L’avenir du centre des opérations de sécurité dépend peut-être moins de la technologie que de la manière dont les responsables de la sécurité gèrent l’attention humaine, l’expertise et la résilience.
Les centres d’opérations de sécurité (SOC) ont passé des années à lutter sous le poids d’un volume d’alertes croissant, de surfaces d’attaque en expansion et d’une pénurie chronique de personnel. Aujourd’hui, l’intelligence artificielle ajoute une nouvelle complication : non seulement davantage d’informations, mais davantage d’informations générées par des machines qui doivent elles-mêmes être évaluées.
Son observation reflète une inquiétude croissante parmi les responsables de la sécurité. L’IA aide les attaquants et les défenseurs à avancer plus rapidement, mais elle crée également de nouvelles formes de charge cognitive pour les humains chargés de séparer le signal du bruit.
Alors que l’IA accélère la découverte des vulnérabilités et permet une reconnaissance et une exploitation plus automatisées, les défenseurs sont de plus en plus responsables de la surveillance des systèmes dont les résultats peuvent être difficiles à interpréter ou à vérifier. Le défi n’est pas simplement davantage de travail. Le fait est que le volume, la rapidité et la complexité de ce travail augmentent simultanément.
Pourtant, les experts qui étudient et conseillent les SOC rejettent l’idée selon laquelle l’effondrement est inévitable. Au lieu de cela, ils décrivent une industrie entrant dans une transition difficile qui pourrait remodeler le fonctionnement des équipes de sécurité et la manière dont les humains et les machines partagent la responsabilité de la défense.
La montée de la vulnérabilité met en lumière des années de dette sécuritaire
L’une des préoccupations les plus immédiates est la possibilité que l’IA augmente considérablement le nombre de vulnérabilités que les organisations doivent identifier et corriger.
Chris Crowley, instructeur de longue date en cybersécurité et expert SOC, affirme que les organisations sont confrontées aux conséquences d’années de dette technologique accumulée.
La découverte de vulnérabilités assistée par l’IA a le potentiel de révéler ces faiblesses à un rythme jamais connu auparavant par les défenseurs.
« La compression du travail qui nous est imposée est sans précédent », déclare Crowley. « Nous l’ignorons depuis des décennies. »
Il ne croit pas que l’IA créera nécessairement de toutes nouvelles classes de vulnérabilités. Il s’attend plutôt à ce que les défenseurs soient confrontés à des volumes bien plus importants de problèmes familiers.
« Nous allons en avoir 100 simultanément », dit-il, faisant référence aux types de vulnérabilités hautement prioritaires que les équipes de sécurité traitent traditionnellement une à la fois.
Le défi de l’IA pour de nombreux SOC est peut-être moins un problème de nouveauté qu’un problème de volume. Les équipes de sécurité savent déjà comment appliquer des correctifs aux systèmes, prioriser les mesures correctives et répondre aux expositions critiques. Ce qui change, c’est l’ampleur et la vitesse à laquelle ces demandes arrivent.
Les organisations disposant de processus matures de mise à jour des correctifs, de priorisation, d’escalade et de réponse peuvent avoir du mal à s’adapter. Les organisations qui ont traité les opérations de sécurité comme une fonction de conformité minimale peuvent se retrouver dépassées.
Pour les RSSI, dit Crowley, cela signifie traiter le « patch maintenant » moins comme un état d’urgence occasionnel que comme une posture opérationnelle permanente. À mesure que l’IA accélère la découverte des vulnérabilités, la distinction entre maintenance de routine et réponse à une crise risque de continuer à s’estomper.
Il compare la situation à la planification de reprise après sinistre. Les organisations qui attendent qu’une crise survienne pour établir des plans de personnel, des voies de remontée et des processus de remédiation peuvent découvrir qu’il n’y a pas suffisamment d’aide disponible.
La surcharge cognitive pourrait devenir le défi déterminant
Bien que la découverte de vulnérabilités retienne beaucoup d’attention, le Monténégro estime que les responsables de la sécurité ont besoin d’un cadre plus large pour comprendre l’impact de l’IA.
Selon lui, les organisations devraient envisager l’IA sous trois angles : la sécurité pour l’IA, l’IA pour la sécurité et la sécurité par l’IA. La première concerne la protection des systèmes d’IA. La seconde consiste à utiliser l’IA pour améliorer les opérations défensives. La troisième demande ce qui se passe lorsque des adversaires utilisent l’IA contre l’organisation.
