À l'ère du numérique, les données se répandent plus vite que le café un lundi matin.
Un salarié accède d'une manière ou d'une autre à des données confidentielles des ressources humaines, envoie accidentellement un rapport financier par e-mail à un tiers au lieu de l'envoyer au directeur financier, ou transfère une base de données clients sur une clé USB. Ou, pire encore, il s'agit d'une intrusion externe : les données de l'entreprise sont exposées par un cyberattaquant particulièrement habile.
Que ce soit en interne ou en externe, l’ des informations sensibles des organisations est constamment menacée, d’autant plus que l’IA générative (GenAI) s’immisce dans toutes les fonctions de l’entreprise ; or, une fuite déclenche généralement le cycle bien connu de la violation, de la réaction, de la reprise – puis de nouveaux investissements dans la sécurité et le transfert de ces coûts vers les consommateurs.
Les systèmes traditionnels de prévention des pertes de données (DLP) de type « », conçus pour bloquer ce type d'accès, de partage ou de fuite de données sensibles, imposent aux équipes de sécurité la charge de créer manuellement des règles et des politiques qui définissent ce qui est autorisé et ce qui ne l'est pas. Ces équipes doivent ensuite ajuster et mettre à jour ces politiques afin de s'adapter à l'évolution des menaces, aux nouveaux types de données et aux besoins changeants de l'entreprise. Cette approche fondée sur des règles entraîne souvent des taux élevés de faux positifs, une « fatigue des alertes », la non-détection de menaces contextuelles et une lourde charge administrative pour les équipes de sécurité.
C'est là que l'IA peut transformer la manière dont les entreprises protègent leurs actifs les plus précieux. Grâce à l'apprentissage automatique , à l', au traitement du langage naturel et à l'analyse comportementale , les solutions DLP basées sur l'IA peuvent être plus adaptatives et plus intelligentes, et ainsi répondre plus efficacement aux menaces pesant sur les données.
Le problème, c'est que ces systèmes nécessitent une formation de pointe. Si le système d'IA est entraîné à partir de données erronées, les conséquences peuvent être désastreuses. « C’est comme l’analogie d’une personne qui part en voyage et qui s’écarte d’un degré de sa trajectoire : cela ne semble pas très grave à un mile de distance, mais lorsque vous êtes à mille miles, c’est très grave », explique Eric Vanderburg, président du cabinet de conseil en cybersécurité Nexus Cyber, dans une interview exclusive accordée à Focal Point.
Aujourd'hui, les enjeux sont considérables : selon le rapport « » publié par IBM et le Ponemon Institute, le coût des fuites de données en 2024 a atteint un niveau record de 4,88 millions de dollars, soit une hausse de 10 % par rapport à l'année précédente. Toutefois, le rapport a révélé que les organisations qui recourent à l'IA en matière de sécurité et à l'automatisation de l' réduisent le coût des violations de données de 2,2 millions de dollars en moyenne.
L'automatisation de la prévention des fuites de données (DLP) présente de nombreux avantages pour les entreprises, même si elle comporte encore certaines limites et difficultés. Voici ce qu'il est important de savoir.
Les avantages d'une solution DLP basée sur l'IA
Si les technologies d’IA et d’IA générative favorisent les fuites de données et obligent les organisations à réévaluer leurs mesures de sécurité, elles contribuent également à rendre la sécurité plus intelligente, a déclaré Kevin Skapinetz, stratège chevronné en cybersécurité et ancien directeur général des logiciels de sécurité chez IBM, lors de la publication de leur rapport l’année dernière.
«Ce que l’IA tente de faire, c’est ce que les humains faisaient auparavant : passer au crible les données brutes et élaborer des politiques à partir de celles-ci. »Kevin Skapinetz, associé commandité chez TechOperators
« Pour prendre une longueur d’avance, les entreprises devraient investir dans de nouvelles défenses basées sur l’IA « » et développer les compétences nécessaires pour faire face aux risques émergents et saisir les opportunités offertes par l’IA générative », a déclaré M. Skapinetz, désormais associé gérant de la société de capital-risque TechOperators, spécialisée dans la cybersécurité.
