if ( !emtpy($headline_subheadline ) ) : ?>
Les progrès de l’IA de cette année ont été un signal d’alarme pour les RSSI, les obligeant à repenser leurs cyberstratégies. Ici, les responsables de la sécurité expliquent comment ils envisagent de faire évoluer leurs programmes pour relever les défis anticipés.
endif; ?>
Jeremy Koppen, RSSI d’Equifax, constate la même dynamique à laquelle sont confrontés la plupart des responsables de la sécurité : les pirates informatiques d’un côté utilisent l’IA pour effectuer des attaques plus sophistiquées à une vitesse sans précédent, et les défenseurs de l’autre adoptent l’IA pour correspondre à ce volume et à cette vitesse.
« L’IA change le rythme des deux côtés », dit-il. « Les attaquants l’utilisent pour opérer à plus grande échelle, et Equifax l’utilise pour innover plus rapidement. »
Au cours de la prochaine année, Koppen continuera de faire évoluer la stratégie de sécurité d’Equifax pour s’adapter à un environnement de menace qui s’accélère.
« Cela signifie s’appuyer sur la sécurité déjà intégrée dans notre processus de conception et de développement, afin que les contrôles soient exécutés tôt et automatiquement », explique-t-il. « Cela signifie également élargir la manière dont nous utilisons l’IA dans nos propres opérations de sécurité pour gérer le travail de routine, afin que nos experts puissent se concentrer sur les menaces et les initiatives les plus importantes. Bien faite, la sécurité devient l’une des raisons pour lesquelles un produit peut être lancé plus tôt. »
Quant à la vague croissante d’agents IA entrant dans les flux de travail des entreprises, Koppen affirme que « les contrôles d’identité sont au cœur » de sa stratégie de sécurité pour 2027.
« Dans l’ensemble du secteur, une plus grande activité sur les réseaux d’entreprise provient désormais d’agents d’IA, de robots et de flux de travail automatisés, et la plupart des contrôles de sécurité traditionnels ont été conçus en pensant à l’utilisateur humain », explique-t-il. « C’est pourquoi nous appliquons à ces identités la même vérification rigoureuse que celle que nous appliquons aux personnes. »
Bien entendu, Koppen, comme d’autres responsables chevronnés de la sécurité, sait que sa stratégie de sécurité informatique doit évoluer pour ne pas se limiter à l’IA. La géopolitique, l’arrivée prévue de l’informatique quantique et les systèmes de plus en plus interconnectés modifient également le paysage des menaces et la surface d’attaque – parfois de manière radicale – et devraient également entraîner des changements stratégiques.
Cela exerce à son tour une pression sur les RSSI pour qu’ils repensent leurs pratiques, leurs politiques et leurs approches alors que nous nous dirigeons vers une nouvelle année susceptible d’être au moins aussi folle que l’a été 2026.
« Les RSSI réalisent qu’ils doivent se transformer, car leur état actuel ne fonctionne pas. Et pour réussir, cela nécessitera une transformation assez importante au cours des prochaines années », déclare Omar Khawaja, RSSI, membre du corps professoral du programme CISO de l’Université Carnegie Mellon et membre du conseil d’administration de HITRUST et du FAIR Institute.
Bien entendu, la transformation, comme toujours, est un travail en cours, dit Khawaja ; par conséquent, de nombreux responsables de la sécurité réfléchissent encore à ce qui doit changer en 2027 et à la manière de concrétiser ces changements.
Pourtant, Khawaja, Koppen et d’autres soulignent que la transformation n’est pas une option ; la sécurité de l’organisation dépend de l’évolution stratégique de ses équipes de cybersécurité.
Alors, qu’est-ce qui doit changer exactement ? Les responsables de la sécurité soulignent des éléments spécifiques qui ne fonctionneront pas aussi bien au cours de l’année à venir et ce qui doit être mis en place pour sécuriser de manière plus adéquate l’organisation en 2027 et au-delà.
Les informations d’identification statiques doivent disparaître
Koppen pense que les informations d’identification statiques sont en voie de disparition.
