Les agents de sécurité autonomes ont besoin de données fiables

Les agents de sécurité autonomes ont besoin de données complètes et précises pour prendre des décisions efficaces

La sécurité entre dans une nouvelle phase. Le débat ne porte plus sur la capacité de l’IA à analyser les menaces ou à réagir aux incidents. Elle en est déjà capable. La véritable question est de savoir si elle agit sur la base d’informations fiables.

C’est là que de nombreuses organisations se heurtent à un problème structurel. Une plateforme de détection et de réponse au niveau des terminaux (EDR) ne fournit des informations que sur les appareils sur lesquels son agent est installé. Si un appareil n’a jamais reçu l’agent ou si quelqu’un l’a supprimé, cet appareil disparaît de la vue du système. Le tableau de bord peut indiquer une excellente couverture, mais il ne peut pas mesurer les actifs qu’il ne voit pas. C’est là une limite inhérente au fonctionnement des agents de terminaux.

Les analystes humains ont appris à pallier ces lacunes. Les équipes de sécurité expérimentées savent qu’un taux de couverture annoncé de 98 % peut ne pas refléter la réalité. Elles comparent différentes sources de données, s’interrogent sur les incohérences et enquêtent sur les actifs manquants avant de prendre des décisions importantes. Les agents de sécurité autonomes ne font pas naturellement preuve de ce scepticisme. Ils traitent les données disponibles, partent du principe qu’elles sont correctes et exécutent des actions à la vitesse d’une machine.

Cela modifie le profil de risque de toute organisation adoptant une sécurité autonome. Un angle mort qui, auparavant, ralentissait un analyste humain peut désormais donner lieu à une décision automatisée qui se propage à des milliers de systèmes en quelques minutes. La rapidité ne crée de la valeur que lorsque les informations sous-jacentes sont exactes.

Le rapport « Axonius Actionability Report 2026 », réalisé en collaboration avec le Ponemon Institute et fondé sur les réponses de 662 professionnels de l’informatique et de la sécurité, illustre l’ampleur du problème. Au sein des organisations disposant d’un parc médian de 298 000 appareils, 12,7 % ne disposaient pas de l’agent de sécurité attendu. Ces appareils existaient bel et bien, mais ils échappaient aux capacités de visibilité, d’application des politiques et de détection de la plateforme EDR.

Pour les dirigeants, il s’agit avant tout d’une question de gouvernance plutôt que d’un simple problème de sécurité. Les conseils d’administration s’interrogent de plus en plus sur le degré de protection de l’environnement numérique de l’organisation. La question la plus importante est de savoir si quelqu’un a vérifié cette réponse de manière indépendante.

La découverte indépendante des actifs apporte cette validation. Au lieu de se fier exclusivement aux agents de terminaux, les entreprises comparent plusieurs sources, notamment la découverte du réseau, les inventaires cloud, les systèmes d’identité et les bases de données de gestion des configurations (CMDB). Si toutes ces sources concordent, les dirigeants peuvent être beaucoup plus sûrs que les systèmes autonomes fonctionnent sur la base d’informations fiables.

À mesure que les organisations renforcent l’automatisation, la qualité des données devient un levier de contrôle de gestion. L’intelligence artificielle continuera à progresser rapidement. Le facteur limitant réside de plus en plus dans la qualité des informations qui lui sont fournies.

L’adoption de solutions de sécurité basées sur l’IA progresse plus rapidement que l’amélioration de la qualité des données relatives aux actifs sous-jacents

La dynamique qui sous-tend l’IA dans le domaine de la cybersécurité est bien réel. Les entreprises souhaitent des enquêtes plus rapides, des corrections plus rapides et une réduction des tâches répétitives pour leurs équipes de sécurité. Ce sont là des objectifs louables. Mais le déploiement d’agents autonomes avant d’avoir remédié aux problèmes de qualité des données engendre des risques inutiles.

