Tout le monde sait que les RSSI ne travaillent pas vraiment très dur dans ces bureaux tout confort. Bon sang, ils ne font que contrecarrer la mise en conformité , bloquer les cyberattaques coûteuses, protéger les employés contre les e-mails de hameçonnage prédateurs – et désormais échapper aux autorités fédérales – vous savez, juste les petites choses nécessaires pour préserver les actifs informationnels d’une organisation.
Je plaisante, bien sûr.
En effet, à mesure que l'intelligence artificielle (IA) et l'IA générative s'imposent et transforment les entreprises, les responsables de la sécurité de l'information voient leurs charges de travail, déjà très lourdes, s'alourdir encore davantage. Ils apprennent à gérer les défis en matière de sécurité que pose l'IA, à tirer parti des opportunités qu'elle offre et à s'adapter à de nouvelles méthodes de travail – autant d'éléments qui exigent de nouvelles priorités en matière de direction dans cette ère de l'IA, marquée par une évolution rapide et constante.
« L’IA a tellement évolué qu’elle est désormais présente dans tous les aspects de notre vie », déclare Candy Alexander, responsable de la sécurité des systèmes d’information (RSSI) et responsable du pôle cyberrisques au sein du cabinet de conseil en technologie NeuEon. « Et bien que l’impact ait été globalement positif pour les organisations, cela représente également un défi plus important, en particulier pour les RSSI. » « Ils doivent veiller à définir des cadres appropriés pour l’utilisation de l’IA et de l’apprentissage automatique , sans pour autant étouffer la créativité et l’innovation – et c’est là un défi de taille. »
Pour s'adapter aux changements et maintenir une organisation résiliente face aux menaces de type « », les RSSI doivent donner la priorité à de nouvelles stratégies de direction, tant au sein de leurs propres équipes qu'à l'échelle de l'ensemble de l'entreprise. Ces quatre axes prioritaires constituent un bon point de départ.
1. Accompagner les dirigeants
Alors que les entreprises s'empressent de mettre en œuvre l'IA de manière efficace, les responsables de la sécurité des systèmes d'information (RSSI) peuvent jouer un rôle important en conseillant la direction sur divers sujets, à commencer par l'évaluation des cas d'utilisation de l'IA, explique Alexander. « Il s’agit de discussions avec les experts en technologie, les responsables de la sécurité et les responsables opérationnels. » « On ne peut pas se lancer comme ça dans l'IA sans vraiment comprendre ce que l'on veut faire et comment on veut s'y prendre », explique-t-elle. « Vous souhaitez améliorer l'expérience client ? » Parfait. « À partir de là, vous pouvez mettre en place ce programme d’approche tout en disposant dès le départ de mesures de protection. »
«On ne peut pas se lancer dans l’IA sans vraiment comprendre ce que l’on veut faire et comment on veut s’y prendre. »Candy Alexander, responsable de la sécurité des systèmes d'information (RSSI) et responsable du pôle « risques cybernétiques » chez NeuEon
Les responsables de la sécurité des systèmes d'information (RSSI) devraient également mener le débat sur les données issues de l' et l' de l'IA, estime Jordan Rae Kelly, directeur général senior et responsable de la cybersécurité pour les Amériques au sein du cabinet de conseil en gestion d'entreprise FTI Consulting. « Le RSSI doit mener des discussions sur le lieu de stockage des données, la manière dont elles sont collectées et les lois concernées par l’utilisation de ces données », explique-t-elle. « Auparavant, les responsables de la sécurité des systèmes d’information (RSSI) devaient simplement comprendre les besoins métier liés aux données, mais aujourd’hui, ils doivent comprendre à la fois ces besoins et leurs implications. »
De même, les responsables de la sécurité des systèmes d'information (RSSI) devraient participer aux discussions relatives à la gouvernance de l' , ajoute Alexander. « L’IA met vraiment en évidence la nécessité d’une gouvernance des données », déclare-t-elle. « À qui appartiennent les données ? » Qui utilise ces données ? Qui devrait y avoir accès ? Comment le cycle de vie des données va-t-il évoluer et se transformer ? Comment comptez-vous protéger ces données ? « Ce sont là autant de discussions auxquelles les RSSI doivent prendre part. »
2. Mettre l'accent sur la culture organisationnelle
Les entreprises expérimentent l'IA de diverses manières, de la rédaction de textes marketing au développement de code, mais ces cas d'utilisation ne sont pas toujours reconnus du point de vue de l'entreprise, met en garde Alexander. Les employés, par exemple, ne réalisent peut-être pas qu' , toute utilisation non autorisée de l'IA peut mettre en danger les informations sensibles de l'entreprise. « Sans mesures de protection, il se pourrait que des personnes saisissent des informations confidentielles dans un [outil] d’IA générative, qui seraient ensuite intégrées au modèle d’apprentissage linguistique. » « C'est absolument terrifiant. »
«Autrefois, les RSSI devaient simplement comprendre les besoins métier liés aux données, mais aujourd’hui, ils doivent en comprendre à la fois les besoins métier et les implications. »Jordan Rae Kelly, directeur général senior et responsable de la cybersécurité pour les Amériques chez FTI Consulting
Les responsables de la sécurité des systèmes d'information (RSSI) devraient aborder l'IA comme ils le feraient pour tout autre programme de sensibilisation à l' et veiller à ce que tous les collaborateurs aient une compréhension de base de ce qu'est l'IA et de la manière dont elle s'inscrit dans leur fonction. « Il faut être capable de sensibiliser l’ensemble du personnel de l’entreprise au concept d’IA et [de veiller à ce qu’il] reste informé », explique Gatha Sadhir, responsable mondial de la sécurité des systèmes d’information chez Carnival Corporation, dans une interview accordée au SANS Institute.