Pour les SOC, les trois catégories commencent à se chevaucher.
Alors que l’IA facilite la création de rapports, d’évaluations, de soumissions de vulnérabilités et d’autres artefacts opérationnels, les humains restent responsables de déterminer si ces informations sont exactes et utiles.
« Il devient beaucoup plus facile de générer du contenu », déclare le Monténégro, « mais si vous envisagez d’examiner ce contenu en tant qu’être humain, la responsabilité qui vous incombe est désormais d’autant plus grande. »
Le résultat est une nouvelle forme de surcharge cognitive. Les professionnels de la sécurité peuvent consacrer de plus en plus de temps à évaluer les informations générées par les machines au lieu d’effectuer des tâches de sécurité à plus forte valeur ajoutée.
Les organisations peuvent de plus en plus utiliser l’IA pour résumer les rapports, évaluer les alertes et faciliter les enquêtes, mais les humains restent responsables de la validation des résultats.
« Nous n’en sommes pas encore au stade où les gens se sentent à l’aise » en confiant entièrement les décisions critiques à l’IA, dit-il.
Cela laisse les défenseurs coincés entre deux réalités concurrentes : l’IA crée davantage d’informations à traiter, mais l’IA devient également l’un des rares outils viables pour gérer cette charge de travail croissante.
Pour le Monténégro, le principe devrait être d’automatiser les tâches et non les rôles. L’IA peut absorber des étapes d’enquête répétitives, mais les organisations doivent faire preuve de prudence avant d’exclure complètement les humains du processus.
Le risque, dit-il, est que si les organisations cachent trop de complexité derrière des résultats automatisés, les analystes risquent de perdre des opportunités de développer les connaissances du domaine nécessaires pour progresser.
« Comment le professionnel qui réagit à ces alertes évolue-t-il en tant que professionnel ? » dit-il.
L’écart entre les SOC matures et en difficulté pourrait se creuser
Toutes les organisations ne subiront pas l’impact de l’IA de la même manière.
John Hubbard, consultant senior en cybersécurité et instructeur SANS, estime que la réponse de l’industrie dépendra largement de la manière dont les organisations se seront préparées au stress opérationnel avant que l’IA n’atteigne une grande échelle.
Les organisations en difficulté ont tendance à manquer de personnel, de sous-financement, de sous-formation ou de dépendre de processus ad hoc. Chaque incident est différent, obligeant les équipes à improviser sous pression.
« Être frappé par quelque chose comme ça peut certainement accélérer l’épuisement professionnel si ce n’est pas déjà fait », dit Hubbard.
En revanche, les équipes de sécurité matures ont déjà investi dans les processus, la formation, les exercices et l’automatisation. « Les équipes qui font actuellement un travail très solide ne sont probablement pas trop débordées car elles ont développé les processus et les procédures pour être prêtes à ce genre de choses », explique Hubbard.
Il compare les SOC qui réussissent aux services d’incendie. Les pompiers ne peuvent pas prédire exactement où se produira la prochaine urgence, mais ils savent comment réagir car ils ont répété ces réponses à plusieurs reprises.
« Les équipes qui peuvent réagir comme un service d’incendie sont celles qui réussissent », dit-il.
Ces organisations mènent des exercices sur table, des exercices d’émulation d’adversaires, des évaluations d’équipes rouges et des exercices de réponse aux incidents. Ils peuvent ainsi absorber une charge de travail supplémentaire sans sombrer dans la panique.
L’épuisement professionnel reste le problème le plus difficile du secteur
Malgré les inquiétudes généralisées concernant les attaques basées sur l’IA, aucun des experts ne considère l’IA uniquement comme une menace. Plusieurs affirment que l’IA deviendra essentielle pour aider les défenseurs à faire face aux défis qu’elle crée.
Jose-Marie Griffiths, président émérite et ancien CIO de la Dakota State University, estime que l’IA peut aider les équipes de sécurité à passer au crible d’énormes volumes d’informations et à identifier les signaux les plus importants.
L’IA peut aider à automatiser certaines parties de l’analyse, à valider les alertes et à améliorer la visibilité dans des environnements complexes. Mais Griffiths prévient que certains outils de découverte de vulnérabilités assistés par l’IA produisent également un grand nombre de faux positifs.
C’est important, car les faux positifs n’éliminent pas le travail. Ils le créent. Alors que les organisations sont confrontées à un volume croissant de découvertes, distinguer les risques réels des résultats erronés peut devenir aussi important que la découverte des vulnérabilités en premier lieu.
