Prisma Cloud (Cortex Cloud) : sur-dimensionné, ou vraiment utile face à Wiz et Orca ?

Si vous cherchez encore « Prisma Cloud » dans le catalogue Palo Alto Networks, vous ne le trouverez plus sous ce nom : depuis février 2025, la plateforme s’appelle Cortex Cloud, et la bascule des clients existants s’est achevée au troisième trimestre de l’exercice fiscal 2025 de l’éditeur. Le produit — CSPM, CWPP, CIEM, scan IaC — reste globalement le même, mais il est désormais fusionné avec les capacités de détection et réponse (CDR) de la gamme Cortex. Pour une organisation qui évalue un CNAPP en 2026, la question n’est plus « Wiz ou Prisma Cloud », c’est « Wiz, Orca, ou Cortex Cloud » — et le troisième nom a de fortes chances de sonner moins familier que les deux premiers, alors qu’il reste un concurrent sérieux sur le papier.

Cet article complète notre comparatif Wiz vs Security Hub + GuardDuty : ici, on se demande spécifiquement si Cortex Cloud (l’ex-Prisma Cloud) a sa place dans le budget sécurité d’une organisation AWS de 50 à 200 personnes, face à Wiz et Orca — les deux autres noms qui reviennent systématiquement en short-list.

Ce que Cortex Cloud fait de mieux — et où il pèse plus lourd

Cortex Cloud n’est pas un outsider technique. Sur le papier, c’est la plateforme CNAPP la plus complète du marché : CSPM, CWPP (protection runtime avec agents ET option agentless), CIEM, scan IaC, Cloud Detection and Response, et une intégration native avec le reste de l’écosystème Cortex (XSIAM, XDR) si vous êtes déjà client Palo Alto Networks sur le volet réseau ou endpoint. C’est précisément ce dernier point qui fait pencher la balance pour certains comptes : une entreprise qui a déjà un firewall Palo Alto ou du XDR Cortex récupère une console unifiée, pas un outil de plus dans la pile.

C’est aussi là que le bât blesse pour une organisation qui n’a pas cet existant. Les retours terrain convergent sur trois points :

• Complexité opérationnelle la plus élevée des trois CNAPP majeurs — modules multiples à activer et configurer séparément (CSPM, CWPP, CIEM, Code Security se licencient indépendamment), agents à déployer si vous voulez la couverture runtime complète, courbe d’apprentissage réelle pour une équipe de 2-3 personnes qui porte la casquette sécurité en plus du reste.
• Grille tarifaire opaque — le modèle est basé sur des « crédits » consommés à l’heure selon la ressource et le module actif. Palo Alto Networks ne publie pas de barème public de consommation par type de ressource : c’est une conversation commerciale, pas un calcul que vous pouvez faire seul en amont.
• Positionnement clairement enterprise/régulé — Cortex Cloud est souvent cité comme le choix le plus pertinent pour les organisations qui ont des exigences de conformité runtime poussées (santé, finance) plutôt que pour une organisation SaaS B2B classique qui veut juste une posture propre sur AWS.

Combien ça coûte, réellement

Aucun des trois CNAPP tiers ne publie de grille tarifaire complète et engageante — tous fonctionnent sur devis. Voici les ordres de grandeur observés sur le marché fin 2026 :

• Cortex Cloud (ex-Prisma Cloud) : modèle par crédits, environ 1,20 $/crédit. Un périmètre CSPM seul démarre autour de 18 000 $/an ; la suite CNAPP complète (CSPM + CWPP + CIEM) démarre autour de 45 000 $/an. Business Edition ≈ 9 000 $ pour 100 crédits/an, Enterprise Edition ≈ 18 000 $ pour 100 crédits/an — mais la consommation réelle de crédits dépend du nombre et du type de ressources actives, donc ces planchers grimpent vite en pratique.
• Wiz : pas de grille publique par charge de travail. Les données de marché observées sur AWS Marketplace situent l’offre Essential autour de 24 000 $/an pour 100 workloads, et l’offre Advanced autour de 38 000 $/an.
• Orca Security : également sur devis exclusivement (pas d’auto-service, pas de palier gratuit). Les contrats annuels observés se situent typiquement entre 36 000 $ et 60 000 $/an, le prix unitaire par ressource diminuant avec le volume.
• GuardDuty + Security Hub natifs : pour rappel, une organisation mono-cloud AWS de moins de 150 ressources paie généralement entre 3 600 et 18 000 €/an pour la combinaison native — un ordre de grandeur souvent inférieur d’un facteur 2 à 10 aux trois CNAPP tiers.

Traitez ces chiffres comme des repères de marché, pas comme un devis : demandez systématiquement une proposition chiffrée sur votre périmètre exact, les trois éditeurs négocient fortement selon le volume et la durée d’engagement.

