RSA Conference 2026 : La migration PQC force les CISO à faire machine arrière

La RSA Conference 2026 est terminée depuis le 1er mai. 41 000 participants, 670 exposants, 480 sessions. Ceux qui reviennent d’Allemagne, d’Autriche et de Suisse ont des impressions, des gonflements dans les jambes et un tas de cartes de visite. Ceux qui apportent une feuille de route pour 2026 ont identifié cinq thèmes : la cryptographie post-quantique comme obligation de migration, la détection sous forme de code comme nouveau standard, l’intelligence artificielle dans le flux de travail SOC, la consolidation des fournisseurs comme question de conseil d’administration et la détection des menaces liées à l’identité comme une lacune étonnamment urgente. Ces cinq thèmes façonneront les priorités des CISO d’Allemagne, d’Autriche et de Suisse au cours des douze prochains mois.

04.05.2026

Connexes :LiteLLM CVE-2026-42208 : injection SQL dans l’infrastructure de proxy d’intelligence artificielle – pourquoi une réponse aux incidents autre que les applications web classiques est nécessaire  /  EU-AI-Act : date limite haute risque, 2 août 2026 – un vide de supervision

Ce qui est vraiment nouveau en 2026

Qu’est-ce que la RSAC 2026 comme indicateur ? Une foire sectorielle rassemblant 41 000 participants, 670 exposants et 480 sessions, qui se tient chaque année depuis 1995 à San Francisco. Elle n’est pas tant une fête des annonces que le mécanisme de tri : ce qui apparaît simultanément dans plusieurs pavillons des fournisseurs devient le standard des douze prochains mois. Ce qui ne se passe qu’à un stand n’est que du hype. Ceux qui reviennent d’Allemagne, d’Autriche et de Suisse ont des impressions selon leur fréquence, et non selon leur décor.

Ce qui est nouveau en 2026, c’est la concentration sur les questions opérationnelles plutôt que sur les visions de plateforme. La consolidation des fournisseurs, le renforcement de la couche d’identité et la migration PQC ne sont pas des sujets de hype, mais des axes de roadmap avec des coûts et des délais. Les keynote des grands acteurs comme Cisco, CrowdStrike et Wiz ont mis en avant une approche moins axée sur la disruption, mais davantage sur la substance architecturale.

Les cinq devoirs pour les DACH-CISO

Premièrement, lancer la migration vers la cryptographie post-quantique. Les normes NIST FIPS 203, 204 et 205 sont définitives, et le BSI a déjà activement publié ses premières recommandations PQC dans la TR-02102-1. Les sessions de la RSAC consacrées à l’inventaire des solutions cryptographiques étaient sans exception bondées. Le devoir : réaliser un inventaire cryptographique couvrant TLS, VPN, signature de code, modules matériels de sécurité, et identifier quelles composantes devront être hybrides en 2027 ou 2028, puis purement PQC à partir de 2030. Fenêtre de migration réaliste : 18 à 24 mois pour l’inventaire et l’adaptation de l’architecture.

Deuxièmement, faire de la détection sous forme de code une obligation pour les SIEM. Plusieurs grands fournisseurs de SIEM (Splunk, Elastic, Sumo Logic, Microsoft Sentinel) ont révélé lors de la RSAC que leur contenu de détection sera nativement intégré dans des dépôts Sigma ou YAML dès 2026, avec workflow Git, pull requests et validation CI. Le modèle opérationnel du SOC évolue ainsi d’un opérateur qui se contente de cliquer sur l’interface vers un ingénieur en détection. Le devoir : adapter le profil de compétences du SOC et la chaîne d’outils, faute de quoi le backlog de détection sera vide en 2027.

Troisièmement, l’IA dans le SOC n’est plus une démonstration, mais un véritable flux de travail. Microsoft Security Copilot, Google Security AI, CrowdStrike Charlotte et IBM watsonx Cybersecurity sont déjà visibles dans des SOC bancaires en production. La réalité opérationnelle : la triage de premier niveau effectué par l’IA, avec possibilité de surcharge humaine en cas d’escalade, réduit le MTTR de 35 à 50 %. Le devoir : mettre en ordre la propreté des données et le schéma de journalisation, car la couche proxy de l’IA constitue également une surface d’attaque.

Quatrièmement, la consolidation des fournisseurs est désormais une question de conseil d’administration. 47 outils par groupe DACH (Gartner Q1/2026), dont 78 % souhaitent passer à 25 ou moins. Il ne s’agit pas d’une initiative d’efficacité, mais d’une intervention opérationnelle : moins d’outils signifie moins de dispersion des compétences, des flux de données plus clairs et une meilleure confiance dans chaque fournisseur. Dans le hall des exposants de la RSAC, plusieurs acteurs de la consolidation de plateformes (Palo Alto Networks Cortex, Microsoft Defender, CrowdStrike Falcon) étaient nettement plus visibles que les solutions pointues. Le devoir : mener un audit de 90 jours de la paysage des outils, afin d’identifier clairement les candidats à la suppression.

