Ce fut une bonne nouvelle pour les start-ups des secteurs de l' , de l'IA et de la deep tech le mois dernier, lorsque Barclays a annoncé le lancement d'un nouveau « Innovation Hub » à Londres, un accélérateur destiné aux entreprises technologiques soutenu par Barclays Eagle Labs, l'écosystème d'incubateurs de la banque, et créé en partenariat avec de nombreux géants de la technologie, notamment Microsoft et Nvidia.
En tant que première institution financière du Royaume-Uni, Barclays a l'habitude d'occuper cette position à la fois influente et délicate : elle finance l'innovation dans des secteurs émergents et controversés tels que l'intelligence artificielle, tout en conservant son rôle de conseiller en matière de risques auprès d'entreprises au Royaume-Uni et dans le monde entier. Et Andy Piper, responsable de la sécurité des systèmes d'information (RSSI), joue un rôle clé dans cet exercice d'équilibre aux enjeux considérables.
En tant que responsable de la sécurité des systèmes d'information ( ) et responsable de la sécurité de l'information ( ) chez Barclays, il contribue à identifier et à superviser les , l'IA et l'automatisation que la banque utilise effectivement. Cela implique de mettre en place des systèmes et des protocoles pour les établissements bancaires d' dans plus de 40 pays et de rendre des comptes à plus de 74 autorités de régulation.
Certes, le secteur financier utilise le trading algorithmique depuis plus d’une décennie ; il est donc relativement à l’aise avec l’IA et possède une certaine expérience en la matière – à condition que celle-ci soit sécurisée, transparente et bien réglementée, note M. Piper. Malgré cela, son enthousiasme a ses limites. Plus précisément, il s'inquiète de la manière dont l'IA est en train de transformer le paysage de la cybersécurité de façon très nette et spectaculaire.
Piper fait partie des 23 dirigeants éminents du secteur des technologies de l'information et de la sécurité qui partagent leurs expériences concrètes et leurs points de vue dans le nouveau rapport en ligne intitulé « » () () «The Interconnection of People, Process and Technology» () () (), élaboré à partir d'entretiens approfondis menés auprès de ces dirigeants du secteur issus du monde entier.
Dans l'extrait suivant – ainsi que dans d'autres qui paraîtront au cours des prochaines semaines –, , responsable du programme « Focal Point » , vous donne un aperçu de l'expertise de haut niveau que vous trouverez dans cet ouvrage, produit par Chief Disruptor, une communauté britannique réservée aux innovateurs du monde des affaires et des technologies, en partenariat avec Tanium, l'un des principaux fournisseurs de solutions de cybersécurité et de gestion autonome des terminaux (et éditeur de ce magazine).
(Cette interview a été remaniée pour des raisons de place et de clarté.)
ANDY PIPER. . .
En ce qui concerne les compétences essentielles dont doit disposer un RSSI à une époque où les avancées — intelligence artificielle, automatisation, technologie quantique, etc. — se succèdent à un rythme effréné :
La compétence que je trouve la plus utile est la capacité à bien communiquer, car une grande partie de mon rôle consiste à dialoguer avec les autorités de régulation ou les conseils d'administration – lorsque ceux-ci ne sont pas des spécialistes de la technologie.
«» Ils ne maîtrisent pas forcément le jargon informatique ultra-spécialisé, et ce n’est d’ailleurs pas nécessaire. Les conseils d'administration s'intéressent à l'impact de la cybersécurité sur les objectifs stratégiques, les risques et les opérations commerciales. »
Il est essentiel qu’un RSSI soit capable d’expliquer des sujets complexes liés à la cybersécurité à des parties prenantes non techniciennes dans des termes qu’elles comprennent. Ils ne maîtrisent pas forcément le jargon informatique ultra-spécialisé de l' , et ce n'est d'ailleurs pas nécessaire. Les conseils d'administration s'intéressent à l'impact de la cybersécurité sur les objectifs stratégiques, les risques et les opérations commerciales. Mon rôle consiste à expliquer [ce risque] et à le mettre en perspective par rapport à leurs priorités.
Concernant l'impact des réglementations en matière de conformité sur les services financiers :
L'une de mes principales activités quotidiennes consiste à gérer les autorités de régulation – plus de 74 , selon le dernier décompte. Chacune d'entre elles a des exigences spécifiques en matière de cybersécurité, dont certaines se recoupent et d'autres s'opposent. Gérer ces éléments et veiller à respecter toutes les exigences constitue un travail à temps plein. Même les modalités de signalement des incidents varient : certaines autorités de régulation exigent une notification en quelques minutes, d'autres en quelques heures, et d'autres encore dès qu'il y a une évolution significative.
