Des incidents plus fréquents
82 % des exploitants de data centers déclarent avoir subi un incident de cybersécurité au cours des trois dernières années. Sept points de plus qu'en 2024. Le chiffre vient de l'enquête 2026 de l'Uptime Institute consacrée à la cybersécurité de ces infrastructures.
Dans le même temps, la proportion de ceux qui jugent leur incident le plus grave significatif, sérieux ou sévère baisse de trois points, à 23 %. Rassurant ? Pas tant que ça. La gravité recule, la fréquence augmente. Ce sont deux mesures différentes du risque.
Une facture qui s'alourdit
18 % des répondants évaluent le coût de leur incident le plus impactant à plus d'un million de dollars en 2026. Ils étaient 10 % en 2025. Ce coût comprend les frais directs, les pertes d'opportunité, l'atteinte à la réputation. Et le poste le plus lourd reste l'interruption d'exploitation.
Des causes très concrètes
La hiérarchie des causes est parlante. Vulnérabilités logicielles, 23 %. Mauvaises configurations réseau, 16 %. Accès non autorisés, 14 %. Services informatiques de tiers, 14 %. Défaillances matérielles, 12 %. Lacunes de sécurité des systèmes OT et IoT, 7 %.
Autrement dit, un data center n'est plus seulement un bâtiment à protéger par des badges et des caméras. C'est un ensemble de systèmes informatiques et techniques interconnectés, en partie exploités par des tiers. Sa cybersécurité relève de l'exploitation quotidienne. Au même titre que l'énergie ou le refroidissement.
L'application, pas les règles
Interrogés sur ce qui aurait pu éviter leur incident, les exploitants citent d'abord la surveillance et la gestion des vulnérabilités, 53 %. Puis les compétences et la formation des équipes, 52 %. Puis l'application des procédures de sécurité de l'entreprise, 51 %. Il s'agit de perceptions, pas de mesures d'efficacité. Mais le message est net : les règles existent, leur application constante fait défaut.
Ce que doivent demander les hébergés
Pour une entreprise qui confie ses serveurs à un tiers, la certification du site ne suffit plus. Concrètement, il faut interroger l'exploitant sur sa gestion des vulnérabilités, sur l'encadrement de ses propres prestataires techniques, sur ses délais de notification en cas d'incident. Et l'inscrire au contrat. La sécurité des systèmes d'information de l'hébergé commence chez son hébergeur.
