if ( !emtpy($headline_subheadline ) ) : ?>
Habitués au stress, les responsables de la sécurité reconnaissent que les capacités d’IA de pointe sont le signe avant-coureur de défis qui rendront le rôle de cybersécurité intenable à moins que les problèmes de responsabilité, d’autorité et d’alignement ne soient rapidement résolus.
endif; ?>
Les RSSI ont déjà des difficultés, mais la goutte d’eau qui fait déborder le vase pour de nombreux responsables de la sécurité informatique pourrait être l’évolution rapide des capacités des modèles d’IA de pointe, l’insistance des entreprises sur une expérimentation rapide et généralisée de l’IA, et l’aggravation des responsabilités en matière de risques et des responsabilités personnelles qui entourent tout cela.
«Il y a des jours où cela semble épuisant», déclare un RSSI d’une grande entreprise de l’industrie du logiciel, qui ne souhaite pas être cité nommément. « Il y a des jours où on a l’impression que c’est beaucoup. »
Cet exécutif n’est pas seul.
Dans une récente enquête menée auprès de 1 001 RSSI aux États-Unis et au Royaume-Uni, 50 % d’entre eux ont convenu que l’introduction d’Anthropic Mythos et de modèles et outils cyber-capables similaires les a amenés à envisager de quitter la profession. Seuls 25 % ne sont pas d’accord avec cette affirmation.
Et 60 % ont déclaré que la pression exercée par le conseil d’administration et la direction pour adopter l’IA dépassait la capacité de leur organisation à gouverner et à sécuriser son utilisation.
Christine Gadsby, conseillère en chef en sécurité chez BlackBerry, qui a passé des années à des postes de direction en matière de cybersécurité et a été RSSI de l’entreprise jusqu’à son nouveau rôle en septembre dernier, ne manque pas d’être RSSI.
« C’est de la folie ! De la folie ! » dit-elle. « Je ne dirais pas que je n’exercerai plus jamais un rôle de RSSI, mais c’est une période difficile en ce moment pour être RSSI. »
Les RSSI ont historiquement des mandats plus courts que les autres postes de direction, note-t-elle. « Avant, c’était l’épuisement professionnel. Ils avaient tellement de responsabilités et tellement de choses à faire. Et maintenant, avec l’IA, certains de ces défis sont tout simplement ahurissants », dit-elle.
L’aspect responsabilité personnelle du travail est également difficile, ajoute-t-elle. « Mille pour cent. En tant qu’industrie, nous avons construit le rôle de RSSI pour assumer toute cette responsabilité et maintenant nous sommes surpris lorsque les gens veulent se retirer. »
Selon une enquête publiée plus tôt cette année, 78 % des RSSI s’inquiètent de leur propre responsabilité en cas d’incidents de sécurité, contre 56 % il y a un an. Et 89 % des RSSI déclarent que le rythme effréné des progrès technologiques constitue un défi.
« Aussi vite que l’IA évolue, le bénéfice revient désormais à l’attaquant », explique Gadsby. « Les attaquants exploitent les vulnérabilités aussi vite qu’ils peuvent les trouver, parfois même avant que le correctif ne soit publié. »
Un problème complexe
En raison de ces facteurs et d’autres, les RSSI expérimentés prennent leur retraite, évoluent vers des postes moins stressants liés à la sécurité, se tournent vers des emplois de conseil ou d’assistance commerciale, ou quittent complètement la profession. Cela oblige les entreprises à embaucher des personnes moins expérimentées, qui sont encore plus vulnérables au burn-out.
« Si vous ne vous sentez pas prêt pour le rôle, ou si vous ne vous sentez pas autonome, surtout en ce moment, c’est à ce moment-là que vous vous dites : « Je m’en vais. Je vais faire autre chose », dit Gadsby.
De plus, comme chaque environnement informatique d’entreprise est différent, il faut du temps pour qu’un nouveau RSSI se mette à niveau, ce qui crée davantage de risques de sécurité compte tenu du rythme actuel des changements et des attaques, et met ainsi encore plus de pression sur le RSSI.
« Il faut être une personne spéciale pour vouloir faire ce travail », explique Gadsby, comparant ce rôle à celui d’un pompier.
« De temps en temps, je lis quelque chose dans les journaux et je me dis : ‘Oh mon Dieu, tous mes amis ne dorment pas ce soir.’ Je suis content de ne pas être debout à 2 heures du matin pour essayer de résoudre ce problème. Mais parfois, être utile, être pompier, me manque », dit-elle. « Le cœur du rôle est de vouloir protéger les gens. »
Répondre aux problèmes de responsabilité
Alors, y a-t-il une voie à suivre pour la profession ?
