12 résolutions sur la cybersécurité pour 2025

Alors que les cybermenaces continuent d’évoluer, les RSSI doivent se préparer à un paysage de menaces de plus en plus complexe. Qu’il s’agisse de faire face aux attaques basées sur l’IA ou de gérer l’évolution des exigences réglementaires, il est clair que 2025 sera une autre année importante pour les RSSI.

Mais pour garder une longueur d’avance, il ne suffit pas de mettre en œuvre le prochain ensemble d’outils ou de technologies de pointe. Cela nécessite un changement de mentalité : considérer la cybersécurité non seulement comme une fonction technique, mais aussi comme un facteur stratégique de résilience des entreprises.

Pour vous aider à parcourir le chemin à parcourir, voici 12 résolutions du Nouvel An que tout responsable de la cybersécurité devrait envisager d’adopter.

1. Découvrez si l’IA est pertinente pour votre entreprise

L’essor de l’IA générative a changé la donne pour tous les secteurs, y compris la cybersécurité, mais pas toujours pour le mieux. Erik J. Huffman, chercheur en technologies et cybersécurité, met en garde : « Avec l’IA, nous savons qu’elle peut être extrêmement utile, mais nous retenons tous notre souffle, nous demandant comment elle va être utilisée contre nous. Tout ce que nous avons développé pour le bien, les attaquants vont simplement le prendre et le renverser pour le mal. Ils sont simplement beaucoup plus créatifs que nous du côté des gentils.

Huffman souligne que WormGPT en est un des premiers exemples et montre comment il facilite le codage pour les acteurs malveillants. « C’est ChatGPT, mais à des fins malveillantes. Cela créera un ransomware pour vous. Il développera du code malveillant et des vulnérabilités pour vous… il a pris la tâche de coder pour un acteur menaçant et l’a rendu très facile, en particulier pour les anglophones non natifs, les locuteurs non natifs du chinois ou les locuteurs non natifs de l’italien. Vous pouvez désormais rédiger un e-mail de phishing dans la langue de votre choix et il sera lu assez correctement.

Son conseil aux RSSI en cette nouvelle année est de prendre le temps de déterminer si l’IA est adaptée à leur entreprise. « Demandez-vous : « En avez-vous vraiment besoin ? » Ne vous contentez pas de suivre la tendance parce que tout le monde le fait, et ne déployez pas simplement une solution d’IA dans votre organisation parce que le PDG vous dit : « Hé, nous avons besoin de quelque chose d’IA ici ».

2. Améliorez vos compétences en IA et apprenez à l’utiliser pour de bon

Toujours sur le thème de l’IA, Chirag Joshi, fondateur et RSSI de 7Rules Cyber, estime que l’IA n’est pas seulement un outil pour les attaquants, mais aussi un puissant allié pour les défenseurs. Il souligne comment tirer parti intelligemment de l’IA peut réduire le coût et la durée des violations.

« Les programmes de sensibilisation et de formation, ainsi que l’aspect gestion des risques humains de l’IA, doivent évoluer. Si vos efforts de formation et de sensibilisation ne tiennent pas compte de ces changements, il y a une lacune », dit-il. « Son utilisation intelligente pourrait contribuer à la défense et avoir un impact significatif, à la fois en termes de coût des violations de données et de réduction du temps nécessaire pour répondre aux incidents et les contenir. Je pense que cela doit être pris en compte dans les plans d’intervention et de détection.

Joshi exhorte également les RSSI à explorer le potentiel de l’IA dans des domaines tels que l’évaluation des risques et l’orientation politique. « Vous n’éliminez pas la surveillance humaine ; il faut absolument qu’il soit là. Mais pouvez-vous l’augmenter et le rendre plus efficace ? »

3. Misez sur la sécurité centrée sur l’identité

Alors que des acteurs malveillants utilisent l’IA et les technologies deepfake, Avishai Avivi, RSSI chez SafeBreach, souligne l’importance croissante de la sécurité centrée sur l’identité pour lutter contre ces menaces.

« Réaliser que les acteurs malveillants exploitent les mêmes technologies pour améliorer leurs capacités, la sécurité centrée sur l’identité et les risques présentés par la technologie deepfake signifiera une concentration accrue sur les contrôles de sécurité qui peuvent aider à identifier, réduire ou neutraliser ces risques », dit-il. .

4. Renforcez la sécurité de l’identité non humaine

Si la sécurisation des identités humaines est une priorité, il est tout aussi crucial de lutter contre le recours croissant aux API et aux communications de machine à machine, qui comportent leur propre ensemble de risques, comme le souligne Avivi.

« La sécurité de ces connexions de machine à machine devient de plus en plus critique et constitue une autre catégorie de risque que nous devons prendre en compte », déclare-t-il.

5. Veiller à ce que les investissements en matière de sécurité soient proportionnés

Alors que les organisations sont aux prises avec des menaces en constante évolution, Joshi souligne l’importance d’adopter une approche « raisonnable et proportionnée » en matière d’investissements en matière de sécurité. Il souligne à quel point les récentes mesures réglementaires, telles que celles conçues à la suite des violations de Medibank et Optus en Australie, ont renforcé ce point.

« Que signifie réellement avoir une sécurité raisonnable et indéfendable ? Les investissements que nous réalisons et les efforts que nous déployons doivent être opportuns. C’est là que les conseils d’administration interviennent, car ce n’est pas seulement essentiel pour eux, c’est aussi un handicap pour les RSSI », explique-t-il.