Wiz, Orca, Cortex Cloud : trois logiques différentes, pas trois variantes du même produit

Le marché CNAPP s’est concentré en 2026 — le rachat de Wiz par Google pour 32 milliards de dollars, finalisé le 11 mars 2026, en est le symbole le plus visible, et Wiz reste aujourd’hui le leader en parts de marché (17,4 % de « mindshare » CNAPP selon PeerSpot en février 2026, contre 6,3 % pour Orca). Mais parts de marché ne veut pas dire meilleur choix pour votre cas :

• Wiz gagne sur le déploiement le plus rapide (profil de risque complet en moins de 24h), le graphe d’attaque le plus lisible, et la meilleure intégration développeur — c’est le choix par défaut si vous partez de zéro et voulez une mise en route immédiate.
• Orca Security est l’alternative la plus citée à Wiz : agentless comme lui, capteurs runtime eBPF optionnels, couverture native AWS/Azure/GCP légèrement plus restreinte (pas d’OCI ni Alibaba Cloud), mais un coût d’exploitation généralement inférieur à Wiz à couverture équivalente, et l’indépendance vis-à-vis de tout hyperscaler — un argument qui pèse depuis que Wiz appartient à Google.
• Cortex Cloud gagne sur la profondeur runtime (agents natifs, pas seulement agentless), la conformité poussée pour les secteurs régulés, et la valeur ajoutée réelle si vous êtes déjà équipé Palo Alto Networks côté réseau ou endpoint — mais perd sur la simplicité de mise en œuvre et la lisibilité tarifaire.

Pour une organisation AWS de 50 à 200 personnes sans dette Palo Alto Networks préexistante et sans contrainte réglementaire sectorielle forte, Cortex Cloud est structurellement le candidat le moins naturel des trois — pas parce qu’il est moins bon techniquement, mais parce que sa complexité et son ticket d’entrée sont calibrés pour des organisations plus grandes.

Quand Cortex Cloud devient le bon choix malgré tout

• Vous avez déjà un firewall Palo Alto Networks ou du XDR Cortex en production — la console unifiée et la corrélation cross-domaine (réseau + endpoint + cloud) ont une vraie valeur que Wiz et Orca ne peuvent pas offrir.
• Votre secteur impose une conformité runtime stricte (santé, finance, infrastructures critiques) où la profondeur CWPP par agents pèse plus que la simplicité de déploiement.
• Vous avez une équipe sécurité dédiée (pas juste 1-2 personnes qui portent aussi le DevOps) capable d’absorber la complexité de configuration multi-module.
• Votre budget sécurité annuel dépasse largement les 45-50 k€ et la négociation groupée avec d’autres produits Palo Alto Networks fait baisser le prix effectif.

Quand rester sur Wiz, Orca, ou le natif AWS

• Vous démarrez une démarche CNAPP et voulez un time-to-value rapide sans intégration complexe : Wiz ou Orca vont plus vite à mettre en production.
• Vous n’avez pas d’existant Palo Alto Networks à faire fructifier — payer le ticket d’entrée Cortex Cloud sans cette synergie revient à payer pour de la complexité que vous n’exploiterez pas.
• Votre parc reste sous 150 ressources et mono-cloud AWS : dans ce cas, la question à se poser en premier n’est même pas Wiz vs Orca vs Cortex Cloud, c’est « est-ce qu’on a vraiment épuisé GuardDuty + Security Hub » — voir notre comparatif détaillé.

Notre lecture

Le rebranding Prisma Cloud → Cortex Cloud n’a pas changé la position produit : c’est toujours l’option la plus complète et la plus complexe des CNAPP majeurs, pensée pour des organisations qui ont déjà une équipe sécurité dédiée ou un existant Palo Alto Networks à valoriser. Pour la grande majorité des organisations AWS que nous auditons, ni Cortex Cloud, ni Wiz, ni Orca ne sont la première brique à poser — c’est la configuration complète des protection plans GuardDuty et des standards Security Hub pertinents pour votre secteur. Un audit DevSecOps permet de trancher objectivement si votre volume de findings et votre exposition justifient un CNAPP tiers, et lequel des trois correspond à votre structure — plutôt que de partir sur le nom le plus visible dans les résultats de recherche.

Conclusion

Cortex Cloud (ex-Prisma Cloud) reste un CNAPP sérieux, mais son ticket d’entrée — 18 000 $/an pour du CSPM seul, 45 000 $/an pour la suite complète — et sa complexité opérationnelle le réservent à des profils précis : synergie Palo Alto Networks existante, conformité runtime réglementée, ou équipe sécurité dédiée. Pour une organisation AWS standard, Wiz ou Orca restent des choix plus rapides à mettre en œuvre, et le natif AWS (GuardDuty + Security Hub) reste, dans la majorité des cas, la première étape à épuiser avant de signer quoi que ce soit à cinq chiffres.

Sources : guide de licence Prisma Cloud Enterprise Edition, annonce Cortex Cloud — Palo Alto Networks, Google finalise le rachat de Wiz, tarification AWS Security Hub, tarification Amazon GuardDuty.