Cybersécurité solide, mais vigilance limitée sur les attaques IA

Les RSSI se disent très confiants dans les capacités fondamentales de cybersécurité, mais se sentent insuffisamment préparés aux menaces liées à l’IA.

Il existe actuellement un paradoxe de confiance dans le domaine de la cybersécurité. La plupart des responsables de la sécurité de l’information (CISO) estiment que leurs systèmes centraux sont sous contrôle. Ils se disent prêts en matière de cyber-résilience, bien coordonnés en matière d’opérations et suffisamment alignés sur l’activité de l’entreprise. C’est logique, car les modèles de défense traditionnels ont été testés et affinés pendant des décennies. Les RSSI connaissent les principes de base, et ils sont conçus pour faire face à ce qui est prévisible.

Mais voilà : les menaces liées à l’IA ne sont pas prévisibles. Et c’est là que les choses se gâtent. Selon les nouvelles données de LevelBlue, alors que 53 % des RSSI pensent être prêts à se défendre contre des adversaires dotés d’IA, 45 % d’entre eux s’attendent déjà à être attaqués par des deepfakes ou des techniques basées sur l’IA au cours de l’année à venir. Cela signifie que près de la moitié d’entre eux s’attendent à être bientôt touchés, alors qu’à peine plus de la moitié se sentent équipés pour y mettre un terme. La confiance est en train de dépasser la réalité.

Ces attaques ne suivent pas les anciennes règles. Les menaces fondées sur l’IA s’adaptent. Elles génèrent de faux contenus médiatiques, se font passer pour des personnes réelles et automatisent la reconnaissance. Cette rapidité et ce mimétisme sont nouveaux. Il n’est donc pas surprenant que la préparation soit en retard sur la sensibilisation.

C’est un signal pour les chefs d’entreprise : Vous ne pouvez pas compter sur les cadres existants pour protéger votre organisation contre les menaces de nouvelle génération. Vous devez élargir votre stratégie de sécurité dès maintenant, avant que les attaquants ne vous y obligent. Il y a là une opportunité à saisir. En prenant de l’avance sur la défense contre l’IA, vous donnez à votre entreprise une longueur d’avance. Si vous prenez du retard, vous vous exposez à des risques et à des atteintes à votre réputation.

Les lacunes en matière de gouvernance et d’alignement des dirigeants entravent la mise en œuvre d’une stratégie efficace en matière de cybersécurité.

La stratégie échoue à l’intersection du leadership et de l’exécution. Il ne sert à rien que les équipes de sécurité construisent des défenses solides si le leadership n’est pas synchronisé. Et pour l’instant, cette synchronisation n’est pas ce qu’elle devrait être. Le problème n’est pas toujours d’ordre technologique, mais plutôt structurel et temporel.

Selon LevelBlue, 60 % des RSSI affirment que les équipes de gouvernance ne comprennent toujours pas pleinement la cyber-résilience. Cela signifie que les programmes de sécurité fonctionnent souvent en silos, déconnectés des priorités de la direction. Seuls 45 % des RSSI déclarent que leur stratégie est alignée sur le niveau de risque que leur entreprise est prête à prendre. Pire encore, seuls 37 % déclarent que les budgets de sécurité sont intégrés dès le départ dans les projets. Cette dynamique de  » push and pull  » oblige les équipes de cybersécurité à rattraper le temps perdu, en appliquant des contrôles après coup, au lieu de mener des actions de prévention proactives.

Et le temps est un facteur. Lorsque la sécurité n’est pas intégrée dès le premier jour d’un projet, vous avez affaire à des correctifs de dernière minute. Cela coûte plus cher, ralentit l’innovation et limite la capacité à protéger efficacement les données et les systèmes. Cela empêche également de mesurer avec précision les cyberrisques par rapport aux performances opérationnelles et financières, ce dont les parties prenantes de la suite ont réellement besoin pour prendre des décisions intelligentes.