De nombreuses entreprises n’hésitent pas à laisser l’IA recommander, voire mettre en œuvre, des mesures de sécurité. Dans le même temps, beaucoup reconnaissent que les données qui alimentent ces systèmes sont incomplètes. Ce décalage mérite toute l’attention de la direction, car l’automatisation amplifie l’impact tant des bonnes que des mauvaises décisions.

Les chiffres le montrent clairement. L’enquête menée en 2026 par Gravitee auprès de plus de 900 cadres dirigeants a révélé que 88 % d’entre eux avaient signalé des incidents confirmés ou présumés liés à l’IA. Pourtant, seuls 14,4 % avaient déployé des agents d’IA ayant reçu une autorisation de sécurité complète. Les organisations évoluent rapidement, mais la gouvernance ne suit pas le même rythme.

Le rapport « Axonius Actionability Report », réalisé en collaboration avec le Ponemon Institute, met en évidence une tendance similaire. Alors que 52 % des personnes interrogées ont déclaré qu’elles autoriseraient des agents autonomes à donner suite à des recommandations, 63 % ont également admis que les données de sécurité sous-jacentes ne contenaient pas certaines informations importantes. Ces deux constatations ne devraient pas coexister au sein des organisations qui prévoient de mettre en place une automatisation à grande échelle.

Le cadre « Agentic Trust Framework » de la Cloud Security Alliance parvient à la même conclusion du point de vue de la gouvernance. Avant d’autoriser des agents autonomes à prendre des décisions de manière indépendante, les organisations doivent s’assurer que leurs processus de gouvernance des données sont fiables. L’IA ne peut pas pallier les inventaires incomplets, les registres de propriété incohérents ou les actifs non gérés.

L’environnement des menaces externes ne cesse de s’accélérer. Mike Riemer, responsable de la sécurité des systèmes d’information (CISO) sur le terrain chez Ivanti, a déclaré à VentureBeat que les vulnérabilités connues sur les réseaux « honeypot » d’Azure sont désormais exploitées en moins de 90 secondes. Son argument était clair : les contrôles de sécurité traditionnels restent efficaces, mais uniquement pour les ressources qu’ils sont réellement en mesure de détecter.

Pour les dirigeants, cela modifie les priorités en matière d’investissement. Le prochain avantage concurrentiel en matière de cybersécurité ne réside pas simplement dans le déploiement accru de l’IA. Il s’agit de veiller à ce que l’IA fonctionne avec des informations fiables, validées et mises à jour en permanence.

Les organisations se concentrent souvent sur l’acquisition de nouvelles capacités d’IA, car celles-ci sont très visibles. La gouvernance des données fait l’objet de moins d’attention, car elle s’exerce en coulisses. Dans la pratique, c’est la gouvernance qui détermine si la sécurité autonome apporte des améliorations mesurables ou si elle se contente d’automatiser les faiblesses existantes.

Les entreprises qui tireront le meilleur parti de la sécurité autonome seront probablement celles qui considèrent la qualité des données comme une infrastructure stratégique. Une fois que les informations sous-jacentes seront fiables, l’IA pourra fonctionner avec beaucoup plus de rapidité, de cohérence et de fiabilité. D’ici là, accroître l’autonomie sans améliorer la visibilité ne fera que permettre une prise de décision plus rapide.

De nombreuses organisations disposent d’importants actifs non gérés qui échappent à la détection des outils de sécurité classiques

Toute décision en matière de sécurité repose sur une question fondamentale : savez-vous réellement ce qui se trouve dans votre environnement ?

De nombreuses organisations pensent que c’est le cas. Puis, lorsqu’elles procèdent à un inventaire indépendant de leurs actifs, elles se rendent compte que la réalité est tout autre. C’est l’un des plus grands défis actuels en matière de sécurité d’entreprise. Les systèmes qui ne sont pas visibles ne peuvent être ni surveillés, ni mis à jour, ni gérés, quelle que soit la sophistication de la plateforme de sécurité.

