65% des organisations prévoient de remplacer leur VPN d’ici un an, soit 23% de plus que dans l’édition précédente de la même enquête, et 81% adoptent ou prévoient une stratégie zero trust (Zscaler ThreatLabz 2025 VPN Risk Report). La pression vient autant des attaquants que des architectes. Le DBIR 2025 de Verizon a constaté que les appareils edge et les VPN sont passés de 3% à 22% de l’activité d’exploitation de vulnérabilités, et M-Trends 2026 de Mandiant classe les exploits comme première porte d’entrée dans un réseau pour la sixième année de suite. L’argent suit : Dell’Oro Group chiffre le chiffre d’affaires du SASE à 3,5 milliards de dollars au T2 2026, son cinquième trimestre consécutif de croissance supérieure à 20%. Pour le versant grand public du marché, consultez nos statistiques d’utilisation des VPN. Nous avons agrégé des données de Zscaler ThreatLabz et Cybersecurity Insiders, Dell’Oro Group, Verizon, Google Mandiant, la CISA, Gartner, Okta, Gallup et les autres sources primaires listées dans la méthodologie.
TL;DR
- 65% des organisations prévoient de remplacer leurs services VPN d’ici un an, en hausse de 23% par rapport à l’enquête précédente (Zscaler ThreatLabz 2025 VPN Risk Report).
- 56% des organisations ont déclaré des violations exploitant un VPN au cours de l’année écoulée (Zscaler ThreatLabz 2025 VPN Risk Report).
- Les CVE VPN ont augmenté de 82,5% entre 2020 et 2025, sur 411 vulnérabilités analysées (Zscaler ThreatLabz, 2025).
- La part des appareils edge et des VPN dans l’exploitation de vulnérabilités est passée de 3% à 22%, soit presque 8 fois plus (Verizon DBIR 2025).
- 31% des violations commencent désormais par des vulnérabilités logicielles, devant les mots de passe volés (Verizon DBIR 2026).
- Les exploits ont été le premier vecteur d’infection initial pour la sixième année consécutive, à 32% (Mandiant M-Trends 2026).
- La CISA a ordonné aux agences fédérales de déconnecter tous les équipements VPN Ivanti avant le 2 février 2024 (CISA ED 24-01).
- Le chiffre d’affaires du SASE a atteint 3,5 milliards de dollars au T2 2026, avec plus de 20% de croissance pour un cinquième trimestre consécutif (Dell’Oro Group, septembre 2026).
- Le SASE devrait atteindre 24 milliards de dollars d’ici 2030, avec un TCAC de 15% (Dell’Oro Group, août 2026).
- Gartner prédisait qu’au moins 70% des nouveaux déploiements d’accès à distance utiliseraient le ZTNA plutôt que le VPN d’ici 2025, contre moins de 10% en 2021 (Gartner, via Data Center Knowledge).
- L’adoption de la MFA à haut niveau d’assurance est passée de 41% à 58% (Okta Businesses at Work 2026).
- 52% des salariés américains pouvant télétravailler sont en mode hybride et 26% en télétravail complet (Gallup, mai 2026).
1. Intention de remplacement des VPN : la plupart des entreprises ont décidé, moins ont agi
La phase de décision est terminée ; la question ouverte est de savoir à quelle vitesse les entreprises peuvent exécuter. Dans le Zscaler ThreatLabz 2025 VPN Risk Report, réalisé avec Cybersecurity Insiders à partir d’une enquête auprès de 632 professionnels de l’informatique et de la sécurité début 2025, 65% des organisations ont déclaré prévoir de remplacer leurs services VPN dans l’année, soit un bond de 23% par rapport au rapport précédent. 56% ont indiqué que les risques de sécurité et de conformité avaient rendu les VPN traditionnels obsolètes, et 96% ont mis en œuvre, planifié ou adhéré à une approche zero trust.
