Sécurité informatique et IA, les décisions clés attendues des DSI

L’IA amplifie les cybermenaces dans tous les secteurs

L’intelligence artificielle s’accélère plus vite que la plupart des systèmes de sécurité d’entreprise ne peuvent le faire. Telle est la réalité. Il ne s’agit pas seulement d’un coup de pouce à la productivité et à l’optimisation des processus, mais aussi d’un système à double tranchant que les attaquants utilisent aujourd’hui plus efficacement que jamais. Lorsque votre adversaire devient soudainement plus intelligent, plus rapide et plus difficile à détecter, votre stratégie de défense doit évoluer aussi vite, voire plus vite.

C’est là que le rôle du DPI évolue. Il ne s’agit plus seulement de temps de fonctionnement ou d’efficacité technologique, mais de protéger l’infrastructure qui porte l’entreprise. Alors que les surfaces d’attaque s’étendent, les DSI se retrouvent en première ligne de la cyberdéfense, élaborant des stratégies avec les RSSI et les directeurs techniques. L’objectif ? Rendre la sécurité proactive et structurelle, et non réactive. Les équipes doivent comprendre comment l’IA est utilisée dans le monde réel, et pas seulement comment elle pourrait l’être. En effet, alors que les médias mettent l’accent sur des catastrophes théoriques liées à l’IA, la menace réelle est ancrée dans une escalade de plus en plus rapide de violations conçues, testées et lancées avec l’aide de l’IA en ce moment même.

Allie Mellen, analyste principal chez Forrester, a soulevé un point important. Selon elle, les DSI jouent un rôle essentiel dans la mise en œuvre des mesures de sécurité proposées par les cyberéquipes. Il leur incombe également de sensibiliser l’ensemble de l’entreprise. Si les dirigeants ne comprennent pas à quoi ressemblent les attaques modernes, ils supposent que les protections existantes sont suffisantes. Ce n’est pas le cas. C’est à la direction qu’il incombe de promouvoir la clarté en amont et de maintenir la précision dans les décisions organisationnelles.

La bonne nouvelle ? Cette menace n’est pas insoluble. La bonne combinaison de leadership, de déploiement intelligent et de compréhension claire de l’utilisation pratique et probable de l’IA dans les attaques peut permettre aux organisations de garder une longueur d’avance. Vous n’avez pas besoin de chasser toutes les menaces hypothétiques, mais vous devez agir rapidement sur ce qui se passe déjà.

Selon Trellix, près de 90 % des RSSI estiment aujourd’hui que les attaques basées sur l’IA représentent un risque majeur. Ce chiffre à lui seul devrait indiquer qu’il ne s’agit pas d’une préoccupation de niche, mais de la nouvelle norme pour l’évolution des menaces. On ne s’attaque pas à ce problème avec des documents de politique générale et des réunions trimestrielles. Vous y répondez par une coordination directe entre les niveaux hiérarchiques, une prise de décision rapide et une infrastructure technologique qui évolue en temps réel. C’est ainsi que vous gardez une longueur d’avance.

Vulnérabilité accrue dans le secteur des soins de santé

La santé est aujourd’hui l’un des secteurs les plus visés par la cybersécuritéet il n’y a pas de fin en vue. La raison en est simple : les systèmes de santé gèrent un volume considérable de données personnelles et médicales. Ces données sont précieuses. Les criminels le savent, et ils utilisent l’IA pour percer les systèmes plus rapidement et plus précisément. Si votre organisation opère dans le secteur de la santé ou à proximité, il ne s’agit pas seulement d’un problème informatique, mais d’une menace vitale pour l’entreprise.

L’IA modifie l’équation de la menace. Au lieu d’attaques brutales, nous assistons à des intrusions intelligentes et adaptatives. Il ne s’agit pas de tirs aléatoires. Elles sont calculées. Josh Glandorf, DSI de UC San Diego Health, l’a dit clairement : « Le cyberespace est un énorme problème pour nous, et l’IA met de l’huile sur le feu. » Pour contrer ce problème, l’entreprise a élargi son portefeuille de cybersécurité et a commencé à utiliser des outils basés sur l’IA, tels que CrowdStrike Falcon, pour repérer et arrêter les attaques avant qu’elles ne fassent de réels dégâts. Il s’agit d’une évolution rapide et intelligente vers des capacités de défense autonomes fondées sur la détection en temps réel.