«Si une autorité de régulation propose un livre blanc susceptible de déboucher un jour sur une réglementation, nous veillons à bien le comprendre et, si possible, à l’orienter dans une direction qui nous soit utile. »
Nous avons mis en place des processus de veille stratégique visant à anticiper les éventuelles modifications de ces réglementations. Nous vous demandons : en quoi consiste ce changement ? Et comment pouvons-nous adapter notre technologie pour garder une longueur d'avance sur cette évolution ? Si une autorité de régulation propose un livre blanc susceptible de déboucher un jour sur une réglementation, nous veillons à bien le comprendre et, si possible, à l'orienter dans une direction qui nous soit utile. Nous sommes également tenus de rencontrer les autorités de régulation tous les trimestres, tous les six mois ou une fois par an. Savoir communiquer efficacement avec les autorités de régulation est une compétence essentielle en soi. Encore une fois, il s'agit de traduire des réalités techniques en récits accessibles et précis.
La réglementation est un énorme, énorme… J'ai failli dire « fardeau ». Ce n'est pas un fardeau. C'est… c'est un défi, quelque chose que nous devons gérer, et si nous ne le faisons pas correctement, cela pourrait avoir un impact considérable sur l'organisation.
À propos du problème posé par les chatbots basés sur l'IA :
L' , qui relève de l'IA générative, connaît une explosion de son utilisation, et ce rythme crée un fossé que nous nous efforçons tous de combler. On en trouve désormais partout. Presque tous les fournisseurs à qui je m'adresse me disent : « Tenez, nous avons un nouveau chatbot IA . » Dans bien des cas, cela me pose un problème. Nous sommes souvent contraints de désactiver les outils de certains fournisseurs qui utilisent l'IA, car nous ne pouvons pas vérifier leur niveau de sécurité, ce qui a un impact direct sur la conformité. La vitesse représente donc un défi de taille pour le moment.
«Je souhaite que mon équipe soit perçue comme un moteur, et non comme un frein. »
Il y a ensuite deux aspects à prendre en compte : d’une part, « Comment sécuriser l’IA ? » et « Comment utilisez-vous l'IA pour sécuriser d'autres éléments ? » Nous posons des questions difficiles : où vont les données fournies par les utilisateurs ? Sont-elles stockées ? Sont-elles utilisées pour entraîner des modèles ? Et peut-on se fier aux résultats obtenus ? Nous ne souhaitons pas que des données sensibles, telles que les informations à caractère personnel (PII) ou les données exclusives relatives à la marque, soient intégrées dans des outils que nous ne pouvons ni contrôler ni auditer pleinement. À l'inverse, l'IA nous aide à passer au crible des milliards d'événements de sécurité quotidiens afin d'identifier les menaces réelles, ce qui met en évidence l'intérêt opérationnel de l'automatisation.
De même, du point de vue des menaces, bon nombre des éléments que nous avons appris à nos collaborateurs à repérer ont disparu. Les e-mails de hameçonnage générés par l'IA sont quasi parfaits : tant au niveau de la grammaire que du ton et de la structure. Cela rend obsolète la formation traditionnelle sur les menaces liées aux e-mails. L'« empoisonnement des modèles » constitue une autre menace réelle, les acteurs malveillants pouvant influencer le comportement des systèmes d'IA.
À propos de la redéfinition de l'image des équipes de sécurité :
Mon ambition est de redéfinir la perception de la sécurité, afin de s'éloigner de l'ancienne image du RSSI, souvent considéré comme « celui qui dit toujours non ». Je souhaite que mon équipe soit perçue comme un moteur, et non comme un frein. Cela implique de travailler en partenariat avec l'entreprise, en harmonisant nos objectifs et nos stratégies. La réponse par défaut à l'entreprise devrait être : « Oui, à condition que les contrôles appropriés soient en place. »
POUR EN SAVOIR PLUS :
Découvrez les réflexions de 22 autres responsables informatiques et de la sécurité chez WPP, Spotify, Unilever, NHS Digital et d’autres organisations, dans «» « L’interconnexion entre les personnes, les processus et la technologie ».