Si vous voulez innover rapidement et évoluer en toute sécurité, il faut que cela change. La cybersécurité doit être intégrée très tôt et souvent dans le processus décisionnel au niveau de la direction.. La responsabilité nous incombe à nous, les dirigeants. Attribuez une responsabilité claire. Faites participer les RSSI à la planification stratégique, et non à des examens a posteriori. Et assurez-vous que les équipes de gouvernance disposent des connaissances nécessaires pour s’engager, et pas seulement pour donner leur accord. Un alignement solide ne protège pas seulement les opérations, il les accélère.

L’intégration du leadership en matière de cybersécurité dans les structures plus larges de l’entreprise progresse de manière encourageante

Nous constatons un mouvement clair dans la bonne direction, la cybersécurité commence à prendre sa place à la table des dirigeants. Plus de la moitié des RSSI interrogés dans le rapport de LevelBlue ont déclaré que la cybersécurité est désormais considérée comme une responsabilité partagée par les dirigeants, avec des indicateurs de performance définis. C’est important. Cela indique que la cybersécurité est reconnue non seulement comme une discipline technique, mais aussi comme un pilier stratégique de la résilience et de la continuité de l’entreprise.

Ce changement n’a que trop tardé. Le modèle classique des RSSI travaillant isolément des autres fonctions de l’entreprise n’est pas viable. Aujourd’hui, les menaces ont un impact sur tous les domaines de l’entreprise, du service juridique aux opérations en passant par la modélisation des risques dirigée par le directeur financier. Une communication étroite entre les équipes de sécurité et la direction générale (ce que 57 % des RSSI disent expérimenter aujourd’hui) est une étape fondamentale vers une protection durable et une stratégie d’entreprise plus intelligente.

L’attitude des cadres supérieurs évolue également. Le rapport indique que 52 % des cadres supérieurs sont moins enclins aujourd’hui qu’il y a un an à considérer la cybersécurité comme une fonction « cloisonnée ». Il ne s’agit pas seulement d’une question de culture, mais aussi d’une réponse aux conditions du marché. Les violations sont plus visibles. Les régulateurs sont vigilants. Les partenaires et les clients posent des questions plus difficiles. Cet engagement plus large dans le rôle du RSSI est donc à la fois une nécessité et un nœud concurrentiel.

Ce qui compte ici, c’est la rapidité et la cohérence. À mesure que la cybernétique devient une responsabilité partagée par l’ensemble des dirigeants, vous avez besoin de mesures claires, d’une collaboration permanente et d’une appropriation collective des résultats. Cela signifie qu’il faut laisser de la place à la planification interfonctionnelle, financer la sécurité dès le départ et faire en sorte que les cyberperformances soient aussi faciles à examiner qu’un rapport financier. Les entreprises qui y parviennent accélèrent leur croissance tout en réduisant les risques.

Une solide culture de la cybersécurité reste difficile à mettre en place, malgré des améliorations structurelles

La culture est tenace, elle ne change pas simplement parce que l’organigramme change. Malgré les progrès réalisés en matière d’alignement des dirigeants, de mesures solides et de gouvernance intégrée, de nombreuses entreprises n’ont toujours pas la culture interne nécessaire pour faire de la cybersécurité une réalité. Selon les conclusions de LevelBlue, seuls 43 % des RSSI déclarent que leur organisation dispose d’une culture de cybersécurité réellement efficace.

Cela signifie que la plupart des entreprises sont encore confrontées à des comportements non harmonisés, à des pratiques incohérentes de la part des employés et à des politiques de sécurité qui existent davantage sur le papier que dans la réalité. Vous pouvez avoir tous les bons outils et les bonnes procédures en place, mais sans l’adhésion de toutes les équipes, en particulier dans les flux de travail quotidiens, vous créez une vulnérabilité.