Cinquièmement, la détection des menaces liées à l’identité représente une lacune surprenante. Plusieurs sessions de la RSAC ont démontré, à l’appui de données, que les stacks EDR/XDR actuels ne couvrent qu’en partie les menaces liées à l’identité (vol de jetons, détournement de session, phishing OAuth). Des solutions spécifiques ITDR (Authomize, Silverfort, Crowdstrike Identity Protection) étaient présentes dans près d’un boot sur deux. Le devoir : examiner la couche identité au sein de la pile SOC et mener des analyses de gap en collaboration avec l’équipe IAM.

Deux voix de CISO de la région DACH venues de San Francisco

Deux CISO de grandes banques allemandes ont partagé leur point de vue en marge de la conférence ; voici les mots-clés issus des échanges, anonymisés pour des raisons de conformité.

« Nous sommes arrivés avec trois sujets à l’ordre du jour, nous repartons avec cinq. La détection des menaces liées à l’identité (Identity Threat Detection) n’était pas au programme, c’est désormais une priorité absolue pour le troisième trimestre. Nous pouvons couvrir cet écart grâce au budget courant, car nous réalisons des économies à six chiffres lors de la consolidation de notre solution EDR. »

« Pour nous, la cryptographie post-quantique (PQC) n’est pas un enjeu pour 2030, mais pour 2027. Les autorités de surveillance nous ont fait remarquer l’absence d’inventaire cryptographique. Ce qui nous aide depuis San Francisco, c’est la clarté apportée par le fait que le standard NIST FIPS 203 est utilisé en production et ne reste pas bloqué au stade de la recherche. Cela facilite le déblocage des budgets. »

Ce qui bascule : des compromis honnêtes

Trois points de friction se cachent dans ces cinq priorités. Premièrement, la consolidation des fournisseurs coûte en termes de confiance : une pile technologique reposant sur deux plateformes offre moins de résilience face aux faillites de fournisseurs ou aux incidents de la chaîne d’approvisionnement qu’un mélange d’outils spécialisés. Ceux qui consolident doivent repenser la diversité des fournisseurs (par exemple via des contrats multi-régions ou un fournisseur de secours pour les contenus de détection). Deuxièmement, la « Detection-as-Code » exige des compétences d’ingénierie au sein du SOC qui ne font pas partie du profil standard actuel. Il faut compter trois à six mois de montée en compétence par analyste, ce qui est réaliste. Troisièmement, l’IA dans le SOC réduit la charge du niveau 1, mais complexifie le niveau 2 : moins de triage routinier, plus d’analyse d’escalade avec une causalité incertaine.

L’observation honnête tirée des sessions : personne n’a de plan complet pour 2026, tous disposent de feuilles de route fondées sur des hypothèses. Ceux qui communiquent cela de manière transparente obtiennent davantage la confiance du conseil d’administration que ceux qui fournissent des réponses toutes faites.

Foire aux questions

Chaque question est verrouillée. Un clic déverrouille la réponse.

Quels composants cryptographiques sont les plus urgents dans la migration vers la PQC ?

La terminaison TLS aux points de terminaison externes et l’infrastructure de signature de code sont en tête de liste, car la provenance cryptographique doit rester auditable même après plusieurs années. Les concentrateurs VPN et les HSM suivent, souvent avec une durée de vie matérielle plus longue que prévu. La signature JWT dans les passerelles API et les signatures électroniques qualifiées complètent cette liste critique.

La « Detection-as-Code » vaut-elle la peine pour les SOC de taille moyenne (5 à 15 analystes) ?

Oui, car elle accélère l’intégration de nouveaux contenus de détection et permet le versionnage. Pour les petites équipes, un seul dépôt Sigma avec validation via GitHub Actions et déploiement manuel suffit. L’effort nécessaire à la mise en place et à la maintenance se situe, selon l’expérience, entre 0,3 et 0,7 ETP la première année, puis 0,2 ETP pour 100 règles de détection.

Combien d’outils de sécurité constituent un objectif réaliste après consolidation ?

Gartner considère 25 comme l’état cible médian pour les grands groupes de la région DACH en 2028. Fourchette réaliste : 30 à 35 outils pour les entreprises aux paysages informatiques complexes, 15 à 20 pour les PME. En dessous de 10, la consolidation devient dangereuse : trop de concentration chez les fournisseurs et perte des avantages du « best-of-breed » pour des cas d’usage spécifiques.

Où s’insère l’ITDR dans la pile SOC existante ?

L’ITDR se situe entre l’IAM et le SIEM. Il consomme les événements d’identité (connexions, délivrance de jetons, élévation de privilèges) provenant d’AD/Entra ID/Okta et les corrèle avec les données du SIEM. La charge de mise en œuvre pour une configuration de taille moyenne est de trois à six mois, avec un accent mis sur le schéma des événements d’identité et l’analyse du cycle de vie des jetons.