L’intention a longtemps devancé la réalité sur ce sujet. Gartner prédisait que d’ici 2025 au moins 70% des nouveaux déploiements d’accès à distance reposeraient sur le ZTNA plutôt que sur le VPN, contre moins de 10% fin 2021, et prévoyait une croissance des dépenses en ZTNA de 31% en 2023 (Data Center Knowledge, octobre 2022). Le mot clé est « nouveaux » : les concentrateurs VPN installés continuent de fonctionner jusqu’à ce qu’un contrat, une panne ou une violation force le changement, ce qui explique pourquoi près de deux entreprises sur trois (65%) n’en étaient encore qu’au stade de la planification en 2025.
| Métrique | Valeur | Source |
|---|---|---|
| Organisations prévoyant de remplacer leur VPN dans l’année | 65% (hausse de 23% par rapport au rapport précédent) | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 VPN Risk Report |
| Adoptant ou prévoyant le zero trust sous 12 mois / favorables au zero trust globalement | 81% / 96% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Estiment que les risques de sécurité et de conformité ont rendu les VPN obsolètes | 56% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| Nouveaux déploiements d’accès à distance utilisant le ZTNA, 2025 (prédiction) | Au moins 70%, contre moins de 10% en 2021 | Gartner, via Data Center Knowledge, 2022 |
| Prévision de croissance des dépenses en ZTNA, 2023 | 31% | Gartner, via Data Center Knowledge, 2022 |
| Intérêt pour les modèles zero trust (enquête AFCOM) | 56% (2021) à 79% (2022) | AFCOM, via Data Center Knowledge, 2022 |
| Organisations nord-américaines travaillant sur des projets zero trust | 60% (40% dans le monde), contre 16% en 2019 | Okta State of Zero Trust Security, 2020 |
Note de contexte : les chiffres de Gartner et d’Okta sont les données les plus récentes disponibles (2020 à 2022) et servent de références de base. Le rapport de Zscaler a été commandité par un fournisseur de ZTNA ; ses chiffres d’intention de remplacement doivent donc être lus comme une indication de tendance plutôt que comme un recensement du marché. Nos statistiques sur la sécurité zero trust couvrent le cadre plus large au-delà de l’accès à distance.
2. Où en sont réellement les entreprises : infrastructures héritées et étapes de déploiement
Sous les gros titres, la plupart des réseaux ressemblent encore à ceux de 2015. 24% des organisations accordent encore un accès réseau ouvert à tout utilisateur authentifié, et 28% de plus s’appuient sur des règles de pare-feu réseau statiques (Cybersecurity Insiders, Zscaler ThreatLabz 2025 VPN Risk Report). C’est exactement le schéma que le ZTNA est conçu pour éliminer : une fois la session VPN établie, un réseau à plat permet à un attaquant de se déplacer librement. Sans surprise, 71% des répondants classent le mouvement latéral parmi leurs principales préoccupations, et le résumé de l’enquête publié par Zscaler situe à 89% la part de ceux qui s’en inquiètent.
Le déploiement du zero trust est réel mais échelonné. Seules 35% des organisations le mettent déjà en œuvre, 24% prévoient un déploiement sous six mois et 22% ont une stratégie pour l’année suivante. Le pare-feu reste le contrôle par défaut, utilisé par 84%. L’identité avance plus vite que le réseau : Businesses at Work 2026 d’Okta indique que l’adoption de la MFA à haut niveau d’assurance est passée de 41% à 58%, tandis que les menaces ont progressé 6,3 fois plus vite que l’adoption de l’authentification à haut niveau d’assurance.
| Métrique | Valeur | Source |
|---|---|---|
| Modèle d’accès : accès ouvert pour les utilisateurs authentifiés / règles de pare-feu statiques | 24% / 28% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Statut zero trust : en cours de mise en œuvre / sous 6 mois / l’an prochain | 35% / 24% / 22% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Outils de défense déployés : pare-feu / WAF / NAC / VPN | 84% / 58% / 54% / 43% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Classent le mouvement latéral parmi les principales préoccupations | 71% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Adoption de la MFA à haut niveau d’assurance | 41% à 58% | Okta Businesses at Work 2026 |
| Croissance des menaces face à l’adoption de l’authentification à haut niveau d’assurance | 6,3 fois plus rapide | Okta Businesses at Work 2026 |
| Part citant le réseau parmi les principaux facteurs de décision d’accès | 55% (2019) à 20% (2020) | Okta State of Zero Trust Security, 2020 |
Note de contexte : le chiffre de 43% pour « s’appuient sur des VPN » provient d’une question sur les outils de défense utilisés et ne signifie pas que 57% des répondants n’exploitent aucun VPN ; l’enquête visait des organisations utilisatrices de VPN. Les données d’Okta de 2020 sur le facteur réseau ont plus de trois ans (données les plus récentes disponibles).
