Les capacités de cybersécurité ont besoin d’une supervision intégrée
Une entreprise peut acheter une expertise en cybersécurité et déployer de l’intelligence artificielle (IA) tout en manquant encore de la supervision nécessaire pour gérer les risques qu’elles entraînent. Grant Thornton a constaté qu’environ trois quarts des 1 100 dirigeants d’entreprise interrogés considéraient les incidents de cybersécurité comme l’un des plus grands risques pour la performance de leur entreprise au cours des deux prochaines années. Pourtant, à peine la moitié se disaient très confiants dans la capacité de leur organisation à identifier une cyberattaque sophistiquée. Cet écart fait de la supervision une préoccupation concrète pour les dirigeants qui décident comment renforcer leurs défenses.
La supervision dépend de la manière dont ces capacités se connectent aux opérations quotidiennes et de l’identité des responsables des décisions. Pour les prestataires de sécurité externalisés, cela signifie un alignement sur les processus internes grâce à l’automatisation et à des outils partagés ; pour l’IA, cela signifie une gouvernance appuyée par le monitoring et des données exploitables. Grant Thornton identifie des faiblesses dans les deux domaines et recommande une coordination plus étroite entre les fonctions de gestion des risques. En tant que cabinet de services professionnels qui vend du conseil sur la gestion de ces risques, l’entreprise a un intérêt commercial à la demande pour ce type de mission.
L’externalisation est répandue, tandis que l’intégration des prestataires reste limitée
La question de la supervision commence par les effectifs : les entreprises qui peinent à recruter des spécialistes de la cybersécurité se tournent vers des sociétés de sécurité tierces pour obtenir de l’aide. Grant Thornton décrit les fournisseurs comme « devenant une importante source de capacité défensive », ce qui fait des relations avec les prestataires un élément de la préparation d’une organisation en matière de sécurité. L’expertise externe donne à ces entreprises accès à des compétences qu’elles ont du mal à développer en interne, mais la gestion de cette expertise reste de leur responsabilité.
L’aide externe est déjà très répandue. « Pratiquement tous (96 %) les répondants à notre enquête ont déclaré que leur organisation utilise un certain niveau de capacités externalisées pour la détection et la réponse aux menaces de cybersécurité », a indiqué Grant Thornton. Ce chiffre couvre les répondants de manière générale, y compris les organisations qui n’externalisent qu’une partie de leur travail de détection et de réponse.
Cette utilisation généralisée soulève une autre question : comment les fournisseurs se connectent-ils aux opérations internes ? Seul un quart des dirigeants d’entreprise ont déclaré que leurs prestataires tiers de cybersécurité étaient « intégrés aux processus internes, à l’aide de l’automatisation et d’outils partagés », selon Grant Thornton. Examiner cette connexion revient donc à analyser comment le travail du prestataire s’intègre aux processus internes, comment l’automatisation soutient cet échange et si les deux parties peuvent utiliser des outils partagés. Ces connexions aident à déterminer comment l’expertise externe éclaire les décisions sur les risques et s’inscrit dans les responsabilités attribuées.
Des connexions limitées peuvent aussi refléter un choix délibéré concernant l’exposition. Grant Thornton avance les préoccupations liées à l’exposition au risque comme l’une des explications possibles aux liens inégaux entre les fournisseurs et les systèmes internes, aux côtés de relations client-fournisseur qui peuvent être insuffisamment développées. Les dirigeants doivent donc comprendre pourquoi chaque restriction existe et comment les responsabilités restent claires dans ce cadre. Une entreprise peut préserver les limites nécessaires sur l’accès des fournisseurs tout en définissant comment le travail du prestataire parvient aux personnes chargées d’agir en conséquence.
Un projet en tête ?
Planifiez un appel de 30 minutes avec nous.
Des experts senior pour vous aider à avancer plus vite : produit, tech, cloud & IA.
L’IA crée des exigences supplémentaires en matière de gouvernance
La nécessité de relier capacité et supervision s’applique aussi à l’IA, même si les responsabilités diffèrent. Grant Thornton a constaté que seuls 26 % des dirigeants d’entreprise ont déclaré disposer d’une « gouvernance de l’IA avancée et intégrée avec un monitoring fondé sur les données ». La gouvernance désigne les dispositifs de supervision de l’usage de l’IA, les données de monitoring aidant l’organisation à comprendre ce qui se passe. Cette mesure concerne la supervision des déploiements d’IA, tandis que le constat sur les prestataires concerne le lien entre les services externes de cybersécurité et le travail interne.
La supervision de l’IA influence déjà la manière dont les dirigeants évaluent leur exposition future. Près de six sur 10 ont déclaré que l’usage de l’IA par leur entreprise et leur capacité limitée à la gouverner représentaient « une importante source de risque futur ou de contrôle réglementaire », selon Grant Thornton. Leur préoccupation relie les décisions de déploiement à la capacité de l’organisation à gérer les responsabilités qui en découlent. À mesure que l’usage de l’IA progresse, les dirigeants doivent décider qui supervise chaque usage et de quelles informations ces personnes ont besoin.
