorité des directeurs de la sécurité de l’information s’attendent à une attaque massive lors des 12 prochains mois, mais une proportion significative d’entre eux s’estiment insuffisamment préparés pour y répondre.
Compte tenu de la dématérialisation généralisée de l’économie, toutes les entreprises sont désormais dépendantes des données. Par conséquent, la taille des « surfaces d’attaque » des entreprises, à savoir le nombre de vecteurs d’accès via lesquels un utilisateur non autorisé peut entrer dans un système et en extraire des données, a clairement augmenté. D’autres facteurs sont susceptibles d’accroître les surfaces d’attaque d’une entreprise :
- L’automatisation à grande échelle et l’Internet des objets (IoT)4
- Une dépendance accrue aux infrastructures cloud et hybrides
- Une dépendance renforcée à l’égard des prestataires extérieurs
- Des chaînes d’approvisionnement mondiales plus complexes
- Des effectifs plus nombreux et plus dispersés
- Les opérations de fusions-acquisitions&5
Si les erreurs humaines demeurent l'une des principales causes des violations de sécurité, les vulnérabilités des chaînes d'approvisionnement deviennent tout aussi importantes. Pour les entreprises procédant à de nombreuses acquisitions, une due diligence insuffisante en matière de cybersécurité peut introduire des risques cachés.
Des technologies nouvelles qui changent la donne
L'IA redéfinit la cybersécurité. D'une part, l'IA générative (IAG) réduit les barrières imposées aux cyber-criminels. Les campagnes d’hameçonnage (« phishing ») deviennent plus efficaces, l'analyse des vulnérabilités peut être automatisée à grande échelle et les activités malveillantes peuvent être déployées de manière plus rapide et sophistiquée. En revanche, des moyens de défense renforcés à base d’IA peuvent considérablement réduire le temps nécessaire pour détecter les menaces et y réagir. Selon les dernières recherches, les organisations ayant intégré l’IA dans leur dispositif de cybersécurité subissent des coûts moyens de violation plus faibles et peuvent réagir plus rapidement.6 Cependant, les entreprises doivent également prendre en compte les autres obligations de sécurité des outils d’IA, puisque les études menées estiment que les vulnérabilités liées à l’IA sont le risque cyber qui a crû le plus rapidement en 2025.7
L’informatique quantique représente une menace plus lointaine dans le temps, mais potentiellement transformative. La menace des attaques dites « Harvest now, decrypt later » (Récolter maintenant, déchiffrer plus tard) qui impliquent un vol immédiat de données cryptées et un déchiffrage à plus longue échéance, créé un risque pour les données sensibles à longue durée de vie, notamment les registres financiers, la propriété intellectuelle et les informations de santé. Cependant, des moyens de défense sont déjà en cours de développement. En 2024, aux États-Unis, le National Institute of Standards and Technology (NIST) a publié ses premières normes de cryptographie post-quantique (PQC) et les agences américaines de cybersécurité incitent désormais les organisations à prendre des mesures préventives face aux innovations quantiques. Comme les transitions dans ce domaine prennent généralement de nombreuses années, mieux vaut se préparer de manière précoce à la cryptographie post-quantique, en particulier pour les entreprises détenant des données sensibles avec une longue durée de vie.
Cadre interne d’évaluation de la cybersécurité
Afin d’évaluer de manière rationnelle et comparable les risques de cyber-sécurité, nous avons développé notre propre cadre d’évaluation. Ce dispositif évalue des indicateurs positifs et négatifs selon six piliers :
1. Gouvernance :Selon nous, les meilleures pratiques incluent une supervision de la cybersécurité au niveau du conseil d’administration, la présence d’administrateurs disposant d’une expertise pertinente, ainsi qu’une définition claire des responsabilités. La cybersécurité doit être intégrée à la gestion globale des risques d’une entreprise et ne pas être traitée comme une fonction informatique isolée.
2. Ressources, formation et culture : La technologie, à elle seule, est insuffisante. Conformément à notre cadre d’analyse, une approche mature repose sur des équipes spécialisées, la mise en place de simulations de phishing, assorties de formations complémentaires pour les employés ayant échoué, ainsi que sur une culture d’entreprise fondée sur la sensibilisation aux enjeux de cybersécurité..
3. Risque lié aux tiers et aux fusions-acquisitions : Notre système d’évaluation met aussi l’accent sur les preuves existantes d’un écosystème résilient, notamment une analyse approfondie des chaînes d’approvisionnement, des garanties contractuelles et l’intégration des analyses de cybersécurité aux décisions d’acquisition.