D'une part, l'IA simplifie le processus de création des règles, là où les solutions DLP traditionnelles pourraient rencontrer des difficultés. « En substance, ce que l’IA tente de faire, c’est ce que faisaient les humains auparavant : analyser des données brutes et élaborer des politiques à partir de celles-ci », a-t-il fait remarquer. « L'IA y parvient très efficacement dès lors que vous lui avez fait suivre une période d'apprentissage pour l'aider à comprendre. »
De plus, l'IA permet au système DLP de mieux comprendre le contexte et les comportements. Un système DLP traditionnel pourrait bloquer tous les e-mails contenant le mot « confidentiel », même s’il s’agit d’un document autorisé, tandis qu’un système DLP basé sur l’IA sera capable de déterminer si le document est partagé en toute sécurité au sein de l’entreprise.
Ces distinctions permettent de réduire le nombre de faux positifs.
« Si une personne reçoit de nombreuses alertes et qu’il s’agit à chaque fois de faux positifs, elle risque tout simplement d’ajouter à la liste blanche la prochaine alerte qui lui parvient sans même la consulter attentivement », explique M. Vanderburg. «« C’est ce qui arrive quand on est fatigué », dit-il. « Mais les IA ne se fatiguent pas. »
L'IA peut également analyser d'autres facteurs au-delà du simple contenu, tels que le comportement des utilisateurs et les habitudes de connexion, afin d'identifier d'éventuels incidents de perte de données. Si un utilisateur se connecte généralement depuis son bureau à domicile dans l'Oklahoma plusieurs jours par semaine, par exemple, l'IA le détecte. Si, toutefois, l'utilisateur commence soudainement à se connecter depuis le Libéria, l'IA le signalera, explique M. Vanderburg.
Cela présente également des avantages en matière de conformité. Comme les IA enregistrent chacune de leurs décisions, ces données fournissent une justification claire des mesures de sécurité – ce qui fait souvent défaut dans les processus gérés par des humains, explique M. Vanderburg. Cela s'avère également utile en cas de violation de données, car cela permet aux organisations de se prémunir contre les amendes réglementaires en démontrant qu'elles ont fait preuve de diligence raisonnable et pris toutes les précautions raisonnables, ajoute-t-il.
Tous ces facteurs allègent la charge de travail des équipes de sécurité, explique M. Vanderburg. « L'IA peut renforcer le niveau de sécurité global de l'organisation et, dans certains cas, lui permet de réaffecter ses ressources », explique-t-il. « Une personne chargée de surveiller en permanence le DLP est en mesure d’accomplir cette partie de son travail de manière bien plus efficace », explique-t-il.
Le DLP amélioré nécessite un apprentissage intelligent basé sur l'IA
Bien que les solutions DLP basées sur l'IA présentent de nombreux avantages, les équipes de sécurité doivent tenir compte de certains aspects importants, explique Candy Alexander, RSSI et responsable du pôle cyber-risques au sein du cabinet de conseil en technologie NeuEon, dans un entretien exclusif accordé à avec Focal Point. Il faut tout d'abord comprendre que ces solutions doivent être entraînées.
«Si votre ensemble de données d’entraînement est de mauvaise qualité au départ, vous ne le remarquerez peut-être pas beaucoup, mais au bout de 12 mois, il se retrouve soudainement très biaisé et de très mauvaise qualité. »Eric Vanderburg, président de Nexus Cyber
« L’IA, c’est un peu comme un stagiaire qui a une idée de ce qu’il est censé faire, mais qui ne le sait pas exactement », explique-t-elle. « L’intelligence des IA dépend entièrement de la manière dont vous les formez – ce qui nécessite une bonne gouvernance des données .»