Les risques s’étendent aussi à la manière dont d’autres utilisent l’IA contre l’organisation. Grant Thornton décrit la fraude alimentée par l’IA comme un risque croissant pour les entreprises, et 55 % des dirigeants l’ont identifiée comme une préoccupation majeure en matière de fraude. Davantage de répondants se disaient préoccupés par le phishing traditionnel, les messages frauduleux conçus pour tromper les destinataires, et d’autres fraudes facilitées par le numérique. La planification de la sécurité doit donc traiter la fraude alimentée par l’IA tout en maintenant l’attention sur ces menaces établies.
Des données, des définitions et une responsabilité partagées favorisent de meilleures décisions
La gestion de ces expositions à l’échelle de l’entreprise exige des informations que différentes fonctions peuvent utiliser ensemble. Grant Thornton recommande une perspective unifiée de « l’intelligence du risque » : une compréhension commune du risque construite à partir de ces informations. Cette approche réunit la cybersécurité, la conformité aux règles, l’investigation forensique des incidents et l’évaluation des contrôles par l’audit interne. Elle vise à réduire les angles morts et à renforcer la supervision des nouvelles technologies susceptibles d’être vulnérables.
Une compréhension commune commence par une interprétation cohérente. « La cybersécurité, la conformité, la forensique et l’audit interne ont besoin d’une vision partagée du risque et des données », a déclaré Grant Thornton. Des définitions communes établissent la signification des informations, tandis que des données standardisées donnent aux équipes des formats et des catégories cohérents avec lesquels travailler. Sans cet accord, même le regroupement des informations peut laisser les dirigeants face à des interprétations contradictoires d’une même exposition.
Une interprétation cohérente soutient les décisions lorsqu’une personne est responsable de la réponse. Grant Thornton recommande : « Établir des définitions communes, des données standardisées et une responsabilité claire afin que les dirigeants puissent voir comment les expositions se connectent et utiliser cette compréhension pour orienter la stratégie et l’investissement. » Une responsabilité claire identifie qui doit évaluer les informations, prendre les décisions et en assurer le suivi. Un examen d’investissement pour un service de sécurité ou un déploiement d’IA doit donc analyser les processus, les informations et les responsabilités qui soutiendront la supervision à travers ces quatre fonctions.
Même avec ces dispositifs, les informations sur les risques ne sont utiles que si elles suivent l’évolution des conditions. Grant Thornton encourage les entreprises à utiliser l’IA pour le monitoring automatisé, car « les revues périodiques ne sont pas assez rapides pour répondre aux défis posés par les menaces alimentées par l’IA ». Le monitoring automatisé peut actualiser les informations entre les évaluations planifiées, donnant aux équipes responsables une base plus à jour pour leurs décisions. L’objectif est de suivre l’exposition au rythme qu’imposent les menaces.
Utiliser l’IA pour le monitoring crée aussi une autre application de l’IA qui nécessite une supervision. Les dirigeants qui l’évaluent doivent préciser qui en est responsable, comment ses données de monitoring seront comprises entre les différentes fonctions et comment l’organisation agira sur la base de ce qu’elle détecte. La faiblesse de gouvernance identifiée par les répondants fait de ces décisions une partie intégrante de l’investissement dans le monitoring lui-même. L’approbation doit inclure la responsabilité de l’exploitation de la technologie et des décisions que ses résultats éclairent.
Points clés
- Connecter la sécurité externalisée aux opérations internes : Alors que 96 % des répondants utilisent des capacités de cybersécurité externalisées, seul un quart signalent une intégration via l’automatisation et des outils partagés. Les responsables de la sécurité ont besoin de processus clairs pour agir sur les constats des prestataires tout en préservant les limites nécessaires sur l’accès des fournisseurs.
- Attribuer la responsabilité de la supervision de l’IA : Seuls 26 % des dirigeants déclarent disposer d’une gouvernance de l’IA avancée et intégrée avec un monitoring fondé sur les données. Attribuez une responsabilité pour chaque déploiement d’IA et définissez les informations dont ses responsables ont besoin pour évaluer l’exposition, y compris les risques émergents de fraude.
- Construire une vision partagée du risque : La cybersécurité, la conformité, la forensique et l’audit interne ont besoin de définitions communes, de données standardisées et d’une responsabilité claire pour relier les expositions et orienter l’investissement. Le monitoring fondé sur l’IA peut fournir des mises à jour entre les revues périodiques, avec une responsabilité explicite pour examiner ses constats et agir en conséquence.
Un projet en tête ?
Planifiez un appel de 30 minutes avec nous.
Des experts senior pour vous aider à avancer plus vite : produit, tech, cloud & IA.
