if ( !emtpy($headline_subheadline ) ) : ?>
Le RSSI de l’agence d’évaluation du crédit explique comment l’IA aide l’entreprise à se défendre contre les attaques, à sécuriser le code et à accélérer les correctifs, et pourquoi les principes fondamentaux et les contrôles de sécurité sont plus essentiels que jamais.
endif; ?>
Depuis près d’une décennie, Equifax fait face aux conséquences de l’une des pires violations de cybersécurité de l’histoire des États-Unis, accumulant 1,4 milliard de dollars en coûts de nettoyage.
Parmi les erreurs qui ont conduit à la violation figuraient un processus de mise à jour mal géré, un certificat de clé publique expiré et une mauvaise gouvernance. Equifax a fait appel à Mandiant, qui fait désormais partie de Google Cloud.
Aujourd’hui, Equifax, comme toutes les entreprises, est confrontée à un défi monumental en matière de cybersécurité, dans lequel l’IA facilite les attaques à une échelle jamais vue auparavant, modifiant les postures de sécurité des entreprises grâce à son adoption interne rapide et, maintenant, avec les derniers modèles avancés, démontrant son potentiel pour échapper aux contrôles et attaquer d’autres entreprises.
La personne qui dirige la réponse d’Equifax à ce défi est Jeremy Koppen, vice-président directeur et RSSI, qui a passé 13 ans chez Mandiant.
Koppen a rejoint l’équipe en mai 2025, juste à temps pour que la menace de l’IA commence à devenir réelle.
Pendant ce temps, s’il existe une vulnérabilité connue, les entreprises ont moins de temps que jamais pour la corriger, note Koppen. « Le temps moyen nécessaire à l’exploitation d’une vulnérabilité diminue avec l’essor des nouvelles technologies », dit-il. « C’est donc une priorité. »
Pour faire face à la croissance des risques et des menaces liés à l’IA, ainsi qu’à toutes les menaces traditionnelles encore présentes, Equifax redouble d’efforts en matière d’hygiène de base en matière de cybersécurité et utilise l’IA elle-même.
Par exemple, Equifax étend également sa stratégie sans mot de passe, qui couvre l’ensemble de ses 22 000 employés et sous-traitants, à ses partenaires commerciaux. «Cela a été un élément crucial, car nous savons que nous n’avons pas cet aspect d’ingénierie sociale», explique Koppen. « Le système sans mot de passe a définitivement été une mise en œuvre importante pour notre équipe. »
Cette année également, Equifax a déployé une carte de l’exposition des entreprises, qui utilise un moteur de risque quantitatif pour examiner les données sur les risques et les données commerciales afin de déterminer où se situent les problèmes et comment ils pourraient avoir un impact sur l’entreprise.
Cela inclut de remédier à la diminution de la fenêtre de mise à jour des correctifs, dit-il.
« Nous pouvons nous assurer que nous priorisons et réduisons ce risque », dit-il. « Peut-être qu’un actif est orienté vers l’extérieur, ce qui augmenterait le risque. Mais s’il est protégé par plusieurs couches de défense en profondeur et de contrôles, vous disposez alors de leviers supplémentaires dans ce que vous pouvez faire. »
Mettre l’IA au travail
Pour aider ses équipes de sécurité à faire face au nombre croissant d’alertes et d’analyses, qui s’élève désormais à 19,8 millions par jour, explique Koppen, Equifax se tourne vers l’IA.
Aujourd’hui, 50 % des tickets d’incidents des centres d’opérations de sécurité (SOC) sont traités automatiquement, permettant aux analystes humains de se concentrer sur les plus critiques. L’IA fournit également des connaissances et du contexte pour aider les analystes à se lancer et à réduire le temps nécessaire à leur traitement.
« Nous pouvons utiliser l’IA pour remédier à la situation », déclare Koppen, « mais cela ne remplace pas cet humain dans la boucle. Vous avez toujours besoin de cette vérification pour vous assurer que vous savez que c’est correct. Et si nous réparons cet élément, quels sont les impacts supplémentaires que cela pourrait avoir. »
L’automatisation est également utilisée pour aider d’autres domaines de sécurité. Par exemple, ce problème de certificat qui a contribué à la violation de 2017 ? Selon le rapport annuel sur la sécurité de l’entreprise, publié en mars, Equifax a lancé un outil de gestion de certificats pour renouveler et tester automatiquement les certificats TLS.
