Cybersécurité IA : comment transformer le risque en force

En tant que leader de la cybersécurité au sein de votre organisation, vous cherchez à neutraliser les risques afin que vos collaborateurs puissent travailler, collaborer et innover librement. À cet égard, l’intégration de nouvelles technologiques doit se faire de manière résiliente, sans endommager vos défenses. 

Pour William MacMillan, ancien responsable de la sécurité des systèmes d’information (RSSI) de la CIA (Central Intelligence Agency), « la cybersécurité conditionne le bon fonctionnement de l’entreprise ; chaque tâche ne peut s’accomplir qu’en toute sécurité ». L’adoption de l’IA ne fait pas exception.

Appréhender les opportunités autant que les menaces

L’IA est source de nombreux avantages pour votre entreprise. Grâce à elle, le service client raccourcit ses délais de résolution, l’équipe marketing crée du contenu personnalisé à grande échelle, et plus globalement, l’ensemble des processus est optimisé. C’est ainsi qu’avec Agentforce, Santander a multiplié par quatre le nombre de conversations quotidiennes avec ses clients, ce qui génère un volume considérable de données utiles et personnalisées, en temps réel.

Pour les RSSI, en revanche, l’IA impose de repenser les stratégies de sécurité. Vous n’êtes pas seul à bénéficier de cette technologie… Les pirates informatiques se servent de l’IA générative pour produire des e-mails de phishing, des pages d’accueil et d’autres documents officiels, de manière toujours plus crédible et rapide. Vos collaborateurs sont plus susceptibles de tomber dans un piège, lui-même plus difficile à déjouer par votre équipe…

Les principaux risques et défis techniques liés à l’IA en matière de sécurité

Vos données sont-elles protégées ?

Vos collaborateurs saisissent-ils des données sensibles dans les outils d’IA ? Les entreprises derrière ces outils les utilisent-elles ou les vendent-elles ? Les éventuelles fuites de données peuvent être préjudiciables et coûteuses… Le rapport Generative AI Snapshot Research de Salesforce révèle que près de 60 % des personnes prévoyant d’utiliser l’IA générative déclarent ne pas savoir comment procéder en s’assurant que les sources de données sont fiables ou que les informations sensibles sont protégées.

Dans quelle mesure vos collaborateurs sont-ils préparés ?

Une étude de Salesforce indique que près d’un tiers de la population au Royaume-Uni recourt déjà à l’IA générative. Que votre organisation ait mis en place une stratégie d’IA ou non, vos collaborateurs s’en servent probablement de plus en plus ; il est primordial que vous échangiez avec eux pour savoir comment ils s’y prennent et les sensibiliser aux questions de sécurité. Des équipes averties sont des équipes protégées ; pour un RSSI, la maîtrise de l’IA doit faire partie de la culture d’entreprise.

Les productions de l’IA sont-elles fiables ?

Vous avez probablement entendu parler des hallucinations – quand l’IA commence à inventer des réponses insensées. Ce phénomène peut se retourner contre votre entreprise si de tels contenus viennent à être diffusés…

Comment faire de l’IA une force ?

1. Réduire les vecteurs d’attaque 

Généralement, les nouvelles technologies que vous ajoutez à votre infrastructure informatique sont autant de points faibles exploitables par des logiciels malveillants. Mais plutôt qu’ajouter une couche d’IA par-dessus vos données, vous pouvez réduire les frictions apportées par les nouveaux outils en rassemblant les données, l’IA, le CRM, le développement et la sécurité sur une seule plateforme complète.

Regrouper ainsi les différents services présente de nombreux avantages : moins de failles dans la sécurité des données, expérience utilisateur plus familière, meilleure visibilité informatique, valeur opérationnelle… Des atouts concrets qu’illustre l’exemple de l’aéroport d’Heathrow, dont les revenus digitaux ont augmenté de 30 % une fois ses services en ligne connectés grâce à Salesforce.

2. Utiliser l’IA générative dans le SOC

L’IA générative peut renforcer l’ingénierie de détection en permettant aux analystes du centre des opérations de sécurité (SOC – Security Operations Center) et autres experts de repousser de nouvelles offensives plus efficacement, d’analyser des ensembles de données beaucoup plus importants et de simuler des scénarios de cyberattaque à grande échelle. De plus, en automatisant certaines tâches de routine comme la production de rapports sur les autorisations et les accès, la GenAI libère du temps que votre équipe peut consacrer à des actions à plus forte valeur ajoutée, dont l’analyse.

3. Déployer une architecture sans conservation de données

Une gouvernance des données solide constitue la base d’un déploiement d’IA sécurisé. À cet égard, choisissez un logiciel dont l’architecture fonctionne sans rétention de données (zero-data-retention). Cela vous permet de contrôler les informations et leur confidentialité en toute transparence, tout en sécurisant la récupération des données, leur masquage et l’ancrage dynamique. Vos équipes tirent ainsi parti des atouts de l’IA, sans compromettre les données client.

Salesforce s’associe à OpenAI et Azure OpenAI pour appliquer la politique de non-rétention des données : aucune donnée n’est utilisée pour l’entraînement des LLM ou l’amélioration de produits par des LLM tiers ; aucune donnée n’est conservée par les LLM tiers ; et surtout, personne chez le fournisseur tiers n’accède aux données envoyées au LLM.

4. Instaurer une gouvernance et une formation ambitieuses

Apprendre à utiliser les outils d’IA peut être aussi fascinant qu’amusant. Un peu moins le fait de se renseigner sur les protocoles de sécurité… Enrichissez la formation générale de vos collaborateurs de modules portant sur la sécurité, les politiques et l’éthique en matière d’IA. Autre piste judicieuse : créer un comité de surveillance chargé de suivre le déploiement de l’IA, en s’assurant de sa conformité avec les politiques et les réglementations.

5. Contenir les risques de toxicité

Certaines architectures peuvent atténuer la toxicité des données et la production de résultats nuisibles grâce à des mesures de détection et d’audit. Cela garantit qu’aucun résultat n’est partagé sans la validation d’une personne, et que chaque étape est enregistrée sous forme de métadonnées pour votre audit, ce qui simplifie le processus de conformité.

6. Tester vos plans de réaction en cas d’incident

La cybersécurité implique aussi d’accepter que les attaques sont inévitables ; il faut alors être prêt à relancer les opérations le plus rapidement possible. Avec l’IA, c’est la même chose. Concevez et appliquez des plans de réaction d’urgence spécifiques aux menaces et aux vulnérabilités liées à l’IA.

7. Collaborer avec des experts en IA

Votre mission, c’est de protéger votre organisatin ; vous n’avez pas le temps de devenir un expert en sécurité de l’IA. En vous associant à des partenaires de confiance, vous restez informé des nouvelles menaces et disposez de solutions de sécurité innovantes.

Perspectives : l’IA et la sécurité de demain

À l’ère de l’IA, votre rôle en tant que responsable de la sécurité est plus que jamais essentiel. En se concentrant sur une gouvernance des données robuste, la diffusion d’une culture de sécurité et des outils adaptés, les RSSI sont en mesure non seulement d’atténuer les risques liés à l’IA, mais aussi de s’en servir pour renforcer la sécurité.

Les défis que pose l’IA sont surcompensés par les opportunités inédites qu’elle offre en matière d’innovation, d’efficacité et de croissance. Si vous parvenez à les saisir sans aucun compromis sur la sécurité, vous assurez à votre organisation de belles perspectives avec l’IA, reposant sur des fondations sûres et solides.