« Peu importe la rigueur de la politique, les mots de passe finissent toujours par ressembler à ceux d’une équipe sportive préférée ou à la saison en cours avec un point d’exclamation à la fin. Cela en fait des cibles triviales pour les attaques par force brute », dit-il, soulignant que son entreprise a supprimé les mots de passe de ses 22 000 employés et sous-traitants et étend désormais sa norme sans mot de passe à ses clients B2B.
Davantage de travaux manuels sur le SOC doivent être automatisés
La nouvelle règle pour les équipes de sécurité est d’avancer à la vitesse d’une machine.
« Nous ne sommes plus en mesure de gérer manuellement les attaques et les vulnérabilités. L’IA rend cela impossible », déclare Bill Hunkapiller, RSSI de la Florida State University.
Sa stratégie de sécurité reflète cette nouvelle réalité. Il a mis en place des agents autonomes pour remplacer les tâches de routine des opérations de sécurité, et ses plans pour 2027 prévoient d’augmenter le nombre de tâches gérées par les machines.
La plupart des RSSI sont sur cette voie. L’état de préparation à la réponse aux incidents de Sygnia a révélé que 32 % des organisations utilisent largement l’IA dans la plupart ou la totalité des activités de détection des menaces et de réponse aux incidents (RI), contre 25 % en 2025. Et 63 % s’attendent à avoir une utilisation intensive de l’IA en place pour les activités de détection des menaces et de réponse aux incidents en 2027.
Les scores de gravité génériques sont supprimés, les évaluations de risque adaptées à l’organisation sont disponibles.
Koppen d’Equifax déclare que les scores de gravité génériques ne sont plus efficaces. « La note « critique » d’un fournisseur ne permet pas de savoir si un système contient des données sensibles, s’il est exposé à des tiers ou s’il se trouve derrière d’autres contrôles », dit-il, soulignant qu’Equifax dispose de son propre moteur de risque quantitatif qui prend en compte ce contexte afin que ses équipes « puissent se concentrer sur les problèmes qui présentent un risque réel pour l’entreprise ».
Hunkapiller, qui est également responsable de la protection de la vie privée et professeur adjoint à la FSU, estime également qu’il est nécessaire de comprendre comment les vulnérabilités et les expositions courantes présentent un risque pour son organisation en particulier, plutôt que de se fier aux évaluations. À cette fin, il explore des services qui pourraient créer un jumeau numérique de son environnement pour simuler la façon dont les pirates pourraient exploiter les vulnérabilités de son organisation. Ce service donnerait à Hunkapiller des informations en temps quasi réel sur les vulnérabilités qui présentent les risques les plus importants pour FSU, lui permettant ainsi de prioriser avec précision leur correction rapide, dit-il.
Jusqu’à présent, il est impressionné par cette capacité, affirmant que c’est comme « une gestion de la surface d’attaque sous stéroïdes ».
L’application continue de correctifs est désormais l’objectif
La sécurité avait autrefois Patch Tuesday, un surnom qui reflétait le travail régulier d’application des correctifs récemment publiés aux failles logicielles. Même si les équipes de sécurité d’aujourd’hui ne respectent peut-être pas le mardi spécifiquement pour le travail, beaucoup d’entre elles mettent toujours à jour leurs correctifs selon un calendrier défini – et beaucoup prennent encore des semaines pour les mettre à jour. Le rapport d’enquête sur les violations de données 2026 de Verizon estime le délai médian pour corriger les vulnérabilités exploitées connues à 43 jours, contre 32 jours en 2025.
Cela ne fonctionnera pas en 2027, déclare Hugh Thompson, président du programme de la conférence RSA.
« Nous avions l’habitude d’appliquer les correctifs de manière très méthodique. Si un correctif était publié pour un système, nous ne voulions pas le déployer tout de suite (de peur) que cela puisse casser quelque chose. Nous avons donc pris du temps, l’avons testé et planifié le travail. Cela ne fonctionnera pas maintenant, car la vitesse à laquelle ces attaquants IA peuvent tirer parti des vulnérabilités ou en découvrir de nouvelles est plus grande que jamais », dit-il. « Nous avons besoin d’automatisation dans l’application des correctifs. »
Jason Rader, RSSI pour les solutions technologiques et l’intégrateur de systèmes Insight, a accéléré le programme de mise à jour des correctifs de son entreprise, ramenant les délais de mise à jour à sept jours pour ses composants les plus critiques – une réalisation importante compte tenu de la taille de l’environnement informatique et du nombre de correctifs publiés. Il souhaite néanmoins faire mieux, affirmant qu’il vise à augmenter la vitesse d’application des correctifs dans tous les domaines de l’environnement informatique en 2027 et notant qu’il aimerait éventuellement parvenir à des correctifs continus.