3. La surface d’attaque des VPN : les CVE continuent de croître
La raison pour laquelle le remplacement des VPN est passé de la feuille de route informatique à l’ordre du jour des conseils d’administration est le nombre de vulnérabilités. Zscaler ThreatLabz a analysé 411 CVE VPN publiées entre 2020 et 2025 et constaté que les CVE VPN ont augmenté de 82,5% sur la période, environ 60% des vulnérabilités de 2024 étant classées élevées ou critiques (blog Zscaler ThreatLabz, 2025). L’exécution de code à distance était l’impact le plus fréquent, avec 149 CVE sur les cinq années et 32 rien qu’en 2024.
La répartition compte plus que le total. Une passerelle VPN est exposée à Internet par conception ; une faille d’exécution de code à distance sur cet équipement est donc une porte d’entrée sans authentification vers le réseau d’entreprise, et non un simple bogue local. Les CVE de déni de service ont triplé, de 9 en 2020 à 27 en 2024, et les CVE d’élévation de privilèges ont augmenté de 66,7%. Par ailleurs, le catalogue des vulnérabilités connues exploitées de la CISA comptait 1 733 entrées lors de notre consultation en octobre 2026, et le blog de ThreatLabz en cite une, la faille critique Ivanti CVE-2025-22457, comme bogue VPN exploité que les agences avaient reçu l’ordre de corriger. Les conséquences côté violations sont suivies dans nos statistiques sur les violations de données.
| Métrique | Valeur | Source |
|---|---|---|
| CVE VPN analysées, 2020 à 2025 | 411 | Zscaler ThreatLabz, 2025 VPN Risk Report |
| Croissance des CVE VPN, 2020 à 2025 | +82,5% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| CVE VPN de 2024 classées élevées ou critiques | Environ 60% (83 CVE) ; CVE élevées/critiques +38,9% par rapport à 2020 | Zscaler ThreatLabz, 2025 VPN Risk Report |
| CVE VPN d’exécution de code à distance | 149 au total, 32 en 2024 | Zscaler ThreatLabz, 2025 VPN Risk Report |
| CVE VPN de déni de service | 9 (2020) à 27 (2024), +200% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| CVE VPN d’élévation de privilèges | +66,7% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| Entrées du catalogue des vulnérabilités connues exploitées de la CISA | 1 733 (octobre 2026) | Catalogue KEV de la CISA |
Note de contexte : ces lignes de CVE proviennent d’une seule analyse de ThreatLabz et comptent comme une source unique. Zscaler vend le produit ZTNA qui remplace les VPN ; l’analyse n’est donc pas neutre, même si les décomptes de CVE eux-mêmes sont publics et vérifiables.
4. De la vulnérabilité à la violation : ce que montrent les données d’incidents
La tendance des CVE n’est pas théorique ; elle apparaît dans les enquêtes sur les violations. Le Data Breach Investigations Report 2025 de Verizon a constaté que les appareils edge et les VPN sont passés de 3% à 22% de l’activité d’exploitation de vulnérabilités, un bond de près de huit fois en un an, et que seules 54% de ces vulnérabilités edge ont été entièrement corrigées, avec un délai médian de 32 jours (analyse d’Eclypsium du Verizon DBIR 2025). La publication 2025 de Verizon indique aussi que l’exploitation de vulnérabilités comme vecteur initial a progressé de 34%, représentant 20% des violations contre 22% pour l’abus d’identifiants, sur 12 195 violations confirmées.
Avec l’édition 2026, le croisement est achevé : le Verizon DBIR 2026 indique que 31% des violations commencent désormais par des vulnérabilités logicielles, devançant les mots de passe volés comme premier point d’entrée. Les données de réponse aux incidents de Mandiant concordent. M-Trends 2026 classe les exploits comme vecteur d’infection initial le plus fréquent pour la sixième année consécutive, à 32%, et signale que la porte dérobée d’espionnage BRICKSTORM, qui s’installe sur des équipements réseau, est restée indétectée près de 400 jours en moyenne. Les équipements dépourvus d’agents de poste de travail sont l’endroit où les attaquants se cachent le plus longtemps.