Pourtant, il y a un compromis sur les coûts. M. Glandorf a été honnête quant à la réalité des limites budgétaires. Il a expliqué que s’il est techniquement possible d’investir la majeure partie du budget informatique dans la sécurité, cela entraînerait l’arrêt d’autres opérations, car personne ne veut d’un hôpital sécurisé inutilisable. C’est le problème central auquel sont confrontés de nombreux DSI dans des secteurs sensibles. Vous n’avez pas de chèque en blanc et vous ne pouvez pas vous permettre d’interruption.

Le leadership dans ce domaine implique de comprendre le risque opérationnel et de le mettre en balance avec l’innovation. Vous avez toujours besoin d’un budget pour les nouveaux systèmes, les mises à niveau et les outils numériques qui améliorent la prestation des soins, en particulier dans un environnement où les attentes concernant l’expérience des patients sont de plus en plus élevées.

Les chiffres renforcent l’urgence. Selon le HIPAA Journal, plus de 6 000 violations impliquant au moins 500 dossiers médicaux ont été signalées entre 2009 et 2024. Pour la seule année 2024, 275 millions de personnes ont vu leurs informations de santé personnelles exposées ou volées. Ce chiffre n’est pas hypothétique. Il s’agit d’un volume, qui se produit maintenant.

Les dirigeants du secteur de la santé et d’autres secteurs doivent être clairs à ce sujet : L’IA ne se contente pas de renforcer vos capacités, elle renforce également celles de vos attaquants. La solution réside dans des investissements calculés, une véritable collaboration entre les DSI, les RSSI et les directeurs techniques, et un conseil d’administration qui comprend le coût réel, et non théorique, de l’inaction. Si vous n’adaptez pas votre stratégie à ces réalités, vous exposez votre organisation à des risques évitables.

L’essor des attaques de phishing et de compromission du courrier électronique renforcées par l’IA

Le phishing était autrefois facile à repérer : mauvaise grammaire, domaines étrangers, formatage défectueux. Ce n’est plus le cas aujourd’hui. Les attaquants utilisent désormais l’intelligence artificielle pour créer des courriels qui imitent fidèlement les messages légitimes. Le langage est plus clair. Le contexte semble correct. Et surtout, les cibles sont désormais soigneusement sélectionnées. Il s’agit d’une escalade sérieuse, et elle est déjà en cours.

La menace qui connaît actuellement la croissance la plus rapide est la compromission des courriels d’entreprise (BEC). En 2024, 73 % de tous les incidents cybernétiques signalés étaient liés à la compromission du courrier électronique, soit une augmentation de 44 % par rapport à 2023, selon Eye Security. Ce chiffre à lui seul devrait faire figurer cette question parmi les priorités de chaque conseil d’administration. Il ne s’agit pas d’un problème théorique, et vous ne pouvez pas le considérer comme un problème hérité du passé. Ajoutez à cela que VIPRE Security Group a analysé 1,8 milliard de courriels et a constaté que 40 % des courriels compromettants pour les entreprises étaient générés par l’IA. Pas clonés. Générés.

Andrew Marshall, vice-président exécutif et directeur informatique de Campus Apartments, a souligné que si la majorité des menaces entrantes manquent encore de sophistication, il en voit un pourcentage croissant, environ 10 %, qui sont très avancées. Il s’agit là de la première phase d’une tendance à la hausse qui ne se ralentira pas. L’hameçonnage par IA se développe rapidement et devient chaque mois plus difficile à filtrer et à détecter.

M. Marshall a également souligné ce que beaucoup négligent : vos systèmes ne peuvent pas tout faire. Si un employé scanne un code QR compromis ou clique sur un mauvais lien, le meilleur pare-feu du monde n’arrêtera pas les dommages qui sont déjà à l’intérieur. C’est pourquoi l’entreprise a fait de la formation à la cybersécurité une activité mensuelle. Ils ne se contentent pas de former, ils l’associent à des primes. Lorsque les employés constatent que les efforts en matière de cybersécurité ont une incidence sur un élément auquel ils attachent de l’importance, leur comportement change.

C’est là que l’attention portée aux cadres fait une réelle différence. Les investissements techniques sont attendus. Ce qui est souvent sous-estimé, c’est l’importance du pouvoir de la culture dans le renforcement de la sécurité de l’intérieur. La formation n’est pas une case à cocher. Il s’agit d’un investissement constant dans la sensibilisation. Amener les gens à signaler quelque chose qui « ne leur semble pas normal » est l’un des rares moyens rentables de garder une longueur d’avance sur les attaques socialement conçues et alimentées par l’IA.