Pour former efficacement l'IA, les entreprises ont besoin d'une visibilité réseau robuste , qui leur permettra de bien comprendre quelles données existent, où elles se trouvent et comment les protéger, explique Alexander. Ils doivent être en mesure d'identifier les données métier critiques, les données opérationnelles et les données soumises à une réglementation ; d'évaluer quelles données présentent les risques les plus importants en matière de sécurité et de conformité en cas de divulgation ; et de classer ces données de manière appropriée afin que le système DLP puisse détecter, suivre et protéger avec précision les informations sensibles.
À une époque où les dirigeants d'entreprise qui envisagent de se lancer dans l'IA sont en proie à un sentiment intense de « FOMO », il est difficile de résister à la tentation d'adopter rapidement l'IA et de régler les problèmes au fur et à mesure qu'ils se présentent. La nécessité de « faire preuve de prudence » incombera inévitablement aux responsables de la sécurité d’ , qui doivent évaluer (et communiquer efficacement aux dirigeants de l’entreprise) les conséquences à long terme de l’IA.
« Avec l’IA, si votre apprentissage est de mauvaise qualité au départ, vous ne le remarquerez peut-être pas beaucoup, mais au bout de 12 mois, les résultats sont soudainement très biaisés et catastrophiques », explique M. Vanderburg.
C'est pourquoi il est également essentiel de mettre à jour et de valider régulièrement ces systèmes, ajoute-t-il ; on ne peut pas se contenter de les configurer une fois pour toutes.
Une condition préalable à la mise en œuvre d'une stratégie DLP : veiller à ce que les personnes restent impliquées
Les craintes quant au remplacement des travailleurs humains par l'IA sont omniprésentes dans pratiquement toutes les discussions sur l'IA. Et bien que les solutions d'IA soient très avancées, dans le domaine de la prévention des fuites de données (DLP), du moins, la supervision humaine reste une exigence essentielle.
«L’IA, c’est comme un stagiaire qui a une idée de ce qu’il est censé faire, mais qui ne le sait pas exactement. »Candy Alexander, responsable de la sécurité des systèmes d'information (RSSI) et responsable du pôle « risques cybernétiques » chez NeuEon
« Les organisations ont toujours besoin d’une intervention humaine », déclare Alexander. « Pour revenir à l'exemple du stagiaire, ce dernier est-il digne de confiance ? » Ont-ils reçu la formation adéquate pour mener à bien cette mission ? « Vous n'accordez pas automatiquement aux stagiaires des droits d'administrateur sur tous vos systèmes. »
Selon elle, on a toujours besoin d'êtres humains pour examiner certaines anomalies et certains faux positifs, pour passer outre les erreurs et pour ajuster certaines règles.
Et si l'IA aide les organisations à gagner en efficacité dans la prévention des pertes de données, elle pose également de nouveaux défis, car les pirates exploitent cette même technologie pour mettre au point des menaces plus sophistiquées, explique M. Vanderburg. « Cela va ressembler un peu à un jeu du chat et de la souris : nous utilisons l'IA, les pirates l'utilisent aussi », explique-t-il. « Je pourrais imaginer un scénario dans lequel des pirates tenteraient d'introduire des données erronées dans les systèmes d'IA et de générer de fausses alertes pour provoquer une certaine lassitude. » « Si vous ne disposez pas d'un nombre suffisant de personnes pour surveiller cela, vous risquez d'avoir des ennuis. »
Pour les entreprises qui envisagent d'adopter des solutions DLP basées sur l'IA, les conseils habituels restent valables, précise Alexander. « Vous devez bien cerner vos besoins : que souhaitez-vous que ce programme fasse ? » Avez-vous réuni les conditions préalables ? « Votre entreprise comprend-elle ces données ? » dit-elle. « Tout repose sur les personnes, les processus et la technologie. » « Cette technologie est vraiment impressionnante, mais c’est au niveau de sa mise en œuvre et des investissements consacrés à l’assistance qu’elle peut poser problème. »