Ce problème va bien au-delà des ordinateurs portables et des serveurs. Les collaborateurs peuvent créer des charges de travail dans le cloud, connecter des appareils non gérés, s’abonner à des applications SaaS (Software-as-a-Service) ou déployer des services d’IA en dehors des processus d’achat habituels. Chacune de ces actions élargit la surface d’attaque de l’entreprise, souvent sans apparaître dans les inventaires de sécurité traditionnels.

Joe Diamond, PDG d’Axonius, a déclaré à VentureBeat qu’un RSSI (responsable de la sécurité des systèmes d’information) ne perçoit en moyenne qu’environ 50 % de ce qui se trouve réellement sur le réseau. Il a qualifié cette partie invisible de « matière noire », expliquant que les entreprises ignorent souvent de quoi il s’agit, où ces ressources se trouvent, à qui elles appartiennent ou si elles sont sécurisées.

Les données de déploiement provenant de plus de 900 clients d’Axonius viennent étayer ce point. TransUnion a fait passer la couverture des terminaux de 70 % à 99 % après avoir mis en place une vérification hors bande. Western Union a amélioré sa couverture de 85 % à 99 % en consolidant les données issues de 38 outils différents, tout en réduisant de moitié la charge de travail manuelle. Lumen a identifié 1,1 million de ressources, alors même que sa base de données de gestion des configurations (CMDB) ne contenait que 17 000 enregistrements. Cela représente environ 37 000 terminaux non gérés par organisation, qui échappent aux contrôles de sécurité habituels.

Ces chiffres sont significatifs, car chaque ressource non gérée est source d’incertitude. Les politiques de sécurité ne peuvent pas protéger des systèmes dont elles ignorent l’existence. Les rapports de conformité perdent en fiabilité. Les équipes chargées de la réponse aux incidents risquent de consacrer un temps précieux à analyser des informations incomplètes, tandis que les attaquants exploitent des ressources qui n’ont jamais été intégrées aux opérations de sécurité.

La découverte autonome des actifs change la donne. Au lieu de s’appuyer sur une seule console de gestion, les entreprises comparent les informations provenant des plateformes cloud, des fournisseurs d’identité, des outils de sécurité des terminaux, des systèmes de découverte du réseau, des applications SaaS et des bases de données de gestion des configurations (CMDB). Les divergences entre ces sources permettent d’identifier les lacunes en matière de visibilité et les domaines nécessitant des mesures correctives.

Cela a également des implications pour la gouvernance de l’IA. Joe Diamond a cité le modèle de raisonnement « Mythos Frontier » d’Anthropic comme preuve que les capacités offensives à la vitesse des machines continueront de progresser. Il a averti que les organisations qui peinent à comprendre leurs environnements de terminaux traditionnels auront encore plus de mal à gouverner efficacement les systèmes d’IA. Son message général était clair : il convient d’améliorer la visibilité sur l’infrastructure existante avant de développer l’automatisation par l’IA.

Pour les dirigeants, la visibilité des actifs doit être considérée comme une capacité stratégique plutôt que comme un indicateur opérationnel. Les organisations qui maîtrisent leur environnement sont en mesure de réagir plus rapidement, de hiérarchiser leurs investissements plus efficacement, d’améliorer leurs déclarations réglementaires et de réduire les risques inutiles. Une meilleure visibilité renforce toutes les autres capacités de sécurité qui s’appuient sur elle.

Les organisations mettent en œuvre trois stratégies différentes pour améliorer la visibilité de leurs actifs, chacune présentant des atouts et des limites bien définis

Il n’existe pas de technologie unique permettant de résoudre le problème de visibilité dans les environnements d’entreprise modernes. Les organisations adoptent généralement l’une des trois approches suivantes, chacune répondant à un aspect différent de ce défi.

La première approche repose sur une couche d’intégration dédiée qui relie les systèmes de sécurité, informatiques, cloud, d’identité et métier par le biais d’interfaces de programmation d’applications (API). Plutôt que de s’appuyer sur une seule plateforme de gestion, ce modèle recueille en continu des informations provenant de nombreux systèmes afin de maintenir un inventaire à jour.