Les experts conviennent que la technologie à elle seule ne déterminera pas les résultats. Les gens le feront.
Crowley soutient que les professionnels de la cybersécurité doivent reconnaître que l’incertitude est intrinsèque à la profession. « Nous sommes le groupe qui s’occupe de l’incertitude », dit-il. « C’est vraiment ce qu’est la cybersécurité. »
Cette réalité impose une responsabilité à la fois aux individus et aux organisations. Les analystes ont besoin de mécanismes pour gérer le stress. Les équipes doivent reconnaître lorsque leurs collègues approchent de leurs limites. Les managers doivent établir des pratiques de remontée d’informations saines et des attentes réalistes.
Hubbard rejette l’idée selon laquelle l’épuisement professionnel est inévitable.
« Il n’est pas acquis d’avance que les emplois dans les opérations de sécurité doivent être une corvée pénible que tout le monde déteste », dit-il.
Il a vu des organisations où les employés restent engagés pendant des années parce que les dirigeants gèrent activement la charge de travail, créent des cultures de soutien et encouragent une communication ouverte.
Cela inclut de permettre aux analystes d’admettre en toute sécurité lorsqu’ils ont atteint leurs limites. « Si les gens ne veulent pas dire : ‘Je suis au maximum en ce moment et je deviens fou’, cela va briser beaucoup d’équipes », dit Hubbard.
Payer à lui seul ne résoudra peut-être pas le problème. Crowley a souligné les résultats de l’enquête SANS/SOC montrant que la rémunération se classait au quatrième rang des facteurs de rétention, derrière un travail significatif, la formation et le développement professionnel.
Le futur SOC pourrait être très différent
Griffiths estime que les organisations devront réagir non seulement avec une meilleure technologie, mais aussi avec des changements structurels. Les modèles SOC traditionnels à plusieurs niveaux devront peut-être évoluer vers des équipes plus collaboratives dotées d’expertises diverses travaillant ensemble en temps réel.
« Je pense que nous allons devoir éliminer un peu les hiérarchies et faire travailler ensemble des équipes de personnes ayant des expertises différentes », dit-elle.
Elle soutient également que les organisations devraient investir dans l’expertise humaine plutôt que de simplement accroître la consommation d’IA. « Achetez des ingénieurs, pas des jetons », dit-elle.
Les réseaux professionnels et le soutien par les pairs seront aussi importants que n’importe quel outil, affirme Griffiths, car les défenseurs ont besoin de communautés de confiance où ils peuvent comparer leurs notes, partager leurs pratiques et éviter de subir des pressions soutenues dans l’isolement.
S’il y a un consensus qui se dessine parmi les experts, c’est que l’IA révèle des faiblesses déjà existantes.
Les pénuries de personnel, la fatigue des alertes, l’épuisement professionnel et les échecs de processus affectant les SOC n’ont pas commencé avec l’IA générative. L’IA ne fait que les amplifier.
Dans le même temps, l’IA fournit de nouveaux outils qui peuvent aider les organisations à relever ces mêmes défis.
Le futur SOC pourrait passer moins de temps à trier manuellement les alertes et plus de temps à valider les résultats automatisés, à rechercher les menaces et à prendre des décisions stratégiques. L’expertise humaine peut de plus en plus être associée à des systèmes d’IA qui agissent comme partenaires opérationnels.
La transition ne sera pas sans douleur. Certaines équipes auront du mal. Certains pratiquants peuvent quitter le terrain. D’autres s’adapteront et prospéreront.
« D’une certaine manière », dit Griffiths, « nous bouleversons l’ensemble du SOC. »
Le Monténégro considère la transition comme une version cybersécurité de l’effet Reine Rouge : les défenseurs et les attaquants doivent continuer à courir simplement pour rester en place.
En empruntant à l’auteur de science-fiction William Gibson, le Monténégro offre peut-être la description la plus simple de la situation actuelle de l’industrie : « L’avenir est déjà là. Il est simplement inégalement réparti. »
Pour les responsables de la sécurité, cet avenir se présente sous la forme de vulnérabilités générées par l’IA, d’enquêtes assistées par l’IA et d’adversaires activés par l’IA. La question n’est plus de savoir si les centres d’opérations de sécurité vont changer. Il s’agit de savoir si les organisations peuvent s’adapter assez rapidement pour suivre le rythme.