Il faut mettre fin aux différences de traitement entre les agents et les NHI
Alors que les agents d’IA effectuent davantage de tâches que les humains, jusqu’à récemment, il devient de plus en plus clair que la sécurité ne peut pas traiter les identités des machines (qu’il s’agisse d’agents, de systèmes ou d’API) différemment des humains, explique Rader.
À cette fin, il « gère déjà des agents comme des personnes », en accordant une attention tout aussi diligente à la gestion de l’identité et des autorisations associées – et donc de l’accès aux données et aux systèmes – pour garantir que chaque entité ne puisse accéder qu’à ce qui est approprié pour son rôle.
Cela inclut la gestion des identités des machines tout au long de leur cycle de vie, tout comme la sécurité des travailleurs humains devrait l’être, et l’application d’une gouvernance appropriée, ajoute Rader.
L’agilité et l’adaptabilité doivent faire partie de la stratégie 2027
Certains RSSI adoptent encore une approche « définir et oublier » en matière de politiques, de procédures et de normes, explique Prakash Venkata, partenaire des risques liés à la cybersécurité, aux données et aux technologies chez PWC et responsable des pratiques de sécurité, de risque et d’ingénierie de l’entreprise.
Cette approche n’a jamais bien fonctionné, car il a toujours été nécessaire d’améliorer et de faire évoluer les politiques, les procédures et les normes à mesure que le paysage des menaces et la surface d’attaque évoluaient, explique Venkata. Mais le rythme du changement est désormais si rapide que les RSSI doivent intégrer l’agilité et l’adaptabilité dans leurs stratégies simplement pour suivre et respecter les normes du secteur.
Thompson prône également la nécessité d’une plus grande agilité dans les stratégies de sécurité et conseille aux responsables de la sécurité de « se préparer à l’agilité plus que ce que nous devions ou pouvions supporter dans le passé, car des problèmes surgiraient que vous ne pouvez pas anticiper ».
Il note également que les RSSI doivent travailler avec d’autres départements, tels que les achats, pour apporter l’agilité nécessaire à la sécurité. Par exemple, si le RSSI doit acheter et mettre en œuvre rapidement une nouvelle technologie pour réduire un risque récemment identifié ou se défendre contre une menace émergente, il aura besoin que les procédures d’approvisionnement évoluent aussi rapidement que la sécurité.
Les stratégies détachées de sécurité et de gouvernance de l’IA deviennent obsolètes
Il y a eu une augmentation des stratégies de gouvernance et de sécurité de l’IA qui sont détachées de la stratégie globale de gouvernance et de sécurité de l’organisation, explique James Lyne, PDG de SANS, un organisme de formation et de certification en sécurité.
Lyne estime que l’attention portée à la gouvernance et à la sécurité de l’IA est essentielle. Cependant, il pense que la séparation totale des stratégies de gouvernance et de sécurité de l’IA sera de plus en plus préjudiciable en 2027 et au-delà. C’est parce qu’ils ne sont ni différents ni distincts de la gouvernance et de la sécurité d’entreprise.
« Une application d’IA exposée à des entrées malveillantes constitue un problème de sécurité des applications », dit-il. « Les agents IA accédant à des éléments non autorisés constituent un problème de gestion des privilèges et de sécurité des opérations (au moins) si les personnes avaient un accès non autorisé. »
Pour garantir que les organisations disposent d’une approche efficace et coordonnée en matière de gouvernance et de sécurité, capable de protéger l’ensemble de l’organisation, où les éléments travaillent ensemble sans silos ni redondances, les RSSI et leurs organisations ont besoin d’une stratégie de sécurité unifiée qui s’adresse à tous les acteurs, « qu’il s’agisse d’humains, de services logiciels, d’agents d’IA ou de flux de travail automatisés », dit-il.
