L’IA accélère tout, y compris les cyberrisques

La cybersécurité doit être intégrée dès le départ

Considérer séparément l’IA comme un projet d’innovation et la cybersécurité comme une discipline technique est de moins en moins pertinent. L’IA dépasse en effet largement le cadre informatique. Elle peut avoir une incidence sur les résultats pour les clients, les processus opérationnels, la productivité, l’information financière, les chaînes d’approvisionnement et les décisions stratégiques.

Par conséquent, la sécurité, la protection des données, la résilience, la gouvernance et la confiance doivent être intégrées dès le départ à toute initiative d’IA pertinente. Cinq questions permettent guident la réflexion:

• À quelles données l’IA peut-elle accéder?
• Quelles décisions peut-elle influencer?
• Qui en assume la responsabilité?
• Comment est-elle surveillée?
• Que se passe-t-il en cas de défaillance?

Sans réponses claires à ces questions, l’entreprise risque de perdre la maîtrise face à la rapidité des évolutions technologiques.

 

L’identité devient un facteur de sécurité

La surface d’attaque évolue. Désormais, les collaboratrices et collaborateurs ne sont plus les seuls à accéder aux systèmes et aux données. S'y ajoutent les comptes de service, les identités de machines, les API, les plateformes d’automatisation, les assistants d’IA, les agents autonomes et les applications de tiers.

Il devient donc essentiel de maîtriser les identités et les droits d’accès. Les entreprises devraient pouvoir répondre à tout moment aux questions suivantes: qui ou quoi a accès à quelles ressources, et pourquoi? Autre question tout aussi importante: cet accès est-il encore nécessaire?

En bref: vous ne pouvez pas protéger ce que vous ne pouvez pas identifier.

 

Piloter les risques en continu plutôt que les examiner périodiquement

Les évaluations annuelles des risques, les revues trimestrielles et les tests ponctuels s’accordent mal avec des menaces en constante évolution. La priorité n’est donc plus seulement de gérer des incidents de sécurité isolés, mais d’assurer une gestion continue de l’exposition aux risques.

Cette évolution amène également les entreprises à revoir leurs priorités et leur manière d’appréhender les risques:

• Au-delà de la question «Respectons-nous les exigences applicables?», elles doivent désormais se demander «Où pourrions-nous être attaqués aujourd’hui?».
• L’enjeu n’est plus seulement de mesurer les activités, mais d’évaluer les résultats et les risques réels.
• Il faut instaurer un contrôle continu des actifs critiques de l’entreprise, des données sensibles, des identités, des vulnérabilités, des tiers et des systèmes d’IA.

L’objectif n’est pas d’atteindre une sécurité parfaite. Il s’agit de réduire l’incertitude et de détecter les risques suffisamment tôt, avant qu’ils n’entraînent une interruption de l’activité.

 

Exploiter l’IA sans perdre le contrôle

Renoncer à l’IA n’est pas une réponse viable à long terme, pas plus qu’une accélération incontrôlée. Les entreprises peuvent utiliser l’IA de manière ciblée pour améliorer les processus de sécurité, automatiser les investigations, contextualiser les alertes et détecter les menaces plus tôt. Cet usage doit toutefois s’inscrire dans un cadre clair.

Il faut notamment garantir une responsabilité humaine pour les décisions à large portée, définir des seuils pour les actions autonomes et assurer une surveillance, un contrôle et une validation continus des résultats générés par l’IA.

Le point essentiel: la confiance exige des preuves.

 

La résilience doit gagner en rapidité

Les approches classiques de la résilience sont elles aussi mises sous pression. Un modèle d’IA compromis, des données manipulées ou un processus autonome incontrôlable peuvent produire des effets à très grande vitesse.

Les scénarios liés à l’IA doivent donc faire partie intégrante de la préparation aux situation de crise:

• Tester les pannes de systèmes d’IA
• Intégrer l’IA aux exercices de crise
• Valider les procédures de rétablissement
• Se préparer à des modèles compromis et des données corrompues
• Définir clairement les procédures à suivre et les responsabilité

La résilience ne consiste pas uniquement à rétablir les systèmes. Les entreprises doivent aussi rester opérationnelles et dignes de confiance lorsque des décisions automatisées ou des écosystèmes digitaux sont défaillants.