| Métrique | Valeur | Source |
|---|---|---|
| Part des appareils edge et des VPN dans l’exploitation de vulnérabilités | 3% à 22% (presque 8 fois plus) | Verizon DBIR 2025, via Eclypsium |
| Vulnérabilités edge entièrement corrigées / délai médian de correction | 54% / 32 jours | Verizon DBIR 2025, via Eclypsium |
| Vecteur initial : abus d’identifiants contre exploitation de vulnérabilités | 22% contre 20% (exploitation +34%) | Verizon DBIR 2025 |
| Violations commençant par des vulnérabilités logicielles | 31% (premier point d’entrée) | Verizon DBIR 2026 |
| Violations impliquant un tiers | 30% (doublement par rapport à 15%) | Verizon DBIR 2025 |
| Exploits comme vecteur d’infection initial | 33% (enquêtes 2024), 32% (2025) | Mandiant M-Trends 2025 et 2026 |
| Temps de présence médian mondial | 11 jours (2024) à 14 jours (2025) | Mandiant M-Trends 2025 et 2026 |
| Temps de présence de la porte dérobée BRICKSTORM sur les équipements réseau | Près de 400 jours | Mandiant M-Trends 2026 |
Note de contexte : les chiffres de Verizon sur les appareils edge et les VPN ont été lus à travers l’analyse d’Eclypsium, car le DBIR complet est un téléchargement protégé ; les chiffres clés de 2026 proviennent de la page de présentation de Verizon. L’accès des tiers compte ici, car les comptes VPN sont souvent remis à des prestataires, et 93% des répondants de Zscaler s’inquiètent des portes dérobées via les connexions VPN de tiers. Les groupes de rançongiciels en sont les principaux bénéficiaires, comme le montrent nos statistiques sur les rançongiciels.
5. Réponse des pouvoirs publics : des directives d’urgence visant les passerelles VPN
Les régulateurs traitent désormais les équipements VPN comme un risque de niveau urgence. Le 19 janvier 2024, la CISA a publié la directive d’urgence 24-01 pour Ivanti Connect Secure et Policy Secure, couvrant trois CVE, et une instruction complémentaire a ordonné aux agences de déconnecter chaque instance Ivanti avant le 2 février 2024, de la réinitialiser aux paramètres d’usine et de considérer les comptes de domaine comme compromis. Un mois plus tard, l’avis conjoint AA24-060B a signalé que des attaquants pouvaient tromper l’Integrity Checker Tool d’Ivanti et conserver une persistance de niveau root malgré les réinitialisations d’usine.
Le schéma s’est répété avec un autre éditeur. La directive d’urgence 25-03, publiée le 25 septembre 2025 et mise à jour le 23 avril 2026, exigeait des vidages mémoire à des fins d’analyse forensique en environ une journée pour les équipements Cisco ASA exploités via CVE-2025-20333 et CVE-2025-20362. Quand un équipement de périmètre peut survivre à une réinitialisation, la seule solution sûre est de réduire le nombre d’équipements exposés, ce qui est la logique politique derrière le Zero Trust Maturity Model de la CISA.
| Métrique | Valeur | Source |
|---|---|---|
| Publication de l’ED 24-01 (Ivanti Connect Secure / Policy Secure) | 19 janvier 2024 ; 3 CVE | CISA ED 24-01 |
| Échéance de la première mesure d’atténuation / délai de correction après le correctif de l’éditeur | 22 janvier 2024 / 48 heures | CISA ED 24-01 |
| Échéance pour déconnecter toutes les instances Ivanti | 2 février 2024 (mots de passe réinitialisés deux fois avant le 1er mars 2024) | CISA ED 24-01, instruction complémentaire V1 |
| Persistance après réinitialisation d’usine démontrée | Oui, de niveau root | CISA AA24-060B, 29 février 2024 |
| Publication de l’ED 25-03 (Cisco ASA et Firepower) | 25 septembre 2025 ; 2 CVE | CISA ED 25-03 |
| Échéance d’inventaire de l’ED 25-03 / échéance de réinitialisation complète des Firepower | 2 octobre 2025 / 30 avril 2026 | CISA ED 25-03 |
| Zero Trust Maturity Model de la CISA | Version 2.0 ; 5 piliers, 3 capacités transversales, 4 niveaux de maturité | CISA ZTMM |
Note de contexte : les directives Ivanti datent de 2024, mais elles restent l’exemple le plus cité d’une gamme de produits VPN mise hors ligne dans l’ensemble du gouvernement fédéral américain. Le blog de Zscaler ThreatLabz signale aussi la CVE-2025-22457, une faille critique Ivanti exploitée de 2025, comme preuve que le problème ne s’est pas arrêté avec l’ED 24-01.