Les RSSI devraient axer cette campagne de sensibilisation à l'échelle de l'entreprise sur la manière dont l'IA est utilisée dans les différents processus métier, sur ses implications éthiques, sur les politiques de l'organisation en matière d'utilisation responsable de l'IA, ainsi que sur les menaces potentielles pour la sécurité et les meilleures pratiques permettant de les atténuer.
Pour obtenir des conseils sur la manière de développer la culture organisationnelle en matière d'IA, Alexander recommande de consulter les ressources mises à disposition par des organismes professionnels, tels que l' , la Cloud Security Alliance (CSA) et , ainsi que l'Open Web Application Security Project.
3. Accorder la priorité à la formation et au perfectionnement au sein des équipes de sécurité
Selon Mme Kelly, l'un des grands défis auxquels sont confrontées les entreprises de sécurité consiste à disposer à la fois d'une connaissance étendue et approfondie dans des domaines tels que l'IA, qui évoluent très rapidement.
« Les RSSI ont la lourde tâche de diriger une équipe qui est probablement déjà surchargée, débordée et chargée de traiter un large éventail de sujets – et aujourd’hui, ces sujets évoluent rapidement, car l’IA évolue à un rythme effréné », explique-t-elle. « La pression est forte pour former les équipes et veiller à ce qu’elles restent à jour et au fait des dernières évolutions, afin que la prochaine version d’une boîte à outils ne les mette pas en difficulté. »
En effet, selon un rapport intitulé « 2024 » ( ) publié par la CSA, les cadres supérieurs déclarent connaître nettement mieux (52 %) les technologies d’IA que leurs collaborateurs (11 %). « Cela va à l’encontre des idées reçues concernant les responsables de la sécurité et l’IA, ainsi que de l’hypothèse selon laquelle “tout le monde a peur” », a déclaré Caleb Sima, président de l’alliance pour la sécurité de l’IA de la CSA, lors d’une récente interview intitulée « » accordée à VentureBeat. Cette enquête remet en cause l’idée selon laquelle tout jeune collaborateur, du simple fait de son âge, maîtriserait d’une manière ou d’une autre les dernières avancées en matière d’IA, et selon laquelle « tous les RSSI rejettent l’IA, la considérant comme un risque de sécurité majeur et un problème considérable », a déclaré Sima. Cela nous rappelle surtout que les stratégies de sensibilisation à l'échelle de l'entreprise (évoquées plus haut) doivent inclure des initiatives de formation spécifiques destinées aux services informatiques.
Même si les équipes sont peut-être déjà à bout de souffle, il est important que les RSSI prévoient délibérément du temps dans les emplois du temps de leurs équipes pour une formation ciblée sur l'IA, explique Alexander. Cette formation devrait mettre l'accent sur les derniers outils et technologies d'IA, leurs implications en matière de cybersécurité et sur les rôles spécifiques des membres de l'équipe, ainsi que sur les menaces émergentes.
4. Instaurer une culture de la curiosité
S'il est important que les responsables de la sécurité des systèmes d'information (RSSI) accordent la priorité à la formation à l'IA au sein de leurs équipes, il est tout aussi important d'encourager ces dernières à expérimenter l'IA, explique Sadhir au SANS Institute.
«Les dirigeants doivent diriger depuis l’arrière, et non depuis l’avant. » Il faut laisser les penseurs réfléchir. De nombreuses idées émanent des membres de l'équipe eux-mêmes. »Gatha Sadhir, responsable mondial de la sécurité des systèmes d'information (RSSI) chez Carnival Corporation
« Il faut instaurer une culture d’apprentissage et d’innovation », déclare-t-elle. « Dans le domaine de l’IA, les dirigeants doivent diriger depuis l’arrière, et non depuis l’avant. » Il faut laisser les penseurs réfléchir. En réalité, de nombreuses idées émanent des membres de l'équipe eux-mêmes. « Vous devez leur donner la possibilité de cultiver cela afin de trouver les bonnes solutions pour l'avenir. »
Encourager les équipes de sécurité à tester l'IA présente de nombreux avantages. Cela incite ces équipes à explorer de nouvelles technologies et méthodologies d'IA, ce qui peut déboucher sur de nouvelles solutions pour relever des défis complexes en matière de sécurité. Elle favorise également le développement continu des compétences, encourage les équipes à collaborer et à partager leurs connaissances, et aide en fin de compte les équipes de sécurité à comprendre comment l'IA peut soutenir les objectifs et stratégies généraux de l'organisation et s'y aligner. Cela peut également contribuer à améliorer l' globale de l'expérience des employés, un aspect auquel les responsables de la sécurité des systèmes d'information (RSSI) et les dirigeants d'entreprise accordent une attention accrue sur le marché du travail actuel, soumis à de fortes pressions.
Alors que les responsables de la sécurité des systèmes d'information (RSSI) évoluent dans un paysage de l'IA en pleine mutation, il est important qu'ils assument un rôle de premier plan dans la stratégie de l'organisation en matière d'IA, explique Kelly. « [Les RSSI] n'occupent plus un poste en coulisses », déclare-t-elle. « Ils doivent assumer pleinement un rôle de direction et être capables, au sein d’une organisation, d’anticiper les orientations de l’entreprise et de prendre les décisions relatives à un investissement stratégique dans l’IA. »