« Il n’y a pas de solution facile pour le RSSI », déclare Chris Kissel, analyste chez IDC. La durée moyenne du mandat d’un RSSI est désormais de 18 mois, note-t-il, et des questions telles que la responsabilité personnelle en cas d’incidents de cybersécurité et les nouveaux modèles d’IA n’aident pas. « Le nouveau monde pour les RSSI est très effrayant. »
Il faudra des actes de leadership pour améliorer la situation, dit-il, comme un organe directeur qui impose des exigences minimales en matière de comportement responsable.
« Et si vous prenez ces mesures, cela retire le RSSI de l’indemnisation légale », dit-il. « Il doit y avoir un moyen de mettre le RSSI au clair. »
Oliver Legg, co-fondateur et recruteur en cybersécurité chez Aspiron Search, une société de recherche de cadres spécialisée dans la cybersécurité, déclare qu’il est conscient des problèmes de responsabilité lorsqu’il discute avec des RSSI potentiels.
« Il y a deux ans, des candidats RSSI nous posaient des questions sur le budget et les effectifs », explique-t-il. « Maintenant, les premières questions portent sur l’indemnisation et la couverture D&O. »
D&O – ou administrateurs et dirigeants – est une assurance responsabilité qui protège les chefs d’entreprise contre les pertes financières personnelles.
Contrer l’anxiété liée à l’IA
Et faire face aux menaces croissantes de l’IA ?
Cela peut également être géré. L’IA elle-même peut être utilisée pour améliorer les opérations de sécurité, à condition qu’elle soit gérée de manière responsable.
« Les mythes ne changent pas vraiment ce que nous devons faire », déclare Omar Khawaja, qui enseigne aux programmes CISO et CAIO de l’Université Carnegie Mellon et est responsable de la sécurité informatique sur le terrain mondial chez Databricks. « Cela change dans quelle mesure, à quelle vitesse et dans quelle mesure nous devons le faire. Et nous devons changer l’approche et les cadres que nous utilisons afin de pouvoir atteindre une échelle 2X, 3X, 10X plus grande que par le passé. »
Cela signifie que les programmes de sécurité devront devenir beaucoup plus axés sur les agents, dit-il, avec la mise en place des précautions appropriées.
Et les craintes de voir l’IA d’une entreprise devenir malveillante sont un peu exagérées, ajoute-t-il.
« Dans presque tous ces cas, ils ont expérimenté des modèles qui n’ont pas été commercialisés et les entreprises ont déclaré qu’ils ne seraient pas commercialisés », dit-il. « Donc, si vous passez à un environnement agentique en production, n’utilisez pas d’IA expérimentale. Si vous utilisez l’une des IA les plus connues, il est tout à fait possible de les gérer en toute sécurité. »
Et les organisations qui débutent dans l’IA et qui n’ont pas encore toute l’expérience et les garde-fous devraient commencer par des cas d’utilisation moins risqués, apprendre à atténuer ces risques, puis construire à partir de cela.
« Dans le domaine de la sécurité, j’utiliserais l’IA pour détecter les anomalies et trier les enquêtes existantes », dit-il. « Je ne commencerais probablement pas par utiliser l’IA pour automatiser ma réponse. Mais si je progresse, je peux y arriver. »
Une nouvelle opportunité
L’effet Mythe est exagéré, confirme Mike Privette, ancien RSSI et fondateur et économiste en cybersécurité chez Return on Security. Ces modèles pionniers viennent de braquer les projecteurs sur des problèmes qui existaient déjà.
« D’un autre côté, alors que les modèles pionniers modifient la vitesse et la complexité du paysage des menaces, de nombreux RSSI sont plus enthousiastes que jamais à l’idée d’être aux commandes », dit-il. « Pour beaucoup de gens, c’est l’une des périodes les plus excitantes pour travailler dans ce domaine. »
C’est particulièrement le cas lorsque le RSSI travaille dans une entreprise qui adopte l’IA et où il bénéficie du soutien de la direction, du budget adéquat et de la marge de manœuvre pour expérimenter, dit-il.
« J’ai eu l’opportunité d’occuper d’autres postes au milieu de mon mandat de RSSI », déclare le dirigeant de la grande société de logiciels qui n’a pas souhaité être cité nommément. « Et ces autres rôles sont tellement plus faciles. Vous pouvez être à 90 % et quand même recevoir une tape dans le dos. Mais quand vous êtes RSSI, et que vous êtes à 99 %, et qu’il y a un serveur qui a permis aux méchants de s’introduire, personne ne se soucie que vous ayez patché les 99 autres. Moins que parfait n’est jamais assez bon. »
Pourtant, il y a des jours où cela semble exaltant, ajoute le dirigeant. « Même si la frontière entre les deux est très fine. »
Et assurer la sécurité d’une entreprise et de ses clients est un défi de taille.
« Notre plateforme est utilisée par des milliers d’entreprises », déclare le dirigeant. « Je ne cesse de me rappeler, à moi-même et à mon équipe, que c’est là notre objectif. Nous ne le faisons pas seulement pour nous. Plus je pense à quel défi formidable il s’agit, plus la mission et l’objectif me semblent vraiment géniaux. »