Joe Diamond, PDG d’Axonius, a expliqué que l’entreprise avait mis en place plus de 1 400 intégrations d’API bidirectionnelles afin de créer une vue actualisée en permanence des actifs de l’entreprise. Il a également indiqué qu’Axonius avait ajouté un adaptateur Anthropic, disponible pour tous à compter du 15 juin, permettant de détecter les déploiements non gérés de Claude Enterprise. Cela s’inscrit dans une tendance plus large, les organisations cherchant à obtenir une visibilité sur les services d’IA que les collaborateurs pourraient adopter en dehors des processus d’approbation officiels.

L’atout de cette approche réside dans sa grande visibilité sur de nombreuses plateformes technologiques. Le défi réside dans le fait que les organisations doivent maintenir ces intégrations à mesure que les environnements évoluent, ce qui fait de la rigueur opérationnelle un élément essentiel de la réussite à long terme.

La deuxième approche met l’accent sur les fonctionnalités EDR (detection and response) et XDR (detection and response étendue) natives à la plateforme. Ces plateformes fournissent des informations détaillées sur les appareils sur lesquels des agents de sécurité sont installés. Elles offrent des données télémétriques riches, la détection des menaces, des informations sur les vulnérabilités et l’application des politiques au sein de cet environnement géré.

Cette limite est d’ordre structurel plutôt que technique. Les outils natifs de la plateforme ne peuvent pas fournir d’informations sur les actifs pour lesquels aucun agent n’est installé. La visibilité s’arrête là où s’arrête le déploiement des agents. Cela les rend très efficaces pour les actifs gérés, mais moins performants en tant que systèmes complets d’inventaire d’entreprise.

La troisième approche modernise la base de données de gestion de la configuration (CMDB) en effectuant un rapprochement continu des informations provenant de plusieurs sources indépendantes, au lieu de s’appuyer sur des mises à jour manuelles périodiques. La CMDB passe ainsi du statut d’enregistrement statique à celui de source de données opérationnelles validée en continu.

Selon le rapport « Axonius Actionability Report », réalisé en collaboration avec le Ponemon Institute, seules 13 % des organisations procèdent quotidiennement au rapprochement des enregistrements de leur base de données de gestion de la configuration (CMDB). Cela signifie que 87 % d’entre elles continuent de fonctionner avec des enregistrements qui sont peut-être déjà obsolètes. À mesure que les organisations automatisent les mesures correctives, des données CMDB obsolètes peuvent entraîner une hiérarchisation erronée des priorités, des attributions de responsabilité inexactes et des retards opérationnels inutiles.

Pour la plupart des entreprises, la stratégie la plus efficace ne reposera probablement pas sur un seul de ces modèles. Les plateformes d’intégration élargissent la visibilité, les plateformes EDR fournissent des informations détaillées sur les terminaux, et les bases de données de gestion de la configuration (CMDB) mises à jour en continu permettent d’établir des registres opérationnels fiables. Ensemble, ces capacités permettent une automatisation plus fiable que n’importe quelle source prise isolément.

Pour les dirigeants, la priorité ne doit pas être de choisir la technologie offrant le plus grand nombre de fonctionnalités. La priorité doit être de déterminer si les décisions en matière de sécurité reposent sur des informations ayant fait l’objet d’une validation indépendante sur plusieurs systèmes. À mesure que la sécurité autonome se généralise, la qualité de ces informations déterminera de plus en plus l’efficacité de chaque investissement en matière de sécurité.

Les organisations doivent s’assurer que les données sont prêtes avant d’autoriser les systèmes de sécurité autonomes à intervenir

La sécurité autonome peut réduire les délais d’intervention et améliorer l’efficacité opérationnelle, mais uniquement si les données sous-jacentes répondent à une norme mesurable. Avant d’autoriser les systèmes d’IA à mettre des appareils en quarantaine, à clore des tickets de sécurité ou à lancer des mesures correctives, les organisations doivent s’assurer que les informations sur lesquelles reposent ces décisions sont complètes, exactes et à jour.