6. Taille du marché : les dépenses SASE et SSE continuent de se cumuler
Les dépenses confirment le basculement mieux que les enquêtes. Dell’Oro Group indique que le marché du SASE a atteint 3,5 milliards de dollars au T2 2026, son cinquième trimestre consécutif de croissance annuelle supérieure à 20% (Dell’Oro Group, septembre 2026). Au T1 2026, le marché a dépassé 3 milliards de dollars, en hausse de 21%, avec le Security Service Edge (l’ensemble SSE qui inclut le ZTNA) en hausse de 22% et le chiffre d’affaires des routeurs d’accès en baisse de 10%. Dell’Oro note que la croissance du SSE de base s’est modérée au T2 2026 tandis que la migration depuis les produits hérités se poursuivait, ce qui est le remplacement des VPN qui apparaît dans le chiffre d’affaires.
Les prévisions sont sans cesse révisées à la hausse. En février 2025, Dell’Oro projetait 17,0 milliards de dollars d’ici 2029 avec un TCAC de 12% ; en août 2026, il a relevé ses perspectives à 24 milliards de dollars d’ici 2030 avec un TCAC de 15%, le seul SSE de base dépassant 13 milliards de dollars. En 2022 déjà, Dell’Oro indiquait que le chiffre d’affaires du FWaaS et du ZTNA avait plus que doublé en un an (SDxCentral, juillet 2022).
| Métrique | Valeur | Source |
|---|---|---|
| Chiffre d’affaires SASE, T2 2026 | 3,5 milliards de dollars (5e trimestre consécutif au-dessus de +20% sur un an) | Dell’Oro Group, septembre 2026 |
| Chiffre d’affaires SASE, T1 2026 / croissance du SSE | Plus de 3 milliards de dollars, +21% / SSE +22% | Dell’Oro Group, juin 2026 |
| Chiffre d’affaires SASE, T2 2025 / croissance SSE / SD-WAN | 2,7 milliards de dollars, +22% / +19% / +27% | Dell’Oro Group, septembre 2025 |
| Part du chiffre d’affaires SASE des fournisseurs proposant à la fois SD-WAN et SSE | 84% (T2 2025) | Dell’Oro Group, septembre 2025 |
| Prévision SASE | 24 milliards de dollars d’ici 2030, TCAC de 15% ; SSE de base au-dessus de 13 milliards de dollars | Dell’Oro Group, août 2026 |
| Prévision SASE antérieure / part des fournisseurs uniques | 17,0 milliards de dollars d’ici 2029, TCAC de 12% / 90% du marché | Dell’Oro Group, février 2025 |
| Chiffre d’affaires de la sécurité réseau, T2 2025 / part du virtuel et du SaaS dans les nouvelles dépenses | 6,4 milliards de dollars, +8% / 78% | Dell’Oro Group, septembre 2025 |
| Chiffre d’affaires SSE, T1 2022 | Plus de 800 millions de dollars, +40% (FWaaS et ZTNA plus que doublés) | Dell’Oro Group, via SDxCentral, juillet 2022 |
Note de contexte : en 2022, Dell’Oro prévoyait que le marché du SASE dépasserait 13 milliards de dollars d’ici 2026 (SDxCentral, août 2022). Avec un T1 et un T2 2026 à plus de 3 milliards de dollars et à 3,5 milliards de dollars, le seul premier semestre dépasse 6,5 milliards de dollars, la prévision semble donc sur la bonne trajectoire. Dell’Oro indique aussi que la sécurité réseau devrait dépasser 26 milliards de dollars en 2025, les équipements matériels devant reculer de 2% tandis que les contrôles fournis depuis le cloud progressent de 20%.
