Entre l’augmentation rapide de l’ IA fantôme et le nombre croissant d’escroqueries et de cyberattaques alimentées par l’IA, aujourd’hui (comme hier) est un moment essentiel pour les entreprises pour hiérarchiser l’éducation à l’IA, et les RSSI peuvent prendre l’initiative.
Selon une enquête menée par ISC2 de plus de 15 000 responsables de la sécurité de l’information et d’autres praticiens et décideurs en cybersécurité, 90 % déclarent être confrontés à des pénuries de compétences dans leur organisation, et plus de la moitié des personnes interrogées déclarent penser qu’une pénurie de compétences expose leur organisation à un risque significatif. L’écart de compétences numéro un a-t-il été signalé à l’organisation internationale de cyber-formation et de certification ? IA.
Les RSSI sont essentiels pour favoriser la sensibilisation à l’IA, renforcer les compétences, développer des programmes de formation et créer des directives d’utilisation sûre. Sans ces efforts, les menaces théoriques telles que l’IA fantôme, c’est-à-dire les employés utilisant des outils ou des applications d’IA sans l’approbation du service informatique ou, pire encore, sans leur connaissance totale , deviennent tout sauf garanties, déclare Jordan Rae Kelly, directeur général principal et responsable de la cybersécurité pour les Amériques, au sein du cabinet de conseil en gestion d’entreprise FTI Consulting.
« Les entreprises et les employés vont trouver un moyen d’utiliser l’IA, et s’ils ne sont pas informés ou bien informés sur ces technologies, l’entreprise va perdre le contrôle de la manière dont leurs informations sont utilisées et de ce qu’ils sont en mesure de protéger », déclare-t-elle. Par exemple, un employé peut utiliser des outils d’analyse basés sur l’IA pour analyser les données des clients, les chiffres de vente ou les commentaires des clients, qui mettent tous en danger les données sensibles.
La visibilité sur tous les appareils d’une organisation est essentielle pour contrôler ces types de risques, mais cela met tout le poids et la responsabilité de sécuriser une entreprise sur des services de sécurité sous-effectifs et surchargés. Une sécurité complète nécessite un effort d’équipe.
Pour suivre le rythme de l’évolution constante du paysage de l’IA, les RSSI doivent donner la priorité à l’éducation à tous les niveaux, au sein de leur propre service, au sein de la direction et dans l’ensemble de l’organisation. Et cela doit se produire avant, pendant et après le développement des politiques de gouvernance de l’IA . Ces quatre directives sont un bon point de départ.
1. S’aligner sur les priorités commerciales avant de s’attaquer aux politiques d’IA
Pour façonner efficacement la manière dont l’IA est gérée, les RSSI doivent d’abord s’informer sur le modèle commercial de l’organisation pour l’IA, déclare Ali Aqel, consultant en cybersécurité et expert en sécurité de l’IA dans la société de dotation en personnel ALKU.
« Les employés vont trouver un moyen d’utiliser l’IA, et s’ils ne sont pas informés ou bien informés sur ces technologies, l’entreprise va perdre le contrôle. »Jordan Rae Kelly, directeur général principal et responsable de la cybersécurité pour les Amériques, FTI Consulting
« Un RSSI doit s’assoir avec l’entreprise et les différentes parties de l’organisation technologique pour comprendre les charges de travail qu’il utilisera pour l’IA, les types de services qu’il utilisera, la fonctionnalité de celles-ci, et les exigences commerciales et fonctionnelles nécessaires pour l’IA », déclare-t-il.
Dans le contexte de l’utilisation de l’IA, les charges de travail des applications englobent les opérations et les activités que les applications basées sur l’IA doivent exécuter. Par exemple, les charges de travail pour les applications de traitement et d’analyse des données peuvent inclure des tâches telles que le nettoyage, l’organisation et la transformation de grands jeux de données pour les rendre adaptés à l’entraînement des modèles d’IA. « Une fois qu’ils ont une compréhension claire de cela », déclare Aqel, « l’équipe de sécurité peut commencer à créer et à aligner toutes les exigences, normes, politiques et processus qui sont enveloppés autour de cette exigence d’IA. »
En comprenant les modèles commerciaux de l’organisation, les RSSI peuvent commencer à concevoir des programmes d’éducation et de sensibilisation aux risques qui se concentrent sur les menaces et opportunités d’IA les plus pertinentes, explique-t-il.
