Genai simplifie le travail – pour les entreprises ainsi que pour les attaquants et les initiés malveillants. Les CISO doivent être préparées.
C’est le cauchemar de chaque entreprise: un concurrent vise ses propres clients avec des campagnes ciblées. Et ça le fait si précisément que ce ne peut pas être une coïncidence. Il est raisonnable de supposer que le concurrent a en quelque sorte eu accès à ces données sensibles.
La source de la violation de données: un ancien employé a utilisé un assistant d’IA pour accéder à une base de données interne pleine de données de compte. Il a ensuite copié des détails sensibles tels que les ventes de clients et l’utilisation des produits. Il les a ensuite emmenés chez son nouvel employeur.
Cet exemple illustre un problème en croissance rapide: l’utilisation croissante des outils d’IA génératrices conduira inévitablement à plus de violations de données. Selon une récente enquête Gartner, les cas d’utilisation d’IA les plus courants comprennent des applications basées sur Genai telles que Microsoft 365 Copilot et Salesforce. Bien que ces outils soient un excellent moyen pour les entreprises d’augmenter la productivité, elles posent également un défi majeur pour la sécurité des données.
Risques de données
La recherche montre que près de 99% des autorisations ne sont pas utilisées, plus de la moitié d’entre elles étant à haut risque. En principe, les droits d’accès inutilisés et trop larges sont un problème pour la sécurité des données. L’intelligence artificielle exacerbe la situation à plusieurs reprises. Lorsqu’un utilisateur demande une question à un assistant d’IA, l’outil formule une réponse en langage naturel basé sur le contenu Internet et les données de l’entreprise à l’aide de la technologie graphique. Par exemple, Microsoft Copilot peut accéder à toutes les données auxquelles l’utilisateur peut accéder – même si l’utilisateur ne sait même pas qu’il y a accès. En conséquence, Copilot peut facilement divulguer des données sensibles.
L’IA abaisse les barrières aux attaquants
L’IA a fait les jours où les attaquants ont dû «pirater» les systèmes et rechercher lentement et soigneusement l’environnement une chose du passé. Maintenant, ils peuvent simplement demander à un assistant d’IA d’informations sensibles ou accéder aux données pour se déplacer latéralement dans l’environnement.
Les plus grands défis pour la cybersécurité posés par l’IA sont:
- Les employés ont accès à trop de données
- Les données sensibles ne sont souvent pas marquées ou sont marquées incorrectement
- Les initiés peuvent trouver rapidement et exfiltrer les données en utilisant le langage naturel
- Les attaquants peuvent trouver des secrets pour l’escalade des privilèges et le mouvement latéral
- Il est impossible de définir manuellement le bon niveau d’accès
- Genai génère rapidement de nouvelles données sensibles
Ces défis de sécurité des données ne sont pas nouveaux. Cependant, la vitesse et la facilité avec lesquelles l’IA peuvent exposer des informations aux attaquants les rend plus faciles que jamais à exploiter.
Mesures de protection contre le risque d’IA
La première étape pour éliminer les risques associés à l’IA est de s’assurer que les devoirs ont été effectués. Avant d’utiliser des outils aussi puissants que Copilot, les CISO doivent savoir où se trouvent toutes leurs données sensibles. Ils doivent également être en mesure d’analyser les menaces et les risques, de combler les lacunes de sécurité et de corriger efficacement les erreurs de configuration.
Ce n’est que lorsque les CISO ont une prise ferme sur la sécurité des données dans leur environnement et que les bons processus sont en place que l’entreprise est prête à introduire des assistants d’IA. Même après l’installation, les responsables de la sécurité devraient surveiller en permanence les trois domaines suivants:
- Droits d’accès. Il est important de s’assurer que les autorisations des employés sont correctement dimensionnées et que l’accès de l’outil d’IA correspond à ces autorisations.
- Classification. Dès que les CISO savent quelles données sensibles l’entreprise possèdent, elles peuvent l’étiqueter pour appliquer efficacement les règles DLP.
- Activité humaine. L’utilisation d’assistants d’IA doit être surveillée et tout comportement suspect détecté. L’analyse des invites et des fichiers accessibles est crucial pour empêcher l’utilisation abusive de l’intelligence artificielle.
