if ( !emtpy($headline_subheadline ) ) : ?>
Les responsables de la sécurité qui se sentent prêts à affronter ce qui s’en vient ont plusieurs facteurs organisationnels en commun, selon un rapport récent. Mais la confiance et la préparation ne sont pas nécessairement les véritables mesures de sécurité.
endif; ?>
La confiance des responsables de la sécurité dans leur capacité à gérer les risques de sécurité que l’IA posera au cours des deux prochaines années repose sur plusieurs facteurs clairs, selon l’analyse de l’IANS de son enquête sur la sécurité de l’IA, réalisée plus tôt cette année.
Sur les 113 RSSI interrogés par l’IANS en avril et mai, 41 % se sont montrés optimistes quant à la capacité de leur organisation à gérer les risques de sécurité de l’IA au cours des 24 prochains mois, contre 38 % qui se sont montrés pessimistes.
En approfondissant, l’IANS a identifié six signaux organisationnels forts qui différencient les RSSI qui ont confiance dans leur capacité à faire face à l’évolution rapide des risques liés à l’IA et ceux qui redoutent l’avenir. Et ils ont moins à voir avec les contrôles et les capacités actuels qu’avec la position et l’influence du RSSI au sein de l’organisation.
« Les résultats révèlent une distinction entre les perceptions actuelles des risques et l’optimisme quant à la gérabilité des risques liés à l’IA à l’avenir. Les perceptions des risques actuels sont plus fortement associées à la maturité de la sécurité de l’IA, c’est-à-dire à la capacité opérationnelle et aux contrôles de sécurité d’une organisation pour gérer son environnement IA », indique le rapport. « L’optimisme quant à l’avenir est plus fortement associé aux facteurs de préparation organisationnelle. »
Ces facteurs comprennent :
- Compréhension des dirigeants du risque lié à l’IA
- Propriété de la gouvernance de l’IA clairement définie
- L’efficacité de l’équipe de sécurité avec les outils d’IA
- Propriété des RSSI sur le budget de sécurité de l’IA
- Charges de travail durables des équipes de sécurité
- Personnel de sécurité suffisant
Au-delà de toute mesure actuelle de maturité en matière de sécurité de l’IA ou d’augmentation budgétaire, l’optimisme des RSSI quant au chemin difficile à parcourir semble reposer en grande partie sur la question de savoir si les dirigeants de l’organisation les écoutent, les responsabilisent et leur fournissent des ressources adéquates – du moins selon le sondage de l’IANS.
Une question de confiance
Les consultants et analystes en cybersécurité conviennent largement que ces éléments joueront un rôle essentiel dans l’efficacité de la cybersécurité de l’IA d’une entreprise à l’avenir, mais avec des nuances et des réserves.
Pearl Almeida, directrice de recherche chez Info-Tech Research Group, souligne que le désalignement et la mauvaise compréhension des dirigeants à l’égard des risques liés à l’IA sont des facteurs clés qui nuisent à la capacité des RSSI à atténuer ces risques.
« Les RSSI peu enclins au risque qui ont résisté à l’adoption par les agents ont pour la plupart été rejetés par l’entreprise, et ils (les dirigeants d’entreprise) vont de l’avant, qu’ils se sentent prêts ou non », déclare Almeida. » Seule une poignée d’organisations avec lesquelles je travaille ont mis en place des contrôles stricts. Les autres commencent par les fondamentaux car le report n’est plus une option. «
De plus, de nombreux RSSI sont confrontés à ce qu’Almeida a décrit comme des « angles morts organisationnels ».
« Dans mes conversations avec les RSSI, j’ai constaté que la plupart des responsables, y compris ceux de la sécurité, ne peuvent pas expliquer comment fonctionne un agent. Ils savent qu’ils doivent l’utiliser, mais ne comprennent pas les mécanismes : où l’agent obtient ses informations, comment il fait appel aux outils, comment il prend des décisions, comment fonctionne réellement l’humain dans la boucle », explique Almeida. « Lorsque vous ne pouvez pas décrire le mécanisme, vous ne pouvez pas dimensionner correctement l’exposition. »
Quant à la gouvernance de l’IA, Almeida prévient qu’une propriété claire ne suffit pas à elle seule ; le vrai problème est la culture de sécurité.
« La désignation d’un propriétaire d’entreprise nommé ne fonctionne que si la sécurité est déjà intégrée au fonctionnement de l’entreprise plutôt que si elle est intégrée au moment de l’approbation », explique-t-elle. « Les propriétaires qui ne veulent pas assumer leurs responsabilités doivent comprendre clairement le métier : ils donnent à la sécurité le pouvoir d’arrêter leur flux de travail lors d’un incident sans les consulter. »
Rock Lambros, directeur des normes et de la gouvernance de l’IA chez Zenity, fournisseur de sécurité agent, prévient que l’optimisme peut être trompeur.