 

La cybersécurité devient une responsabilité de la direction

La technologie et les contrôles restent importants. Mais la capacité des entreprises à piloter la vitesse, les responsabilités et la confiance devient déterminante. Les conseils d’administration et les directions doivent comprendre où l’IA crée de la valeur, quels risques elle engendre, qui en est responsable et si les contrôles prévus sont réellement efficaces.

La cybersécurité et la gouvernance de l’IA doivent donc faire partie intégrante des décisions stratégiques. Car l’IA ne change pas la mission, elle en change le rythme.

 

Sept étapes concrètes pour agir dès maintenant

L’essentiel est de traduire ces principes en un rythme opérationnel fiable. Sept étapes concrètes permettent d’y parvenir.

1. Transparence sur l’utilisation de l’IA
Recensez les cas d’utilisation de l’IA, les modèles, les agents, les sources de données, les intégrations, les fournisseurs et les identités de machines. Classez-les selon leur importance pour l’activité et leur exposition aux risques. Vous obtiendrez ainsi une vision commune des domaines dans lesquels l’IA est utilisée et des ressources auxquelles elle peut accéder.

2. Attribution claire des responsabilités
Pour les principales applications d’IA, définissez les responsabilités sur les plans opérationnel, technique, ainsi qu’en matière de données et de risques. Précisez également qui autorise leur utilisation, accepte les risques et peut stopper une application.

3. Adaptation de la gouvernance au niveau de risque
Les applications à faible risque peuvent suivre des procédures accélérées. Celles qui ont une incidence sur la clientèle, les collaboratrices et collaborateurs, les données sensibles ou les activités critiques nécessitent des validations plus strictes. La gouvernance favorise ainsi une innovation sûre au lieu de la freiner indistinctement.

4. Protection des identités, des données et des agents
Appliquez les principes du moindre privilège, une authentification forte, la gestion des secrets, des contrôles d’accès, la journalisation et une gestion du cycle de vie aux identités humaines comme non humaines.

5. Utilisation de l’IA aussi pour la défense
Utilisez l’IA pour contextualiser les alertes, mettre en évidence les liens, accélérer les investigations et hiérarchiser les risques. L’appréciation humaine reste indispensable pour toute action susceptible d’avoir un impact majeur sur l’activité.

6. Contrôle continu de l'efficacité des mesures
Testez en continu les voies d’attaque, le comportement des modèles, le rétablissement et les dépendances envers des tiers. Des exercices réalistes doivent également couvrir la compromission de systèmes d’IA, l’empoisonnement des données, l’utilisation abusive d’agents et les décisions automatisées erronées.

7. Mesure des indicateurs pertinents pour la direction
Concentrez les rapports sur les principaux risques, les délais de détection et d’endiguement, les accès privilégiés, l’efficacité des contrôles, la résilience, les dérogations relatives à l’utilisation de l’IA et les risques acceptés. La direction disposera ainsi d’une meilleure base pour prendre ses décisions.

 

Ne pas tout faire en même temps, mais commencer maintenant

Aucune de ces sept étapes ne doit être parfaite dès le départ. Commencez là où les enjeux sont les plus importants: les principales applications d’IA, les services essentiels à l’activité, les données sensibles, les identités privilégiées et les voies d’attaque possibles.

Un plan d’action sur 90 jours apporte une structure: attribuer les responsabilités aux personnes compétentes, définir les preuves et les rapports nécessaires, puis examiner les progrès à intervalles réguliers.

L’IA transforme profondément la cybersécurité. Si elle génère de nouveaux risques, elle ouvre aussi de nouvelles perspectives pour la défense. L’enjeu n’est donc pas d’adopter l’IA le plus tôt possible, mais de la piloter de manière sûre et efficace.