Les dirigeants doivent comprendre que la culture est un levier de performance. C’est là que le risque augmente ou diminue. Lorsque vos équipes sont convaincues que la cybersécurité est la responsabilité de chacun, les erreurs sont moins nombreuses, la remontée des menaces potentielles est plus rapide et le sentiment d’appartenance est plus fort. Mais cela ne se fait pas automatiquement. Vous devez le construire délibérément, par des incitations qui s’alignent sur les comportements, par une formation accessible et par des boucles de rétroaction claires entre la direction et les opérations.

C’est ce type de dynamique interne qui confère aux organisations une résilience à long terme. Sans elle, même les responsables de la sécurité les plus compétents ne peuvent produire des résultats cohérents. La structure est importante, mais c’est la culture qui la fait fonctionner. Et si la majorité des RSSI continue à dire que la culture n’existe pas, c’est un signal que les dirigeants d’entreprise doivent prendre en compte dès maintenant.

Les risques liés à la chaîne d’approvisionnement en logiciels ne sont pas suffisamment pris en compte malgré les menaces croissantes

La chaîne d’approvisionnement en logiciels reste un maillon faible pour de nombreuses entreprises. Les RSSI savent qu’elle est exposée, mais cela ne se traduit pas par des actions. Selon LevelBlue, seuls 31 % des RSSI considèrent la chaîne d’approvisionnement en logiciels comme leur plus grand risque de sécurité, et seuls 25 % attribuent activement des niveaux de confiance aux fournisseurs. C’est un problème, et il n’est pas des moindres.

Les composants tiers sont partout, dans les plateformes des fournisseurs, les services cloud et les bibliothèques open-source. Les attaquants ont compris que la compromission d’un fournisseur peut leur donner un accès discret à des dizaines, voire des centaines d’organisations. Cela s’est déjà produit dans des cas très médiatisés, où des attaquants ont obtenu un accès par le biais de mises à jour manipulées ou d’informations d’identification de sous-traitants. Les données nous indiquent que ce modèle de menace est réel et qu’il prend de l’ampleur.

L’écart se résume ici à l’établissement de priorités. Les responsables de la sécurité sont débordés. Ils se concentrent sur l’IA, les opérations internes, la conformité, un programme croissant et complexe. Mais cela n’excuse pas le fait de négliger le risque fournisseur. Sans visibilité structurée sur qui se trouve dans votre écosystème, quel accès ils ont et comment ils sont sécurisés, les angles morts se multiplient rapidement.

Du point de vue de la direction, cela exige un budget, une attention particulière et une clarté opérationnelle. Les évaluations des fournisseurs doivent passer d’exercices de conformité à des programmes actifs de gestion des risques. La notation de confiance, les protocoles de test obligatoires et le contrôle continu doivent devenir la norme, et non plus une option.

Les entreprises qui prennent les devants ne se contenteront pas de prévenir les violations, elles seront également en meilleure position face aux régulateurs, aux entreprises clientes et aux investisseurs. La sécurité de la chaîne d’approvisionnement fait désormais partie de la crédibilité de l’entreprise. Prétendre qu’elle n’est pas essentielle n’est plus défendable.

Les RSSI se transforment en facilitateurs d’affaires, soutenant activement l’innovation tout en gérant les cyber-risques.

La sécurité ne consiste plus seulement à dire « non » au risque, mais à permettre au bon type de risque d’évoluer plus rapidement. Il s’agit d’un changement, et il se produit dès maintenant. Le rapport de LevelBlue montre que 61 % des RSSI estiment que leur approche adaptative de la cybersécurité aide directement leur entreprise à innover davantage.

Il s’agit d’une évolution pratique. Les RSSI ne se contentent plus d’ériger des barrières ; ils façonnent la stratégie numérique, soutiennent des déploiements plus rapides et aident les équipes de produits et d’ingénierie à se lancer en toute sécurité. L’état d’esprit est passé du contrôle à la collaboration. Il ne s’agit pas d’empêcher l’avenir de se produire, mais de rendre sa construction plus sûre.