Considérez l’état de préparation des données comme une série d’étapes de validation de type « réussite/échec », plutôt que de vous fier à une confiance générale dans les outils de sécurité existants. Cela permet de définir des seuils opérationnels clairs qui déterminent si l’automatisation doit se poursuivre ou si une intervention manuelle reste nécessaire.

Le premier domaine concerne la cohérence de l’inventaire des actifs. Les organisations doivent comparer les résultats issus d’outils de découverte indépendants, des enregistrements de la CMDB et des inventaires EDR. Si ces sources fournissent des chiffres d’actifs sensiblement différents, l’équipe de sécurité ne dispose pas d’une vue fiable de l’environnement. L’écart entre les chiffres issus de la découverte, de la CMDB et de l’EDR ne doit pas dépasser 10 %. Si tel est le cas, les mesures correctives automatisées doivent être suspendues jusqu’à ce que cet écart soit résolu.

Selon le rapport Axonius/Ponemon, seules 45 % des organisations regroupent leurs actifs dans une vue unique. Une étude « Total Economic Impact » (TEI) réalisée par Forrester a révélé que les organisations avaient identifié 150 % d’actifs supplémentaires par rapport à ce qu’elles avaient recensé auparavant. Ces résultats suggèrent que les inventaires incomplets restent courants, même au sein d’entreprises bien établies.

Le deuxième domaine de validation concerne les services d’IA non gérés. Les collaborateurs adoptent de plus en plus souvent des applications d’IA de leur propre initiative, créant ainsi de nouvelles identités, de nouveaux référentiels de données et de nouvelles connexions via des interfaces de programmation d’applications (API) en dehors des processus standard d’approvisionnement et de gouvernance. Ces services s’intègrent à l’environnement numérique de l’organisation, qu’ils aient été officiellement approuvés ou non.

Des analyses hebdomadaires de détection des solutions SaaS et une réponse immédiate aux incidents permettent d’évaluer les services d’IA non gérés et à haut risque. L’enquête menée par Gravitee en 2026 corrobore cette recommandation : elle révèle que 88 % des organisations ont été confrontées à des incidents confirmés ou présumés liés à l’IA, tandis que seules 14,4 % d’entre elles avaient déployé des agents d’IA ayant reçu une autorisation de sécurité complète.

Le troisième axe concerne la précision de la CMDB. Les fiches d’actifs doivent être validées en permanence par rapport à plusieurs sources de télémétrie indépendantes, notamment les inventaires cloud, les données de sécurité des terminaux et les annuaires des fournisseurs d’identité. Les audits annuels ne suffisent plus pour des environnements qui évoluent quotidiennement.

Selon une étude menée par Axonius et Ponemon, seules 13 % des entreprises procèdent quotidiennement à un rapprochement des enregistrements de leur base de données de gestion des composants (CMDB). Cette étude cite également Brooks Running, qui a constaté un écart de 20 % entre les enregistrements de la console de gestion et les résultats d’une analyse indépendante. L’objectif recommandé est de valider au moins 85 % des enregistrements à l’aide d’au moins trois sources de télémétrie indépendantes.

Le quatrième domaine de validation porte sur la couverture des agents sur les terminaux. Les organisations doivent vérifier de manière indépendante que les agents sur les terminaux sont bien installés, au lieu de se fier exclusivement aux tableaux de bord EDR. Elles doivent atteindre une couverture vérifiée des agents d’au moins 95 % avant d’activer la correction autonome. De nombreux RSSI utiliseraient ce seuil, car il offre une plus grande assurance que les décisions automatisées reposent sur des données représentatives plutôt que sur des inventaires incomplets.

