Vision du futur

« Gouverner la confiance est désormais plus important que protéger les systèmes »

François Van Deventer, Directeur & CTO marchés émergents, Local Office de Midis Group, sur ce que la cybersécurité doit devenir à l’ère de l’IA

L’IA d’entreprise est désormais bien plus qu’un outil de productivité. Elle s’intègre à nos processus métiers, à nos applications d’entreprise, à l’analyse de nos données, à nos cycles de développement logiciel et, de plus en plus, à nos prises de décision opérationnelles. L’IA ne se contente plus d’assister l’entreprise en périphérie : elle devient progressivement une composante de son fonctionnement même. Sa valeur augmente à mesure qu’elle se rapproche de ce qui rend une organisation unique : son avantage concurrentiel, son savoir institutionnel et ses données. Mais c’est précisément à cet endroit que les risques deviennent les plus importants.

Lorsque l’IA devient une composante de la couche opérationnelle de l’entreprise, la cybersécurité doit devenir sa couche de confiance.

AU-DELÀ DU PARE-FEU

Pendant de nombreuses années, la cybersécurité a principalement été abordée sous l’angle de la protection des infrastructures : réseaux, terminaux, serveurs, applications et données. Ces éléments restent essentiels. Mais les entreprises sont aujourd’hui à la fois plus distribuées, plus connectées et plus intelligentes. Nous voulons tous pouvoir travailler depuis n’importe où, sur n’importe quel appareil. Dans le même temps, nos applications s’étendent désormais sur le cloud, les environ nements SaaS, les data centers et les systèmes legacy. Les identités présentes au sein d’une organisation ne se limitent plus aux employés et aux prestataires. Elles incluent également les comptes de service, les API et, de plus en plus, les agents d’IA.

« À l’ère de l’IA, la cybersécurité ne consiste plus uniquement à protéger nos systèmes. Elle consiste à gouverner la confiance : qui ou quoi peut agir, à quelles ressources il peut accéder et si ce comportement est légitime. »

L’ATTAQUE A DÉJÀ ÉVOLUÉ. LA DÉFENSE AUSSI ?

Les attaquants ont compris cette transformation et accélèrent chaque jour. Ils s’appuient davantage sur le détournement d’identités, l’exploitation des environnements cloud et SaaS, le ciblage des appareils en périphérie et l’utilisation d’outils et de voies d’accès légitimes pour échapper à la détection — au-delà des approches classiques fondées sur les malwares. Il ne suffit donc plus de s’appuyer sur un processus de connexion sécurisé pour protéger l’accès aux systèmes. Une attaque peut commencer par une identité compromise, une application de confiance, une autorisation mal configurée, un appareil non géré, un système en périphérie vulnérable ou encore un collaborateur qui partage involontairement des informations sensibles avec un outil d’IA non contrôlé. C’est pourquoi la conversation autour de la cybersécurité doit évoluer.

Il ne suffit plus de demander « Ce système est-il protégé ? » Nous devons également nous demander :

• Qui ou quoi agit ?
• À quelles données peut-il accéder ?
• Ce comportement est-il attendu ?
• La décision peut-elle être expliquée ?
• Pouvons-nous limiter l’impact ?
• L’entreprise peut-elle continuer à fonctionner si la confiance est compromise ?
• Et surtout, pouvons-nous voir ce qui se passe ?

Ces questions deviennent d’autant plus urgentes que l’IA s’intègre profondément dans les workflows de l’entreprise.

LE RISQUE QUE VOUS N’AVEZ PAS APPROUVÉ

L’adoption de l’IA n’attend pas la mise en place d’un programme de transformation structuré. Elle s’installe à travers les usages quotidiens des collaborateurs, créant de nouveaux angles morts bien réels : informations sensibles introduites dans des outils non contrôlés, équipes qui adoptent l’IA avant que la sécurité, la conformité ou les équipes juridiques ne soient impliquées. Un autre point de vigilance concerne les fournisseurs, qui peuvent intégrer des fonctionnalités d’IA à leurs produits sans toujours offrir suffisamment de transparence sur l’utilisation des données, l’entraînement des modèles, leur conservation ou les contrôles d’accès. L’IA va fonctionner à travers les systèmes que les collaborateurs utilisent déjà : navigateurs, plateformes SaaS, postes de travail virtuels, applications d’entreprise, référentiels internes et applications métiers soumises à des exigences réglementaires. La sécurité ne peut donc pas considérer l’IA comme un élément distinct de l’entreprise. L’IA doit être gouvernée là où le travail se fait déjà. Sa gouvernance doit être adaptée à ce qu’elle peut faire, aux données auxquelles elle peut accéder, aux décisions qu’elle peut influencer et aux situations dans lesquelles une intervention humaine doit rester indispensable.

« La sécurité ne doit pas devenir le département du “non”. Elle doit aider l’entreprise à parvenir au “oui”, en toute sécurité. »

La réponse ne peut donc pas simplement consister à tout bloquer. Une approche plus pragmatique repose sur un programme de transformation sécurisé et maîtrisé : politiques claires d’utilisation acceptable, plateformes d’IA approuvées, classification des données, contrôles des identités, supervision, sensibilisation des utilisateurs, gouvernance des fournisseurs et validation humaine pour les décisions à fort impact.

GOUVERNER LE NOUVEAU COLLABORATEUR NUMÉRIQUE

La sécurité de l’IA ne consiste pas uniquement à se défendre contre les risques liés à l’IA. Elle consiste également à utiliser l’IA de manière maîtrisée pour renforcer la fonction cybersécurité elle-même. La maturité en matière de sécurité de l’IA peut être structurée autour de trois priorités :

PROTÉGER L’IA: Cela signifie sécuriser les modèles d’IA, leurs prompts et leurs données, les agents, ainsi que les intégrations, API, plugins et workflows métiers qui rendent l’IA utile.

UTILISER L’IA:Au sein des équipes de sécurité, l’IA peut aider à analyser les alertes, accélérer les investigations, synthétiser les menaces et améliorer la réponse aux incidents, sans supprimer le jugement humain ni la responsabilité.

GOUVERNER L’IA: Cela signifie rendre les usages de l’IA visibles et maîtrisés : savoir où elle est utilisée, quelles données elle touche, qui est responsable de chaque cas d’usage et si les risques sont identifiés et correctement gérés.

LA RÉSILIENCE DEVIENT LE NOUVEAU STANDARD

Aucune organisation ne peut partir du principe qu’elle empêchera chaque attaque, chaque erreur ou chaque utilisation abusive de la technologie. En revanche, les organisations matures peuvent développer la capacité à voir clairement ce qui se passe, réagir rapidement, limiter l’impact, récupérer avec confiance et continuer à servir leurs clients. À l’ère de l’IA, la résilience devient le véritable indicateur de maturité en matière de cybersécurité.

« Les organisations qui réussiront ne seront pas simplement celles qui déploient le plus d’IA. Ce seront celles qui rendent l’IA sécurisée, visible, gouvernée, explicable et résiliente. »

Si l’IA devient la couche opérationnelle du travail moderne, la cybersécurité doit devenir la couche de confiance qui permet à l’innovation d’aller plus vite, plus sûrement et avec davantage de confiance.