« Chaque chiffre du rapport correspond à l’auto-évaluation d’une personne mesurée par rapport à l’auto-évaluation de cette même personne », note Lambros. « Un RSSI qui vient de vous dire que son programme est « efficace » sur une échelle de cinq points ne va pas répondre deux questions plus tard et évaluer son risque à neuf. Les gens restent cohérents avec eux-mêmes. »
Quant aux facteurs identifiés, Lambros a noté deux groupes clairs.
« La compréhension du leadership, l’appropriation claire de la gouvernance et le contrôle budgétaire des RSSI montent et descendent tous ensemble parce qu’ils sont tous en aval d’une seule décision prise par quelqu’un au sein de la haute direction ou de la salle du conseil d’administration », explique Lambros, ajoutant que la charge de travail et le personnel sont étroitement alignés, « mesurant si l’équipe a de la place pour respirer. »
Les aspects pratiques de la préparation
Sanchit Vir Gogia, analyste en chef chez Greyhound Research, note que, même si les facteurs identifiés par l’IANS peuvent être des indicateurs de la préparation organisationnelle, « la préparation n’est pas la même mesure que la sécurité ».
« Ils montrent si le RSSI a une compréhension du leadership, un contrôle budgétaire et une capacité d’action, et non si le domaine de l’IA est sous contrôle », explique Gogia.
Aman Mahapatra, directeur de la stratégie chez Tribeca Softtech, une société de conseil en technologie basée à New York, fait écho aux préoccupations de Gogia.
« Un RSSI doté d’un conseil d’administration informé, d’une gouvernance propre, d’un contrôle budgétaire et d’une équipe au complet se sentira optimiste, qu’un seul agent de production ait ou non une autorisation limitée », déclare Mahapatra. « C’est une carte utile de la façon dont pensent actuellement les RSSI. Ce n’est pas une feuille de route en matière de sécurité, et le risque est qu’elle soit interprétée comme telle. »
La manière dont une équipe de sécurité utilise l’IA en interne fournit cependant une indication pratique de son état de préparation, suggère Mahapatra, car elle « construit des capacités durables plutôt que des conditions favorables ».
Et c’est quelque chose que les RSSI devraient souligner, car « cela doit être gagné au fil des trimestres, et c’est exactement pourquoi cela s’aggrave », dit-il. « Les équipes qui utilisent l’IA dans leurs propres réglages de tri et de détection apprennent par l’expérience où l’injection rapide se produit et comment les agents échouent sous l’influence d’un adversaire, et ces connaissances sont transférées directement pour sécuriser l’IA partout ailleurs. »
Le consultant en cybersécurité Brian Levine, directeur exécutif de FormerGov, conseille aux RSSI de veiller à ce que la gouvernance de l’IA mette l’accent sur le risque lié aux tiers.
« La gouvernance est inutile si vous ne savez pas réellement quels modèles sont intégrés dans votre environnement et les risques associés à ces modèles », explique Levine. « Pour un RSSI, le risque ne réside pas seulement dans l’IA que vous créez. C’est aussi dans l’IA dont vous héritez via les fournisseurs et les utilisations non autorisées. »
Justin Greis, PDG du cabinet de conseil Acceligence, affirme que la préparation future aux risques liés à l’IA dépend de l’obtention d’autant d’informations que possible sur les données du système d’IA et les interactions avec les applications.
« Le RSSI doit savoir sous quelle identité cet agent opère, quels systèmes il peut atteindre, quelles informations il peut récupérer, quelles transactions il peut initier, quels autres agents ou outils il peut invoquer, si chaque action matérielle est observable et si l’organisation peut immédiatement mettre fin à son autorité », explique Greis. « Cela ressemble beaucoup plus à la gestion d’une main-d’œuvre numérique qu’à la sécurisation d’une autre application logicielle. »
Greis était également sceptique – tout comme divers analystes et consultants – quant à savoir si un taux d’optimisme de 41 % reflète réellement ce que vivent la plupart des RSSI d’entreprise.
« Près de la moitié des RSSI sont optimistes quant à l’avenir de la sécurité de l’IA ? Qui diable sont ces gens ? » demande Greis. « Les RSSI d’entreprise avec qui je discute se frayent un chemin à travers le défi de sécurité le plus rapide de leur carrière. »
Et cela soulève la question du timing : interrogés en avril et mai sur leur niveau de confiance, ces RSSI répondraient-ils de la même manière compte tenu de ce qu’ils ont vu depuis ?
Il est possible que l’avancée des modèles de classe Mythe et les actes de voyous de grande envergure commis par des agents ébranlent cet optimisme. Mais il est également vrai que l’IA amplifie les lacunes fondamentales en matière de sécurité, au premier rang desquelles les dysfonctionnements organisationnels.