Le cinquième et dernier domaine concerne la propriété des actifs. La correction automatisée repose sur la connaissance des responsables de chaque système. Si les informations relatives à la propriété ne sont pas cohérentes entre les outils de sécurité, les plateformes cloud et les enregistrements de la CMDB, les workflows automatisés risquent d’échouer ou d’acheminer les actions de manière erronée.

Selon les conclusions de l’étude Ponemon, seules 32 % des organisations attribuent systématiquement des étiquettes d’identification aux actifs, et seules 51 % désignent un responsable lorsque de nouvelles vulnérabilités sont identifiées. Il est recommandé de désigner un responsable dans les 24 heures et de veiller à la cohérence des métadonnées relatives à la responsabilité dans l’ensemble des systèmes cloud, des outils de gestion des terminaux et des bases de données de gestion de la configuration (CMDB).

Pour les dirigeants, ces étapes de validation constituent un cadre de gouvernance concret. Elles définissent des critères mesurables permettant de déterminer quand l’automatisation est appropriée et quand un travail supplémentaire est nécessaire. Cela permet d’orienter les discussions non plus vers des hypothèses, mais vers une préparation opérationnelle objective.

Les cadres de gouvernance et les nouvelles réglementations soulignent la nécessité de disposer de données fiables avant d’accroître l’autonomie de l’IA

La technologie qui sous-tend la sécurité autonome évolue rapidement, mais la gouvernance revêt désormais une importance tout aussi grande. On ne se contente plus de demander aux organisations si l’IA fonctionne. On attend de plus en plus d’elles qu’elles démontrent que l’IA s’appuie sur des données fiables, respecte des contrôles bien définis et produit des résultats dignes de confiance.

Les référentiels du secteur s’orientent déjà dans cette direction. Le référentiel « Agentic Trust Framework » de la Cloud Security Alliance stipule que les agents autonomes doivent satisfaire à des exigences bien définies avant de se voir accorder des niveaux plus élevés d’autonomie opérationnelle. Parmi ces exigences figurent notamment une précision avérée, une gouvernance des données vérifiée et des audits de sécurité concluants. Ce référentiel reconnaît que l’automatisation, en l’absence de données fiables, engendre un risque opérationnel au lieu de le réduire.

Cela reflète une évolution plus générale en matière de responsabilité des dirigeants. À mesure que les systèmes d’IA se voient confier le pouvoir de prendre des décisions en matière de sécurité, la responsabilité passe des analystes individuels à la gouvernance organisationnelle. Les conseils d’administration exigeront de plus en plus la preuve que les systèmes autonomes fonctionnent dans le respect des contrôles définis, plutôt que de se fier uniquement aux assurances fournies par les fournisseurs.

Le cadre réglementaire évolue parallèlement à ces attentes en matière de gouvernance. Les obligations de transparence prévues à l’article 50 de la loi européenne sur l’IA entreront en vigueur le 2 août 2026. Il précise également que la loi « Digital Omnibus » de mai 2026 a reporté certaines obligations relatives aux systèmes d’IA à haut risque jusqu’en décembre 2027. Bien que ces délais accordent aux organisations un temps supplémentaire pour se préparer à certaines exigences réglementaires, ils ne réduisent en rien les risques opérationnels actuels.

Une visibilité incomplète sur les actifs constitue un défi opérationnel immédiat, indépendamment des échéances réglementaires. Les organisations qui déploient aujourd’hui des agents SOC autonomes doivent gérer les conséquences concrètes d’inventaires inexacts, de registres de propriété incohérents et de données de télémétrie de sécurité incomplètes. Attendre que les autorités réglementaires fassent respecter la loi ne réduit en rien ces risques opérationnels.

Kayne McGladrey, membre senior de l’IEEE, a insisté sur ce point. Il a fait remarquer que le problème structurel lié à la couverture de sécurité autodéclarée existe depuis des années. Ce qui a changé, c’est la rapidité avec laquelle les agents autonomes peuvent désormais agir sur la base d’informations incomplètes. Les décisions qui nécessitaient autrefois un examen humain pourraient de plus en plus souvent être exécutées automatiquement, ce qui renforce l’importance d’une gouvernance précise des données.

