De la défense périmétrique à l’architecture de confiance : les startups européennes qui transforment la cybersécurité

La cybersécurité a longtemps été pensée comme une couche défensive ajoutée aux systèmes d’information : antivirus, pare-feu, systèmes de détection d’intrusion, segmentation réseau. Ce modèle reste indispensable, mais il atteint aujourd’hui ses limites à mesure que les architectures informatiques se fragmentent et que les flux de données deviennent massivement distribués.

Cloud, intelligence artificielle, automatisation des processus et multiplication des API ont profondément transformé les architectures applicatives. Les données circulent désormais en permanence entre applications internes, infrastructures cloud, partenaires, services SaaS et environnements d’IA. Pour les responsables sécurité, cette évolution se traduit par une expansion continue de la surface d’attaque et par une difficulté croissante à maintenir un contrôle strict sur les données sensibles.

Dans cet environnement, la sécurité ne peut plus reposer uniquement sur des mécanismes de protection périmétrique. Elle doit être intégrée directement dans l’architecture des systèmes, au plus près des données et des flux applicatifs. Autrement dit, passer d’une logique de défense périphérique à une logique de sécurité intrinsèque des systèmes.

C’est dans ce contexte qu’émerge une nouvelle génération de startups européennes dont l’ambition consiste à construire les briques technologiques de ce que certains décrivent comme une infrastructure de confiance du numérique. Leur approche consiste moins à détecter ou bloquer des attaques qu’à concevoir des architectures dans lesquelles les données sensibles restent protégées par défaut, y compris lorsqu’elles circulent entre systèmes, applications et environnements cloud.

Pour les CISO et RSSI, cette évolution correspond à une transformation profonde des modèles de sécurité : chiffrement systématique des données, sécurisation des pipelines applicatifs, automatisation de la gestion des identités cryptographiques, ou encore protection native des terminaux et des infrastructures cloud.

Plusieurs domaines technologiques convergent aujourd’hui dans cette transformation : chiffrement avancé, cryptographie post-quantique, gestion automatisée des identités et des certificats, sécurisation des communications critiques ou encore protection des flux de données utilisés par les systèmes d’intelligence artificielle. Ensemble, ces technologies constituent progressivement une nouvelle couche du stack numérique, située entre l’infrastructure et les applications.

Parmi les entreprises qui incarnent cette évolution figurent Evervault, Zama, Evertrust, Quantum Industries, Mirror Security, Soverli ou encore XFA. Bien qu’elles opèrent sur des segments différents de la cybersécurité, elles participent toutes à déplacer la confiance vers les propriétés techniques des systèmes eux-mêmes plutôt que vers des mécanismes de contrôle externes.

Evervault : intégrer le chiffrement directement dans les architectures applicatives

Fondée entre Dublin et New York, Evervault développe une plateforme destinée aux équipes d’ingénierie permettant d’intégrer le chiffrement directement dans les architectures applicatives. L’objectif consiste à permettre aux entreprises de collecter, traiter et transmettre des données sensibles sans qu’elles apparaissent en clair dans leurs infrastructures.

Pour les équipes sécurité, cette approche répond à une problématique de plus en plus fréquente : la multiplication des environnements dans lesquels des données sensibles peuvent être exposées — bases de données, pipelines applicatifs, services tiers ou environnements d’analyse.

Selon Shane Curran, fondateur et CEO de la société :
« La plupart des cadres de conformité partent du principe que les données sensibles existeront quelque part en clair. Mais dans un environnement où les données circulent de manière automatisée et à grande vitesse, cela devient une vulnérabilité. »

Evervault propose ainsi une couche d’infrastructure permettant de manipuler des données sensibles tout en réduisant drastiquement leur exposition opérationnelle. L’entreprise cible notamment les environnements de paiement, particulièrement sensibles en matière de conformité et de gestion du risque.

La startup vient d’annoncer une levée de 21 millions d’euros en série B, menée par Ribbit Capital avec la participation de Sequoia Capital et Index Ventures. L’opération porte le financement total de la société à 39 millions d’euros. Les fonds doivent permettre d’étendre son infrastructure de chiffrement, d’accélérer le développement produit et de renforcer ses équipes d’ingénierie.

Evervault indique traiter déjà plusieurs milliards d’euros de transactions et générer plus de 100 millions de tokens chiffrés chaque mois, tout en permettant à ses clients de réduire significativement leurs coûts de conformité PCI.

Pour Shane Curran, l’objectif dépasse la simple sécurité applicative :
« Nous construisons une infrastructure permettant aux entreprises de ne jamais manipuler de données sensibles en clair, en commençant par les paiements par carte et en étendant progressivement le chiffrement aux portefeuilles numériques, à l’identité et au secteur de la santé. »

Zama : calculer sur des données chiffrées

À Paris, la startup Zama travaille sur une technologie cryptographique particulièrement ambitieuse : le chiffrement homomorphe complet (Fully Homomorphic Encryption).