6. Obtenir une assurance responsabilité civile des administrateurs et dirigeants

Les RSSI doivent également envisager des mesures de protection personnelle. Wouter Veugelen, responsable de la cybersécurité en Australie et directeur général de FTI Consulting, prédit que la responsabilité individuelle des RSSI fera l’objet d’un examen plus minutieux en 2025. À mesure que les affaires juridiques impliquant des RSSI deviennent plus fréquentes, il estime qu’il est temps pour les RSSI d’envisager de retirer des administrateurs. et assurance responsabilité civile des officiers.

« Il existe un risque accru pour quelqu’un qui assume un rôle de RSSI, où il pourrait être soumis à la même surveillance (que les PDG) à l’avenir. Traditionnellement, les RSSI ne sont pas inclus dans le package (d’assurance) des organisations… donc avoir ce type d’assurance ferait certainement partie de ma liste », déclare Veugelen.

7. Gardez une longueur d’avance sur la législation en matière de cybersécurité

En ce qui concerne la préparation juridique, David Hull, RSSI du cabinet de recherche et de conseil technologique ISG, souligne l’importance pour les RSSI de garder une longueur d’avance sur la nouvelle législation en matière de cybersécurité. « Il reste encore une quantité ridicule de législation à venir », dit-il, soulignant que les lois nouvellement introduites ne sont pas toujours les plus claires.

Il reconnaît toutefois que l’une des forces du secteur de la cybersécurité réside dans sa communauté très unie, qui se réunit souvent pour démêler et comprendre les nouvelles lois. « Vous voyez la communauté se rassembler, tout le monde pose les mêmes questions, et ensemble, vous trouvez comment l’interpréter. »

8. Éduquer les dirigeants sur les coûts des violations de données

Mais les RSSI ne sont pas les seuls à devoir y prêter attention. Même si de nombreux dirigeants comprennent les impacts immédiats d’une violation de données, les coûts à long terme restent souvent sous-estimés. Veugelen souligne que des affaires résultant de violations survenues en 2022 sont toujours devant les tribunaux aujourd’hui.

« Les RSSI devraient continuer à sensibiliser les dirigeants à l’importance de tous ces coûts. En tant que tels, ils devraient chercher à optimiser les budgets de cybersécurité pour une défense proactive en matière de cybersécurité, afin de réduire l’exposition globale aux risques et la probabilité de subir des violations de cybersécurité et de données d’une telle ampleur », dit-il.

9. Parlez le langage des affaires

Mais comme le soutient Joshi, l’un des plus grands défis auxquels sont confrontés les RSSI est de savoir comment traduire les risques techniques en termes commerciaux. Il souligne le rôle que les RSSI doivent jouer pour aider l’entreprise au sens large à combler cet écart.

« Vous devez vraiment comprendre comment l’entreprise gagne de l’argent… vous devez le faire en tant que RSSI, sinon vous êtes déconnecté de ce qui se passe », explique Joshi. « Si vous ne pouvez pas parler avec un certain niveau de compétence ou d’autorité des principales préoccupations des cadres supérieurs en termes d’expansion dans de nouveaux domaines, de nouveaux produits ou de nouvelles stratégies… vous n’aurez pas de conversations sur les risques. On ne peut vraiment pas gérer le cyber-risque sans intégrer le risque commercial.

10. Collaborer avec d’autres parties de l’organisation

Il est révolu le temps où la cybersécurité fonctionnait en silo. En 2025, une cybersécurité efficace dépendra de relations durables avec plusieurs départements commerciaux, du juridique et des achats au marketing et aux opérations.

« Assurez-vous que les objectifs de cybersécurité sont alignés sur ceux des dirigeants d’entreprise », prévient Veugelen. « Je considère encore souvent la cybersécurité comme une source de courtage ou une fonction qui retarde les projets, mais en fin de compte, la cybersécurité devrait être considérée comme un catalyseur commercial qui aide à proposer de nouvelles innovations numériques, mais de manière sécurisée. »

11. S’attaquer de front aux risques liés aux tiers

Les fournisseurs tiers restent l’un des maillons les plus faibles des stratégies de cybersécurité de nombreuses organisations, selon Joshi, qui cite la panne de Crowdstrike comme un excellent exemple. Il conseille aux RSSI de « réfléchir à une meilleure façon de gérer les risques liés à la chaîne d’approvisionnement, en particulier l’évaluation des risques liés aux fournisseurs ».

«Je pense qu’ils doivent aller au-delà de ces questionnaires et commencer à adopter des pratiques plus exemplaires, et une meilleure façon d’y parvenir est de réellement collaborer», dit-il. « La collaboration ne consiste pas seulement à se réunir pour des tables rondes ; il s’agit également de se concentrer sur des conversations plus approfondies… (sur) ce que cela signifie pour eux, et de contextualiser et de personnaliser réellement cette conversation.

12. Remettre la cyber-reprise en tête de l’agenda

Bien qu’il ne s’agisse pas d’un concept nouveau, les récentes cyberattaques ont souligné l’importance de donner la priorité à la capacité de récupération d’une organisation, parallèlement à ses stratégies de défense. Comme l’explique Hull, « les RSSI doivent ouvrir un peu les yeux et dire : « Nous devons probablement faire un peu mieux dans ce domaine et recentrer notre attention sur la reprise ».

Huffman est d’accord, soulignant que la rapidité de récupération est essentielle pour fidéliser les clients après une attaque. « S’il vous faut deux ou trois semaines pour récupérer, vous êtes désormais une anomalie. L’accent est désormais mis sur la question de savoir si vous pouvez récupérer en trois jours ou en une semaine. Dans quelle mesure êtes-vous préparé à une cyberattaque ? Pouvez-vous récupérer dans un délai socialement acceptable ?