Joe Diamond, PDG d’Axonius, a fait part d’une préoccupation similaire dans un communiqué de presse daté d’avril 2026. Il a déclaré : « Les constatations s’accumulent car les données ne sont pas fiables, la responsabilité n’est pas clairement établie et des catégories d’actifs entières ne sont même pas prises en compte. » Son message souligne que de nombreux défis opérationnels trouvent leur origine dans la mauvaise qualité des données plutôt que dans l’insuffisance des outils de sécurité.

Pour les dirigeants, la gouvernance ne doit pas être considérée uniquement comme un simple exercice de conformité. Une gouvernance solide améliore les performances opérationnelles en garantissant que les systèmes d’IA prennent leurs décisions à partir d’informations vérifiées. Elle renforce également la confiance des conseils d’administration, des autorités de régulation, des clients et des investisseurs quant au fait que l’automatisation est mise en œuvre de manière responsable.

Les organisations qui investissent dès le début dans la gouvernance des données sont susceptibles d’être mieux positionnées à mesure que la sécurité autonome gagne en efficacité. Des inventaires fiables, des registres de propriété validés et une vérification continue constituent les fondements qui permettent à l’IA d’apporter une valeur ajoutée mesurable à l’entreprise tout en réduisant les risques opérationnels inutiles.

Les responsables de la sécurité devraient vérifier de manière indépendante la visibilité des actifs avant d’étendre les opérations de sécurité autonomes.

La prochaine étape en matière de cybersécurité ne consiste pas simplement à renforcer l’automatisation. Il s’agit de s’assurer que l’automatisation prend des décisions sur la base d’informations ayant fait l’objet d’une vérification indépendante. Les organisations qui négligent cette étape augmentent le risque que les systèmes autonomes agissent sur la base de données incomplètes ou inexactes.

Cette recommandation tient compte d’une réalité opérationnelle simple. Un système autonome ne peut pas prendre en compte des ressources qui n’apparaissent jamais dans ses données. Améliorer la visibilité avant d’étendre l’automatisation réduit le risque de prendre des décisions de correction erronées et renforce la confiance dans les rapports de sécurité.

La deuxième recommandation consiste à améliorer la visibilité sur les services d’IA. Les collaborateurs adoptent de plus en plus souvent des applications d’IA avant même que les équipes chargées des achats, de la sécurité ou de l’informatique n’aient eu l’occasion de les évaluer. Ces services peuvent introduire de nouvelles identités, des interfaces de programmation d’applications (API), des référentiels de données et des connexions externes qui viennent s’ajouter à la surface d’attaque de l’organisation.

Pour y remédier, déployez des fonctionnalités de détection des services SaaS et effectuez des analyses hebdomadaires afin d’identifier les services d’IA non gérés. Les cas à haut risque détectés doivent être transmis directement à l’équipe d’intervention en cas d’incident pour faire l’objet d’une enquête avant même qu’un processus d’exception ou d’approbation ne soit lancé. Cela permet aux organisations d’identifier les risques émergents tout en maintenant une gouvernance appropriée concernant l’adoption de l’IA.

La troisième recommandation porte sur la propriété. Chaque actif doit avoir un propriétaire clairement défini, et cette propriété doit rester cohérente sur l’ensemble des plateformes cloud, des systèmes d’identité, des outils de sécurité des terminaux et de la CMDB. Si différents systèmes identifient des propriétaires différents pour un même actif, les workflows automatisés risquent de ne pas savoir qui est chargé d’approuver ou d’exécuter les mesures correctives.

Les conclusions d’Axonius/Ponemon montrent que seules 32 % des organisations appliquent systématiquement l’étiquetage des actifs. Le manque de précision des données relatives à la propriété entraîne des retards opérationnels, affaiblit la responsabilisation et limite l’efficacité des systèmes de sécurité autonomes. L’automatisation donne les meilleurs résultats lorsque les responsabilités sont clairement définies avant qu’un incident ne se produise.