Cette technique permet d’exécuter des calculs directement sur des données chiffrées sans jamais les déchiffrer pendant le traitement. Pour les responsables sécurité, cette approche ouvre la possibilité de traiter des données sensibles dans des environnements non fiables (cloud public, infrastructures tierces ou environnements d’IA) sans compromettre leur confidentialité.

Même si cette technologie reste encore coûteuse en ressources de calcul, elle pourrait transformer certaines architectures sensibles, notamment dans la finance, les infrastructures critiques, les systèmes d’IA ou les blockchains.

Fondée par Rand Hindi et le cryptographe Pascal Paillier, Zama développe des bibliothèques et des outils permettant d’intégrer ces mécanismes cryptographiques avancés dans des environnements industriels, notamment dans l’écosystème des smart contracts et des applications décentralisées.

Evertrust : industrialiser la gestion des identités cryptographiques

Une grande partie de la sécurité des infrastructures numériques repose sur un élément souvent invisible : les certificats numériques qui permettent d’authentifier les systèmes et de sécuriser les communications.

La startup française Evertrust s’est spécialisée dans la gestion des infrastructures à clés publiques (PKI) et dans l’automatisation du cycle de vie des certificats.

Dans les grandes organisations, ces certificats peuvent se compter par dizaines de milliers et leur gestion devient rapidement un problème opérationnel. Certificats expirés, erreurs de configuration ou absence de gouvernance centralisée figurent parmi les causes fréquentes d’incidents de sécurité.

Evertrust développe ainsi des outils permettant d’automatiser la gestion de ces identités cryptographiques dans les environnements cloud et DevOps, afin de réduire les risques opérationnels liés aux infrastructures de certificats.

Quantum Industries : préparer les infrastructures à l’ère post-quantique

Certaines startups européennes se concentrent sur un horizon technologique plus lointain : la sécurisation des communications face à l’émergence du calcul quantique.

La société autrichienne Quantum Industries développe des technologies de distribution quantique de clés (QKD) destinées aux infrastructures critiques. Ces systèmes reposent sur des propriétés physiques de la mécanique quantique permettant de détecter toute tentative d’interception d’une communication.

L’objectif consiste à sécuriser les échanges entre centres de données, infrastructures énergétiques, institutions financières ou réseaux gouvernementaux face à des menaces cryptographiques futures.

Mirror Security : sécuriser les pipelines de données de l’IA

Les systèmes d’intelligence artificielle introduisent de nouvelles surfaces d’exposition pour les organisations. Les modèles d’IA manipulent des volumes importants de données provenant de sources multiples : bases documentaires internes, données clients, flux opérationnels ou contenus générés par les utilisateurs.

La startup irlandaise Mirror Security développe des technologies de protection des flux de données destinées à sécuriser ces pipelines tout en permettant leur exploitation par les modèles d’IA.

Pour les responsables sécurité, ces environnements représentent un nouveau périmètre critique où la protection des données doit être conciliée avec les besoins d’analyse et d’entraînement des modèles.

Soverli : protéger les terminaux au-delà du système d’exploitation

La startup suisse Soverli s’attaque à un autre point de fragilité fréquent dans les architectures de sécurité : les terminaux mobiles.

L’entreprise développe une couche de protection permettant de sécuriser les communications et les données sensibles sur les smartphones, même en cas de compromission du système d’exploitation.

Cette approche vise notamment les environnements gouvernementaux, diplomatiques ou industriels où les terminaux mobiles constituent souvent le point d’entrée le plus vulnérable dans les systèmes d’information.

XFA : rendre visible la surface d’attaque des réseaux hybrides

Enfin, la startup belge XFA travaille sur un problème devenu courant dans les infrastructures modernes : la présence d’appareils non identifiés dans les réseaux d’entreprise.

Télétravail, cloud, objets connectés et terminaux personnels ont profondément transformé les réseaux d’entreprise, multipliant les points d’accès aux systèmes informatiques.

La plateforme développée par XFA permet de détecter ces équipements, de cartographier les surfaces d’attaque et d’améliorer la gouvernance de la sécurité dans les environnements hybrides.

Une évolution profonde de l’architecture de sécurité

Ces entreprises n’opèrent pas toutes sur les mêmes technologies. Certaines développent des avancées cryptographiques fondamentales, d’autres des infrastructures d’identité numérique ou des mécanismes de sécurisation des terminaux.

Mais elles participent toutes à une transformation plus large : l’émergence d’architectures dans lesquelles la sécurité n’est plus seulement une fonction de contrôle ou de supervision, mais une propriété intégrée au fonctionnement même des systèmes.

Pour les CISO et RSSI, cette évolution marque probablement l’une des transformations les plus importantes de l’architecture de sécurité depuis l’adoption du cloud. À mesure que les architectures deviennent plus distribuées et que les volumes de données continuent d’augmenter, ces nouvelles briques technologiques pourraient jouer un rôle central dans la conception des infrastructures numériques de demain.