Si vous voulez que les défenses restent réelles, il faut que cela reste personnel. L’implication de la direction indique aux employés que la cybersécurité n’est pas sous-traitée au service informatique, mais qu’elle fait partie de la responsabilité de toute l’entreprise. La vitesse, la sophistication et le volume de ces attaques ne cesseront d’augmenter. Les dirigeants ne peuvent pas se permettre d’être à la traîne.

L’importance durable des mesures fondamentales de cybersécurité

Malgré les progrès rapides des menaces liées à l’IA, les principes fondamentaux de la cybersécurité ne sont pas négociables. Les contrôles de base, l’authentification multifactorielle, les cadres de confiance zéro, les politiques de mots de passe forts et la formation cohérente des employés, constituent toujours la base d’une sécurité d’entreprise efficace. Il ne s’agit pas d’outils dépassés. Ce sont des sécurités critiques qui continuent à bloquer la grande majorité des méthodes d’attaque connues.

Les problèmes complexes ne nécessitent pas toujours des solutions compliquées. Les attaquants exploitent souvent des lacunes dans les principes de base, des informations d’identification faibles, des employés non formés ou des privilèges d’accès obsolètes. C’est pourquoi les organisations qui mettent en œuvre des mesures de cybersécurité de base de manière cohérente obtiennent presque toujours de meilleurs résultats que celles qui suivent des cadres de défense basés sur les tendances sans disposer de bases solides. Il ne s’agit pas de construire quelque chose de tape-à-l’œil. Il s’agit de réduire les risques là où les données vous indiquent qu’ils sont les plus exposés.

Allie Mellen, analyste principal chez Forrester, l’a clairement expliqué : « On en revient toujours à bien faire les choses de base parce que c’est incroyablement difficile ». Ce n’est pas un manque de sensibilisation, c’est un manque de cohérence. Les entreprises consacrent trop d’énergie à débattre des outils avancés tout en négligeant les étapes fondamentales de la sécurité, où se produisent la plupart des dommages évitables.

Du point de vue de la direction, il s’agit d’une question de leadership, et pas seulement d’une question technique. Ces principes de base doivent être mis en œuvre à tous les niveaux, et pas seulement au sein des équipes informatiques. Cela signifie que les budgets doivent soutenir une mise en œuvre structurée. Les politiques doivent être suivies dans l’ensemble de l’entreprise. Et la formation ne peut pas être dispensée une fois par an, elle doit refléter le rythme du paysage actuel des menaces.

Vous n’avez pas besoin d’investir dans tout. Mais vous devez vous assurer que les éléments de base ne sont pas seulement présents, mais qu’ils sont exécutés. De manière cohérente. C’est ainsi que vous éliminerez les points de défaillance prévisibles et que vous créerez une base stable pour une mise à niveau rapide de la défense lorsque les circonstances l’exigent.

Alors que les cybermenaces alimentées par l’IA deviennent de plus en plus dynamiques, la capacité de votre équipe à s’appuyer sur des fondamentaux de sécurité propres et appliqués déterminera la rapidité avec laquelle vous pourrez réagir, sans introduire de nouveaux risques. C’est ainsi que vous améliorez la résilience sans ralentir la croissance. On ne gagne pas en réagissant à tout. Vous gagnez en exécutant ce qui fonctionne, sans lacunes.

Principaux enseignements pour les dirigeants

• L’IA est en train de remodeler les cyber-risques à grande échelle : Les dirigeants devraient aligner les DSI, les RSSI et les CTO pour s’attaquer stratégiquement aux attaques induites par l’IA, en se concentrant sur la modélisation des menaces en temps réel plutôt que sur des scénarios hypothétiques afin de maintenir la résilience de l’infrastructure.
• Le secteur de la santé fait face à une exposition élevée : les DSI du secteur de la santé doivent donner la priorité aux outils de détection basés sur l’IA dans leur pile de sécurité, tout en équilibrant le financement afin d’éviter de compromettre la convivialité du système ou les feuilles de route d’innovation.
• Les tactiques de compromission des courriels évoluent rapidement : Les dirigeants doivent mettre en place des formations régulières et incitatives pour les employés, car le phishing généré par l’IA devient plus difficile à détecter et représente désormais une part croissante des incidents.
• Les pratiques de sécurité fondamentales s’imposent avec le temps : Le maintien d’une exécution rigoureuse des mesures de cybersécurité de base reste essentiel, car elles permettent de réduire la majorité des vulnérabilités connues malgré l’évolution des menaces.