7. Expérience utilisateur, coûts et main-d’œuvre hybride
La sécurité est l’argument principal en faveur du ZTNA, mais ce sont les frictions quotidiennes que les salariés remarquent. 51% des organisations estiment que leur VPN offre une mauvaise expérience utilisateur, et 37% se plaignent de coûts élevés (Zscaler ThreatLabz 2025 VPN Risk Report). Les plaintes sont banales : 23% signalent des connexions lentes, 20% des connexions complexes et 17% des erreurs d’authentification, tandis que 47% des équipes informatiques citent des exigences de correctifs fréquentes et 54% peinent à résoudre les incidents. Pour les appels vocaux et vidéo en temps réel, chaque saut supplémentaire par un concentrateur VPN central ajoute une latence que les utilisateurs perçoivent comme du décalage.
La main-d’œuvre pour laquelle les VPN ont été dimensionnés n’existe plus. Les données de mai 2026 de Gallup montrent que 52% des salariés américains pouvant télétravailler sont en mode hybride, 26% exclusivement à distance et seulement 22% entièrement sur site, une répartition stable depuis 2022. Un VPN conçu comme voie d’exception pour quelques collaborateurs en déplacement est désormais la route principale de 78% des salariés pouvant télétravailler (52% hybrides + 26% à distance), un thème que nous suivons dans nos statistiques sur le télétravail.
| Métrique | Valeur | Source |
|---|---|---|
| Estiment que le VPN offre une mauvaise expérience utilisateur / citent des coûts élevés | 51% / 37% | Zscaler ThreatLabz, 2025 VPN Risk Report |
| Principales plaintes : lenteur / connexion complexe / erreurs d’authentification | 23% / 20% / 17% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Charge de gestion : dépannage / correctifs fréquents / coûts en ressources | 54% / 47% / 41% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Bénéfices attendus du zero trust : sécurité et conformité / gestion simplifiée / réduction des coûts | 76% / 64% / 18% | Zscaler ThreatLabz / Cybersecurity Insiders, 2025 |
| Salariés américains pouvant télétravailler : hybride / télétravail complet / sur site | 52% / 26% / 22% (mai 2026) | Gallup Indicator: Hybrid Work |
| Salariés préférant l’hybride | 61% | Gallup Indicator: Hybrid Work |
Note de contexte : seuls 18% des répondants s’attendent à ce que le zero trust réduise les coûts d’exploitation ; l’argumentaire économique repose donc sur la réduction des risques et l’expérience utilisateur, et non sur des licences moins chères.
Résumé : adoption des VPN et du ZTNA en entreprise en chiffres
| Métrique | Valeur | Source |
|---|---|---|
| Prévoient de remplacer leur VPN dans l’année | 65% (+23% par rapport au rapport précédent) | Zscaler ThreatLabz 2025 VPN Risk Report |
| Adoptent ou prévoient le zero trust sous 12 mois | 81% | Zscaler ThreatLabz 2025 VPN Risk Report |
| Ont déclaré des violations exploitant un VPN l’an dernier | 56% | Zscaler ThreatLabz 2025 VPN Risk Report |
| Croissance des CVE VPN, 2020 à 2025 | +82,5% (411 CVE) | Zscaler ThreatLabz, 2025 |
| Accordent un accès ouvert aux utilisateurs authentifiés | 24% | Cybersecurity Insiders, 2025 |
| Part des appareils edge et des VPN dans l’exploitation | 3% à 22% | Verizon DBIR 2025 |
| Vulnérabilités edge entièrement corrigées | 54% (médiane de 32 jours) | Verizon DBIR 2025 |
| Violations commençant par des vulnérabilités logicielles | 31% | Verizon DBIR 2026 |
| Exploits comme premier vecteur d’infection initial | 32% (6e année consécutive) | Mandiant M-Trends 2026 |
| Temps de présence d’une porte dérobée sur équipement réseau | Près de 400 jours | Mandiant M-Trends 2026 |
| Taille du catalogue KEV de la CISA | 1 733 vulnérabilités | CISA, octobre 2026 |
| Échéance de déconnexion des VPN Ivanti pour les agences | 2 février 2024 | CISA ED 24-01 |
| Directive d’urgence Cisco ASA | 25 septembre 2025 | CISA ED 25-03 |
| Chiffre d’affaires SASE, T2 2026 | 3,5 milliards de dollars | Dell’Oro Group |
| Croissance du SSE, T1 2026 | +22% sur un an | Dell’Oro Group |
| Prévision SASE, 2030 | 24 milliards de dollars (TCAC de 15%) | Dell’Oro Group |
| Part du ZTNA dans les nouveaux accès à distance d’ici 2025 (prédiction) | Au moins 70% | Gartner |
| Adoption de la MFA à haut niveau d’assurance | 41% à 58% | Okta Businesses at Work 2026 |
| Part de l’hybride chez les salariés américains pouvant télétravailler | 52% | Gallup, mai 2026 |
| Signalent une mauvaise expérience utilisateur du VPN | 51% | Zscaler ThreatLabz 2025 VPN Risk Report |
Méthodologie et sources
Chaque chiffre ci-dessus a été lu pendant la recherche pour cet article et attribué à l’organisation qui l’a produit. Lorsqu’une page primaire était protégée ou bloquait l’accès automatisé (le DBIR complet de Verizon, la salle de presse de Gartner), nous avons utilisé un intermédiaire identifié qui cite l’étude originale et nous l’indiquons ci-dessous. Les estimations de taille de marché sans source pour le « marché du ZTNA » et le « marché du VPN » provenant de revendeurs de rapports et de listes SEO ont été exclues.
