C’était une bonne nouvelle pour les startups de l’ IA et de la technologie profonde le mois dernier, lorsque Barclays a annoncé le lancement d’un nouveau « hub d’innovation » à Londres, un accélérateur de cabinet technologique alimenté par Barclays Eagle Labs, l’écosystème d’incubateurs de la banque, et créé en partenariat avec un grand nombre de géants technologiques, notamment Microsoft et Nvidia.
En tant qu’institution financière de premier plan au Royaume-Uni, Barclays est habituée à occuper cette position puissante, mais précaire, en finançant l’innovation dans de nouveaux secteurs controversés tels que l’IA tout en conservant son rôle de conseiller en risque auprès des entreprises du Royaume-Uni et du monde entier. Et le RSSI Andy Piper est un acteur clé dans cet acte d’équilibre à enjeux élevés.
En tant que directeur de la sécurité de l’information chez Barclays, il aide à identifier et à superviser l’ IA et l’automatisation que la banque utilise réellement. Cela signifie établir des systèmes et protocoles pour les établissements bancaires dans plus de 40 pays et répondre à plus de 74 régulateurs.
Bien sûr, l’ industrie des services financiers utilise le trading algorithmique depuis plus d’une décennie, c’est pourquoi elle est un peu à l’aise et expérimentée avec l’IA, tant qu’elle est sécurisée, transparente et bien réglementée, les notes de Piper. Malgré cela, son enthousiasme a ses limites. Plus précisément, il s’inquiète de la manière dont l’IA remodèle le paysage de la cybersécurité de manière distincte et spectaculaire.
Piper est l’un des 23 leaders de l’informatique et de la sécurité qui partagent leurs expériences et perspectives réelles dans le nouveau rapport en ligne The Interconnection of People, Process and Technology, basé sur des entretiens approfondis avec ces cadres du secteur du monde entier.
Dans l’extrait suivant, et d’autres à venir dans les prochaines semaines, Focal Point vous donne un aperçu de l’expertise de haut niveau que vous trouverez dans le livre, qui a été produit par Chief Disruptor, une communauté d’adhésion basée au Royaume-Uni pour les innovateurs commerciaux et technologiques, en partenariat avec Tanium, un fournisseur leader de solutions de cybersécurité et de gestion autonome des endpoints (et éditeur de ce magazine).
(Cet entretien a été modifié pour plus d’espace et de clarté.)
PIPEUR ANDY. . .
Sur les compétences les plus importantes qu’un RSSI doit avoir à l’ère où les progrès, l’IA, l’automatisation, la technologie quantique, etc., deviennent rapides et furieux :
La compétence que je trouve la plus utile est la capacité à bien communiquer, car un aspect énorme de mon rôle est de parler aux régulateurs ou aux conseils d’administration, lorsqu’ils ne sont pas des techniciens.
« Ils ne saisissent pas nécessairement le cyberjargon super granulaire, et ne devraient pas non plus le saisir. Les conseils d’administration se soucient de la manière dont la cybersécurité affecte les objectifs stratégiques, les risques et les opérations commerciales. »
Il est essentiel qu’un RSSI soit en mesure d’expliquer des sujets de cybersécurité complexes aux parties prenantes non techniques en termes qu’elles comprennent. Ils ne saisissent pas nécessairement le cyberjargon super granulaire, et ne devraient pas non plus le saisir. Les conseils d’administration se soucient de la manière dont la cybersécurité affecte les objectifs stratégiques, les risques et les opérations commerciales. Mon rôle est d’expliquer [le risque] et de l’aligner sur leurs priorités.
Sur l’impact des réglementations de conformité sur les services financiers :
L’une des choses clés que je passe ma journée à faire est de gérer les régulateurs, plus de 74 au dernier décompte. Chacun a des exigences de cybersécurité uniques, certaines se chevauchant et d’autres sont contradictoires. La gestion et la conformité de tous sont un travail à temps plein. Même le signalement des incidents varie, certains régulateurs s’attendant à une notification en quelques minutes, d’autres en quelques heures et d’autres lorsqu’il y a une mise à jour significative.