Mais permettre à l’entreprise d’agir ne signifie pas relâcher les normes. Cela signifie qu’il faut intégrer la sécurité dès le départ, en alignant la cybernétique sur le développement de produits, les fusions et acquisitions et la stratégie d’intelligence artificielle dès le départ. Cela signifie également qu’il faut adopter des architectures et des outils flexibles qui évoluent en fonction des menaces sans ralentir les progrès. Cet équilibre est difficile mais nécessaire.

Pour profiter pleinement des avantages, il faut combler les lacunes, l’état de préparation à l’IA, les risques liés à la chaîne d’approvisionnement, la gouvernance fragmentée. Pour cela, il faut une implication directe de la hiérarchie. Les conseils d’administration et les dirigeants doivent considérer la cybersécurité non pas comme un centre de coûts, mais comme un facteur de renforcement des capacités. Demandez à votre RSSI ce dont il a besoin pour aider l’entreprise à progresser plus rapidement. Allouez ces ressources avec la même urgence que vous le feriez pour les opérations liées aux produits ou aux revenus.

Comme le dit Kory Daniels, Chief Security & Trust Officer chez LevelBlue, les RSSI ne se contentent plus de protéger l’entreprise : « Les RSSI ne se contentent plus de protéger l’entreprise, ils l’encouragent activement. Tel est l’avenir du leadership en matière de sécurité. Il est dynamique, interfonctionnel et, lorsqu’il est bien fait, il transforme la cybersécurité en un moteur de l’avantage concurrentiel.

Principaux enseignements pour les décideurs

• Confiance des RSSI et préparation à l’IA : Les RSSI sont très confiants dans la cyberdéfense traditionnelle mais ne sont pas suffisamment préparés aux menaces liées à l’IA telles que les deepfakes et les attaques autonomes. Les dirigeants devraient investir dans des capacités spécialisées dans les menaces liées à l’IA pour combler rapidement ce déficit de préparation.
• Désalignement de la gouvernance et de la stratégie : Les stratégies de cybersécurité sont souvent mal alignées sur l’appétit pour le risque et les cycles de financement de l’entreprise. Les dirigeants devraient intégrer la planification de la sécurité et les décisions budgétaires plus tôt dans le calendrier du projet afin de réduire les risques et d’éliminer les contrôles de dernière minute.
• Le rôle croissant de la sécurité dans le leadership : La cybersécurité est de plus en plus reconnue comme une responsabilité partagée par les dirigeants, et de plus en plus de cadres intègrent les RSSI dans les décisions stratégiques. Pour accélérer cette évolution, les dirigeants doivent aligner les indicateurs clés de performance sur ceux des équipes chargées de la sécurité.
• Lacunes culturelles en matière de cybersécurité : Malgré des progrès structurels, la plupart des organisations n’ont toujours pas de culture solide en matière de cybersécurité. Les chefs d’entreprise doivent encourager des comportements cohérents en alignant les incitations, les pratiques quotidiennes et la responsabilité sur les politiques de sécurité officielles.
• Risque négligé de la chaîne d’approvisionnement des logiciels : Peu de RSSI considèrent la chaîne d’approvisionnement des logiciels comme leur risque principal, malgré l’augmentation des vulnérabilités des tiers. Les décideurs devraient donner la priorité à l’évaluation des fournisseurs et mettre en place un système d’évaluation de la confiance pour limiter les points d’accès externes.
• Les RSSI en tant que facilitateurs de l’activité : Les RSSI jouent désormais un rôle clé en permettant l’innovation grâce à des modèles de sécurité adaptatifs. Les dirigeants devraient reconnaître ce changement et financer la cybersécurité comme un catalyseur de croissance, et pas seulement comme une fonction de risque, en particulier à mesure que l’IA et la transformation numérique s’accélèrent.