4. Processus et contrôles : Les indicateurs positifs incluent l’alignement sur des cadres de référence reconnus, ainsi que la mise en place de contrôles tels que la gestion des identités et des accès, la détection et la réponse sur les terminaux (EDR), et la gestion des menaces et des vulnérabilités. Les défenses renforcées par l’intelligence artificielle, ainsi qu’une sensibilisation et une planification précoces aux normes de cryptographie post‑quantique, sont également des atouts majeurs.
5. Préparation de la réponse : La rapidité de la réponse et du confinement de l’attaque détermine souvent l’ampleur de l’impact financier. Notre cadre d’analyse examine si les entreprises procèdent à des tests réguliers de réponse aux incidents, à des simulations impliquant la direction et à une planification des scénarios.
6. Éléments d’assurance externes : Nous nous intéressons aux audits indépendants, aux certifications (comme la norme ISO 270018), aux assurances contre les risques cyber et à la transparence de la communication sur les risques quantitatifs, autant de facteurs qui valident de manière plus approfondie les contrôles internes.
En 2025, nous avons interpellé 10 entreprises de nos portefeuilles qui sont selon nous les plus exposées au risque de cybersécurité. Une cyberattaque majeure ne peut jamais être exclue, mais nous estimons que ces entreprises gèrent globalement bien ce risque. Voici quelques exemples de bonnes pratiques :
- Déploiement de moyens de défense reposant sur l’IA, qui réduisent significativement le délai moyen de détection et de réponse aux incidents.
- Interruption des relations avec des fournisseurs, voire des opérations de rachat, si les normes de cybersécurité se révèlent insuffisantes.
- Adoption d’une stratégie reposant sur des binômes de fournisseurs pour renforcer la résilience de la chaîne d’approvisionnement.
- Mise en œuvre de contrôles visant à limiter le « champ d’impact » d’une attaque, par exemple grâce à la segmentation du réseau et à l’authentification multifactorielle.
- Enseignements tirés des incidents précédents, démontrant une culture d’amélioration en continu.
- Obtention d’une validation indépendante des contrôles (p. ex. avec la norme ISO 27001)
- Publication d’indicateurs quantitatifs afin d’améliorer la transparence pour les investisseurs.
- Tests précoces de performance des normes de cryptographie post-quantique.
Conséquences en matière d’investissement : risques et opportunités
L’accélération et la multiplication des menaces dopent la croissance des dépenses de cybersécurité. Selon les prévisions des professionnels du secteur, les dépenses mondiales de cybersécurité ont dépassé 200 milliards de dollars en 2025 et leur taux de croissance va rester supérieur à 10 %.9 Une enquête menée auprès de directeurs des systèmes d'information a montré que les budgets consacrés à la cybersécurité augmentaient plus rapidement que les dépenses globales en logiciels.10
Cet environnement est à la fois source de risques et d’opportunités. En matière de risque, les entreprises qui sous-investissent dans les moyens de défense contre le risque cyber sont exposées à un risque accru de cyberattaques susceptibles d’avoir un impact financier significatif. S’agissant des opportunités, les fournisseurs de solutions de cybersécurité et les plateformes intégrées aux écosystèmes des entreprises devraient enregistrer une demande en forte croissance.
Plusieurs entreprises figurant dans nos portefeuilles présentent une exposition prononcée à la cybersécurité :
- Microsoft, dont l’activité de cybersécurité est la plus importante au monde, estimée à 30 milliards de dollars après avoir plus que doublé ces trois dernières années.11
- Visa, qui met à profit son expertise en sécurité des paiements et en prévention de la fraude pour fournir à ses clients des services de conseil en cybersécurité.
- Alphabet, dont l’exposition à la cybersécurité va augmenter avec son acquisition de Wiz, une plateforme de sécurité cloud de premier plan, pour un montant de 32 milliards de dollars.
- Experian, dont les solutions de vérification d’identité et de prévention de la fraude ont aidé les entreprises à éviter des pertes estimées à 19 milliards de dollars.12
Une réalité peu réconfortante
Aucun système de cybersécurité ne peut garantir une protection totale. Cependant, savoir distinguer les entreprises qui sont prêtes et celles qui ne le sont pas devient de plus en plus un avantage déterminant. La résilience au risque cyber est à la fois une nécessité défensive et un avantage concurrentiel potentiel. Les entreprises qui renforcent leur gouvernance, investissent dans des capacités défensives sophistiquées et s’adaptent rapidement aux évolutions technologiques sont selon nous les mieux placées pour protéger leur activité et leur valeur actionnariale.
Featured Insights