« Si un régulateur propose un livre blanc qui peut-être un jour devient une réglementation, nous nous assurons de le comprendre et, espérons-le, de l’orienter dans une direction qui nous est utile. »
Nous avons des processus d’analyse d’horizon qui attendent avec impatience le moment où ces réglementations peuvent changer. Nous demandons, quel est le changement ? Et comment modifions-nous notre technologie pour avoir une longueur d’avance ? Si un régulateur propose un livre blanc qui peut devenir un jour une réglementation, nous nous assurons de le comprendre et, espérons-le, de l’orienter dans une direction qui nous est utile. Nous sommes également tenus de rencontrer les régulateurs tous les trimestres, tous les six mois ou tous les ans. Communiquer efficacement avec les régulateurs est une compétence clé en soi. Encore une fois, il s’agit de traduire les réalités techniques en récits accessibles et précis.
La réglementation est énorme. J’ai presque dit le fardeau. Ce n’est pas un fardeau. C’est... c’est un défi, quelque chose que nous devons gérer, et si nous ne le faisons pas correctement, cela pourrait avoir un impact énorme sur l’organisation.
Sur le problème des chatbots d’IA :
L’IA générative a explosé dans l’utilisation, et ce rythme crée un écart, et nous jouons tous le rattrapage. C’est dans tout maintenant. Presque tous les fournisseurs auxquels je parle disent : « Hé, nous avons un nouveau chatbot d’IA. » Dans de nombreux cas, c’est un problème pour moi. Nous devons souvent désactiver les outils des fournisseurs qui utilisent l’IA, car nous ne pouvons pas vérifier leur posture de sécurité, qui est directement liée à la conformité. La vitesse pose donc un défi important en ce moment.
« Je veux que mon équipe soit considérée comme des facilitateurs, et non comme des bloqueurs. »
Ensuite, il y a les deux côtés : il y a « Comment sécuriser l’IA ? » et « Comment utilisez-vous l’IA pour sécuriser d’autres choses ? » Nous posons des questions difficiles : où va l’entrée de l’utilisateur, est-elle stockée, est-elle utilisée pour entraîner des modèles, et pouvons-nous faire confiance à son résultat ? Nous ne voulons pas que les données sensibles telles que les IPI [informations personnellement identifiables] ou les [données de marque exclusives] soient intégrées à des outils que nous ne pouvons pas contrôler ou auditer complètement. À l’inverse, l’IA nous aide à passer au crible des milliards d’événements de sécurité quotidiens pour identifier les menaces réelles, soulignant la valeur opérationnelle de l’automatisation.
De même, du point de vue des menaces, beaucoup de choses que nous avons formées à nos travailleurs à rechercher sont perdues. L’ hameçonnage généré par l’IA est presque parfait : la grammaire, le ton et la structure. Cela rend obsolète la formation traditionnelle sur les menaces par e-mail. L’empoisonnement par modèle est une autre menace réelle, les acteurs malveillants influençant le comportement des systèmes d’IA.
Sur la mise à jour de la réputation des équipes de sécurité :
Mon aspiration est de redéfinir la perception de la sécurité, de m’éloigner de l’ancienne idée du RSSI comme « la maison du non ». Je veux que mon équipe soit considérée comme des facilitateurs, et non comme des bloqueurs. Cela signifie travailler en partenariat avec l’entreprise, en alignant nos objectifs et stratégies. La réponse par défaut à l’entreprise doit être « Oui, avec les bons contrôles en place ».
POUR EN SAVOIR PLUS :
Découvrez les informations de 22 autres responsables informatiques et de la sécurité chez WPP, Spotify, Unilever, NHS Digital et d’autres organisations, dans The Interconnection of People, Process and Technology.