[Lire également : 4 priorités de leadership critiques pour les RSSI à l’ère de l’IA]
En prime, les RSSI peuvent ensuite se tourner vers leurs directeurs financiers et autres cadres et indiquer comment ces programmes d’éducation à l’IA soutiennent la croissance des revenus et/ou empêchent les pertes. “One of the skills that is lacking within the profession is that ability to contextualize cybersecurity…as a business driver,” notes ISC2 executive vice president of corporate affairs Andy Woolnough on a recent episode of the Solution Spotlight podcast. « Vous devez être en mesure de convaincre le directeur financier ; c’est aussi simple que cela. »
2. Éduquer les cadres grâce à des conversations sur le développement de politiques d’IA
Les RSSI jouent un rôle clé dans l’éducation de la haute direction sur les risques et les avantages de l’IA, et ces conversations critiques doivent avoir lieu lorsque (ou mieux encore, avant) les organisations commencent à développer des directives politiques en matière d’IA, déclare Kelly. Les RSSI doivent mener ces discussions autour d’un certain nombre de considérations de sécurité.
« [Les équipes de sécurité] doivent comprendre ce qu’elles traduisent, développent et sécurisent. »Ali Aqel, consultant en cybersécurité et expert en sécurité de l’IA, ALKU
« Ils doivent aborder des sujets importants pour l’appareil de sécurité de l’information de l’entreprise, tels que la confidentialité des données, la propriété intellectuelle et la manière dont ils examinent les résultats des modèles d’IA et effectuent la validation », déclare-t-elle. « Ils doivent être très spécifiques sur ce à quoi ressemble l’expérimentation et doivent avoir un rôle dans les évaluations sur des choses telles que les préjugés et l’équité. »
Mener ces conversations est essentiel, car ils aident les dirigeants à comprendre les risques et les avantages de l’IA, et à obtenir finalement leur soutien dans la gestion des risques liés à l’IA, déclare Aqel.
[Lire également : 5 objectifs clés pour guider les budgets de cybersécurité en 2025]
Alors que l’IA continue d’évoluer, les RSSI doivent tenir la direction informée des nouvelles menaces, opportunités et tendances émergentes. Des briefings ou rapports réguliers peuvent aider à maintenir la sensibilisation des cadres.
3. Développer des connaissances fondamentales sur les bases de l’IA au sein de l’équipe de sécurité
Les RSSI doivent s’assurer que leur équipe de sécurité a une compréhension de base des fonctionnalités de l’IA, déclare Aqel.
« Ils doivent comprendre ce qu’ils traduisent, développent et sécurisent. Ils doivent comprendre les différents modèles de l’IA, tels que l ’apprentissage automatique, le Deep Learning, le traitement du langage naturel et les modèles spécialisés », déclare-t-il. « Il est très important que le personnel de sécurité comprenne ces choses, car il doit savoir comment imiter les contrôles de sécurité pour ces modèles. »
Aqel conseille aux équipes de sécurité de consacrer au moins quatre heures par mois en blocs d’une heure à l’éducation à l’IA. Cette formation peut se dérouler sous divers formats : des sessions à huis clos où les équipes explorent un sujet particulier, une formation formelle via des ressources telles que Pluralsight, ou une formation ou des certifications via le fournisseur d’IA de l’organisation. Il est important, ajoute Aqel, que les équipes de sécurité disposent d’un budget dédié pour soutenir l’éducation des employés dans les technologies émergentes telles que l’IA.
4. Champion de la formation à l’IA à l’échelle de l’entreprise
La formation de tous les employés sur la manière d’utiliser l’IA en toute sécurité renforce la sensibilisation et la compréhension des risques uniques associés aux technologies d’IA, des attaques contradictoires et de l’empoisonnement des données aux préoccupations éthiques et à la conformité réglementaire. Cela aide l’organisation à mieux protéger ses systèmes d’IA, à protéger les données et à assurer la conformité aux réglementations du secteur.
Cela aide également à inculquer à tous les employés à tous les niveaux un sentiment d’engagement : tout le monde fait partie de l’équipe lorsqu’il s’agit de protéger l’organisation.
Les domaines d’intérêt dans le programme de formation d’une organisation varieront en fonction de l’entreprise, déclare Kelly. Par exemple, de nombreux systèmes d’IA utilisés pour l’analyse s’appuient sur des données qui comprennent souvent des informations sensibles ou personnellement identifiables. Les employés doivent être formés à l’importance de protéger ces données et de se conformer à certaines réglementations pour éviter les violations et les conséquences juridiques.
Pour que ces programmes réussissent, Kelly dit qu’ils doivent être superposés avec des exemples qui s’appliquent aux employés qui suivent la formation. Cela peut inclure un e-mail qui semble provenir du PDG de leur entreprise demandant un virement bancaire urgent pour une nouvelle initiative commerciale, alertant les employés des signaux d’alarme possibles (indices concrets tels que des phrases inhabituelles, des incohérences d’expéditeur ou des demandes d’informations sensibles) qui signalent une tentative d’ hameçonnage , une compromission des e-mails commerciaux ou d’autres formes d’ ingénierie sociale.
« Cela les aide à vraiment comprendre en détail comment les décisions concernant les risques liés à l’IA vont vraiment s’appliquer à l’organisation », déclare-t-elle.