- Zscaler ThreatLabz et Cybersecurity Insiders, 2025 VPN Risk Report : communiqué de presse, blog de recherche ThreatLabz, résumé du rapport, page de détail de Cybersecurity Insiders
- Dell’Oro Group : SASE T2 2026, SASE T1 2026, SASE T2 2025, prévision SASE jusqu’en 2030 (PR Newswire, août 2026), prévision SASE jusqu’en 2029 (février 2025), Sécurité réseau T2 2025 ; chiffres 2022 via SDxCentral (juillet 2022) et SDxCentral (août 2022)
- Verizon : page de présentation du DBIR 2026, communiqué du DBIR 2025 ; détail sur les appareils edge et les VPN via Eclypsium
- Google Mandiant : M-Trends 2026, M-Trends 2025
- CISA : ED 24-01 (Ivanti), AA24-060B, ED 25-03 (Cisco), catalogue des vulnérabilités connues exploitées, Zero Trust Maturity Model
- Prédiction de Gartner sur le ZTNA et enquête AFCOM via Data Center Knowledge (octobre 2022)
- Okta : Businesses at Work 2026, State of Zero Trust Security in Global Organizations (2020)
- Gallup : Indicator: Hybrid Work (mai 2026)
- Note sur les données : les données d’enquête les plus riches propres aux VPN proviennent d’une seule étude commanditée par un fournisseur (Zscaler avec Cybersecurity Insiders, 632 répondants, début 2025) ; Zscaler vend du ZTNA, et ses propres pages donnent la préoccupation liée au mouvement latéral à la fois à 71% (classée parmi les principales préoccupations) et à 89% (préoccupés d’une manière ou d’une autre), nous citons donc chacun avec sa formulation. Aucun cabinet neutre ne publie gratuitement un décompte des VPN installés par rapport aux licences ZTNA, et la prédiction de Gartner de 70% de ZTNA pour 2025 n’a pas de bilan public. La taille du marché SASE provient uniquement de Dell’Oro Group : nous n’avons pas pu accéder aux prévisions SASE de Gartner ou d’IDC, et les perspectives de Dell’Oro elles-mêmes sont passées de 13 milliards de dollars d’ici 2026 (prévision de 2022) à 17,0 milliards de dollars d’ici 2029 (2025) puis à 24 milliards de dollars d’ici 2030 (2026). Les chiffres 2025 de Verizon sur les appareils edge ont été lus via Eclypsium parce que le rapport complet est protégé ; la ventilation des appareils edge du DBIR 2026 n’était pas disponible sur les pages publiques de Verizon. La salle de presse de Gartner et le site de la NSA ont renvoyé des erreurs 403, et l’OMB M-22-09 n’a pas pu être analysé ; les échéances fédérales du zero trust ne sont donc pas chiffrées ici. Les chiffres d’Okta 2020 et de Gartner 2022 ont plus de trois ans (données les plus récentes disponibles). Une édition 2026 du Zscaler VPN Risk Report, si elle est publiée, remplacerait les sections 1, 2, 3 et 7.
Dernière mise à jour : 3 octobre 2026. Nous actualisons ce tour d’horizon chaque trimestre, et la prochaine révision est attendue lorsque Dell’Oro Group publiera son rapport SASE et SD-WAN du T3 2026 et que Zscaler ThreatLabz sortira son prochain VPN Risk Report.