Alors que les menaces s’intensifient, en raison notamment du recours à l’IA, et compte tenu du renforcement des exigences réglementaires en matière de résilience, les organisations doivent adopter une nouvelle approche de la cybersécurité. Pour Ercan Kocak, CISO d’Econocom PSF, la résilience doit s’organiser au départ d’une démarche structurée. Il est aujourd’hui tout aussi crucial de sécuriser les usages de l’intelligence artificielle et d’être plus réactif pour remédier aux vulnérabilités.

Depuis un an et demi, DORA exige des acteurs du secteur financier de prendre les mesures adéquates pour garantir la résilience de leurs activités. Au-delà d’une étape de mise en conformité, la réglementation a permis aux organisations de mieux prendre conscience des enjeux en la matière. « En tant que prestataire de services numériques et gestionnaire d’infrastructures informatiques, nous ne sommes pas directement soumis à DORA. Nous le sommes indirectement, à travers les exigences de nos clients, acteurs du secteur financier, qui, eux, doivent répondre à ces enjeux, commente Ercan Kocak, CISO d’Econocom PSF. Dans cette optique, afin de répondre à leurs attentes et de pouvoir les accompagner dans le renforcement de leur résilience, nous nous sommes engagés dans une démarche de certification ISO 22301, consacrée au management de la continuité d’activité. »

La résilience se renforce en continu

Le renforcement de la résilience exige, en effet, de mettre en place une démarche structurée, au départ d’une identification précise des risques, mais surtout d’une bonne compréhension des impacts. « Pour de nombreux acteurs, nous sommes un partenaire stratégique, dont dépendent les opérations. Nous avons donc nous-mêmes souhaité nous inscrire dans une démarche contribuant à garantir la continuité de nos opérations et à appliquer les meilleures pratiques en la matière, poursuit le CISO. Cette certification vient renforcer notre propre organisation. Elle nous permet, en outre, d’accompagner nos clients désireux de renforcer leur propre résilience et d’adopter les standards les plus élevés du marché. »

Mettre la continuité à l’épreuve

La continuité, aujourd’hui, ne peut se limiter à l’exécution de sauvegardes et à l’établissement de plans de reprise ou de procédures documentées. Une sauvegarde correctement exécutée ne garantit pas, à elle seule, que l’entreprise saura reconstruire son environnement. « Il faut pouvoir s’inscrire dans une démarche d’amélioration continue, au départ d’une meilleure compréhension des risques et des impacts. Et, surtout, il faut pouvoir vérifier, en s’exposant à des scénarios réalistes, que les mesures envisagées permettent effectivement de redémarrer, commente Ercan Kocak. Une clé de chiffrement inaccessible, un mot de passe oublié ou une dépendance non identifiée peuvent suffire à enrayer toute la mécanique de reprise. »

Fort de l’expérience acquise à travers sa démarche de certification, Econocom PSF entend désormais accompagner les organisations dans le renforcement de leur résilience, de l’identification des risques et de l’analyse d’impact business (BIA) jusqu’au renforcement des mesures et à l’exécution de tests.

Les agents IA, ces nouveaux « insiders »

En matière de sécurité et de résilience, l’adoption de l’intelligence artificielle constitue un autre enjeu majeur. « La sécurisation des usages s’appuyant sur cette technologie constitue certainement l’un des défis majeurs pour les mois à venir, commente Ercan Kocak. En fonction des divers cas d’utilisation, il est essentiel de mener une analyse complète des risques. »

Les risques liés à l’IA ne concernent pas uniquement la confidentialité des données, mise à mal lorsque des informations sont transmises à un modèle externe. « Cela va désormais beaucoup plus loin. L’arrivée des IA agentiques, notamment, change la nature du risque en profondeur. Octroyer des droits d’accès à un agent, afin qu’il puisse exécuter certaines tâches, n’est pas anodin. Ces dernières semaines, on a vu des cas d’agents échappant au contrôle de leurs propriétaires se multiplier. Plus on octroie d’autonomie à un écosystème d’agents, plus il devient nécessaire de contrôler précisément leur périmètre d’action, en particulier si on les autorise à communiquer avec l’extérieur. »

Le recours aux agents ou la multiplication des modèles exécutables localement, sur les postes de travail, exigent de mettre en place un cadre sécurisé et des contrôles renforcés. « Si les principes fondamentaux de la cybersécurité restent valables, ils doivent désormais être appliqués à une nouvelle catégorie d’utilisateurs : des systèmes capables d’agir de façon partiellement autonome », commente le CISO.

Réduire le temps de réaction

L’intelligence artificielle, en renforçant les capacités des attaquants externes, soulève un autre défi en matière de gestion des vulnérabilités. « Aujourd’hui, un attaquant peut demander à une IA de sonder Internet et de rechercher des sites vulnérables, explique Ercan Kocak. Là où l’exploitation d’une faille demandait auparavant davantage de temps, de compétences et d’interventions humaines, l’automatisation permet potentiellement de passer beaucoup plus rapidement de la découverte à l’exploitation. »

La fenêtre dont disposent les défenseurs se réduit en conséquence. Pour les vulnérabilités affectant des systèmes exposés à Internet, le CISO évoque désormais un horizon de l’ordre de 48 heures pour réagir.

La cybersécurité, garant essentiel

Cette accélération contribue paradoxalement à renforcer le rôle de la cybersécurité au moment même où l’IA promet d’automatiser une partie des tâches techniques. « Jusqu’à maintenant, on pouvait se demander si certains besoins en cybersécurité allaient disparaître avec l’IA. En réalité, on se rend compte qu’on en a de plus en plus besoin, parce qu’il faut maîtriser et organiser tous ces nouveaux usages », estime Ercan Kocak.

Le défi consiste dès lors moins à opposer sécurité et innovation qu’à créer les conditions permettant d’exploiter l’IA sans perdre la maîtrise du système d’information. Cela suppose de comprendre ce qui est véritablement critique pour l’activité, de tester la capacité de l’organisation à résister aux incidents, d’encadrer précisément les nouveaux usages et de réduire fortement le délai entre l’identification d’une menace et la réponse.