La dernière recommandation consiste à ne plus se fier aux indicateurs de couverture déclarés par les utilisateurs eux-mêmes. Les tableaux de bord de direction et les rapports destinés au conseil d’administration s’appuient souvent largement sur les chiffres de couverture EDR, car ceux-ci sont faciles à établir et largement compris. Ces indicateurs ne devraient jamais être acceptés sans validation indépendante, car les agents des terminaux ne peuvent pas signaler leur propre absence.

Joe Diamond, PDG d’Axonius, n’a cessé d’insister sur ce point. Selon lui, tout calcul de risque ou rapport destiné au conseil d’administration qui repose exclusivement sur les données de la console EDR s’appuie sur des informations que la plateforme ne peut pas vérifier de manière indépendante. À mesure que les organisations renforcent leur automatisation, la vérification indépendante devient un contrôle de gestion essentiel plutôt qu’un simple exercice technique facultatif.

Pour les équipes de direction, cela modifie la manière dont les performances en matière de sécurité doivent être évaluées. Des taux de couverture élevés n’ont de valeur que s’ils reflètent la réalité. Une validation indépendante offre une base plus solide pour les décisions stratégiques, la planification des investissements, les discussions relatives à la cyberassurance, les déclarations réglementaires et le contrôle exercé par le conseil d’administration.

La sécurité autonome ne cessera de gagner en efficacité. Cette tendance est évidente. Les organisations qui en tireront le plus grand bénéfice ne seront pas nécessairement celles qui se lanceront les premières dans l’automatisation. Ce seront celles qui mettront en place des données fiables, les valideront en permanence et intégreront une gouvernance à chaque étape de l’automatisation. Lorsque ces éléments seront en place, l’IA pourra fonctionner avec plus de rapidité, de cohérence et de fiabilité, tout en réduisant le risque opérationnel au lieu de l’accroître.

Dernières réflexions

La sécurité autonome n’est plus une perspective d’avenir. Elle s’intègre désormais aux opérations quotidiennes de toutes les entreprises. Les organisations qui en tireront le plus grand bénéfice ne seront pas celles qui automatiseront le plus rapidement. Ce seront celles qui auront posé les bases les plus solides avant de développer l’automatisation.

Ce fondement, ce sont des données fiables.

L’IA est capable d’analyser les alertes, de hiérarchiser les menaces et de mettre en œuvre des mesures correctives à une échelle que les équipes humaines ne peuvent égaler. Cependant, elle ne peut pas pallier les inventaires d’actifs incomplets, les registres de propriété incohérents ou les systèmes qui restent invisibles pour les outils de sécurité. Si ces problèmes existent aujourd’hui, l’automatisation les mettra en évidence plus rapidement au lieu de les résoudre.

Pour les dirigeants, c’est l’occasion de réorienter le débat. Au lieu de vous demander à quelle vitesse l’IA peut être déployée, demandez-vous si les données de sécurité de l’entreprise ont fait l’objet d’une vérification indépendante. Au lieu de mesurer le succès uniquement à l’aune de l’automatisation, évaluez-le en fonction de la qualité des décisions générées par cette automatisation. Ce sont là des indicateurs plus fiables de la cyber-résilience à long terme.

Les programmes de sécurité les plus efficaces associeront de plus en plus trois capacités : une visibilité continue sur les actifs, une gouvernance rigoureuse des données et une automatisation soigneusement gérée. Ensemble, elles créent un environnement dans lequel la sécurité autonome peut fonctionner en toute confiance, sans se fonder sur des suppositions.

La technologie continuera à évoluer rapidement. La gouvernance, la visibilité et la fiabilité des données doivent progresser tout aussi rapidement. Les organisations qui investissent dès aujourd’hui dans ces éléments fondamentaux seront mieux préparées à la prochaine génération de solutions de sécurité basées sur l’IA et mieux placées pour réduire les risques tout en agissant plus rapidement que leurs concurrents.