Koppen est également responsable de la sécurité des logiciels produits par Equifax, un domaine également transformé par l’IA.
« Dans un processus standard, vous disposez d’un diagramme de conception montrant comment les choses fonctionneraient et il y a une intégration avec la sécurité, et vous faites des allers-retours », explique-t-il. Mais comme l’IA accélère la vitesse à laquelle les attaquants peuvent rechercher des vulnérabilités dans le code, il reste moins de temps pour résoudre les problèmes de sécurité du code, ajoute-t-il.
« Nous pouvons également utiliser l’IA dans ce processus », explique Koppen, soulignant comment l’IA a aidé Equifax à effectuer une révision du code plus tôt dans le processus de conception, garantissant ainsi l’intégration de garde-fous adéquats et réduisant le temps nécessaire au processus.
«Auparavant, cela durait 46 jours et maintenant nous n’en avons plus que 18», explique Koppen. « C’est formidable de pouvoir gagner du temps tout en obtenant un résultat que nous avons vérifié avec un humain au courant et avec les garde-corps de sécurité. »
Dans l’ensemble, selon le rapport annuel sur la sécurité de l’entreprise, les délais de consultation en matière de sécurité ont diminué de 61 % et les agents IA d’Equifax analysent les vulnérabilités des conteneurs et écrivent automatiquement les correctifs de code. Le système traite désormais plus de 213 000 résultats par an sans ralentir la livraison.
Le rapport évoque également un nouveau vecteur d’attaque lié à l’IA. L’équipe de simulation d’attaques de l’entreprise a découvert que les adversaires pouvaient intégrer des invites textuelles invisibles pour inciter les modèles d’IA à diffuser des logiciels malveillants. Equifax a construit un contrôle de prévention en direct pour supprimer ces commandes cachées avant qu’elles ne puissent causer des dommages.
Attention aux IA malveillantes
Ensuite, il y a le revers de la médaille de l’IA. Avoir un agent IA capable de découvrir de nouvelles vulnérabilités de sécurité est une bonne chose lorsqu’il fonctionne comme prévu.
« Nous voulons pouvoir effectuer cet examen sur nos propres environnements, pour nous assurer que nous identifions toutes les vulnérabilités potentielles avant qu’elles ne soient annoncées au public », déclare Koppen. « Parce que nous savons que les attaquants vont faire cela. »
Malheureusement, comme l’ont découvert les laboratoires frontaliers, un agent suffisamment efficace pour détecter une faiblesse dans votre environnement pourrait également être capable de découvrir une faiblesse dans ses propres garde-fous et contrôles.
Mais il existe des techniques que les entreprises peuvent utiliser pour se protéger, explique Koppen.
« Lorsque nous utilisons des agents, nous voulons nous assurer de verrouiller ce à quoi l’agent peut accéder », explique-t-il, faisant référence au contrôle basé sur l’identité, qui n’est pas nouveau. « C’était la clé d’il y a 20 ans. Je pense qu’il est tout simplement plus impératif maintenant de les mettre en œuvre. »
Et les entreprises doivent depuis longtemps mettre en place des protections pour garantir que les données ne soient pas exfiltrées ou que l’infrastructure de l’entreprise ne soit pas utilisée comme base pour des attaques contre des tiers.
Aujourd’hui, bien sûr, il y a une nouvelle tournure en matière d’IA.
« J’y pense du point de vue du réseau », explique Koppen. « C’est la clé, c’est le premier contrôle que nous avons, en nous assurant que nous enfermons l’agent afin qu’il ne puisse pas s’échapper en dehors de cette zone. »
Selon le rapport de sécurité de l’entreprise, le contrôle d’accès manuel a été remplacé par une politique en tant que code, chaque nouvel agent étant automatiquement testé avant la production, avec des approbations humaines pour les cas d’utilisation à enjeux élevés. De plus, il existe une surveillance continue pour arrêter un modèle s’il commence à dériver ou à se comporter de manière imprévisible, ainsi que des killswitchs automatisés avec des capacités de restauration instantanée.
Koppen dit qu’il a surveillé la situation avec les agents en fuite d’OpenAI et d’Anthropic. Toutes les sources d’information sur la manière de protéger l’environnement sont bonnes, dit-il.
« Vous savez, c’est quelque chose d’excitant, avec une communauté très ouverte, qui communique et partage », dit-il. « Cela a été vraiment rafraîchissant de voir cette collaboration. »
