Les entreprises craignent davantage l’IA que les cybermenaces courantes

Le risque lié à l’IA rivalise avec les menaces de cybersécurité établies pour capter l’attention des dirigeants

L’IA a rapidement grimpé dans l’agenda des risques d’entreprise. Arctic Wolf voit un problème dans ce déplacement des priorités. Le problème n’est pas que les entreprises prennent le risque lié à l’IA trop au sérieux. C’est que l’attention du management, les budgets de sécurité et les capacités techniques sont limités. Accorder davantage d’attention à l’IA peut laisser moins de capacité pour des menaces qui provoquent déjà des perturbations de l’activité.

La bonne réponse n’est pas de choisir entre la sécurité de l’IA et la cybersécurité traditionnelle. Les entreprises ont besoin des deux. L’IA soulève de nouvelles questions autour de l’accès aux données, des actions autonomes, de la confidentialité et de la précision des systèmes. Dans le même temps, les cyberrisques établis restent actifs. Une moindre préoccupation des dirigeants ne rend pas ces risques moins probables ni moins coûteux.

Cela crée un problème d’allocation des ressources pour les dirigeants de la direction générale. De nouveaux contrôles liés à l’IA doivent être ajoutés sans affaiblir les programmes de sécurité existants. Des capacités fondamentales comme la détection des incidents, le contrôle des accès, la gestion des vulnérabilités, la reprise et la continuité d’activité déterminent toujours la capacité d’une organisation à faire face à de nombreuses attaques.

Les éléments de preuve proviennent d’un large échantillon international. Arctic Wolf a interrogé 1 350 responsables IT et sécurité dans 13 secteurs aux États-Unis et dans 17 autres pays. Son avertissement central est clair : les menaces émergentes liées à l’IA méritent des investissements, mais pas au prix d’une réduction de la protection contre des risques que les organisations comprennent déjà et continuent de subir.

Pour les dirigeants, le véritable test consiste à savoir si les dépenses de sécurité liées à l’IA augmentent la résilience globale ou se contentent de déplacer l’attention d’un risque à un autre. L’IA doit élargir l’agenda de la sécurité.

63 % des organisations ont subi un incident cyber, pourtant 96 % des dirigeants restent confiants dans leurs équipes de sécurité

Arctic Wolf a constaté que 63 % des organisations interrogées avaient connu au moins un incident de cybersécurité au cours des 12 mois précédents. Seules 29 % ont déclaré être certaines de n’en avoir subi aucun. Malgré ce niveau d’exposition, 53 % des dirigeants d’entreprise se sont dits très confiants dans la capacité de leurs équipes de sécurité à suivre l’évolution du paysage des menaces. 43 % supplémentaires se sont dits plutôt confiants. Au total, 96 % ont exprimé un certain niveau de confiance.

Ces chiffres ne sont pas nécessairement contradictoires. Une équipe de sécurité compétente ne peut pas garantir qu’une organisation ne connaîtra aucun incident. La cybersécurité moderne dépend aussi de la capacité à détecter rapidement les attaques, à les contenir, à limiter les dommages opérationnels et à restaurer les systèmes. Une organisation peut donc subir un incident tout en disposant d’une fonction sécurité efficace.

Le risque pour le management est d’utiliser la confiance comme substitut à la performance en matière de sécurité. La confiance est une perception. La fréquence des incidents, le temps de détection, la vitesse de confinement, la perte de productivité, le temps de reprise et la répétition des incidents fournissent des mesures plus solides de la résilience. Les dirigeants ont besoin des deux perspectives, mais les preuves opérationnelles doivent avoir plus de poids.

Arctic Wolf a relevé un autre résultat qui renforce cette distinction. Parmi les organisations ayant subi un incident de cybersécurité, 57 % des dirigeants étaient très confiants dans la capacité de leur personnel de sécurité à suivre l’évolution des menaces. Ce chiffre tombait à 47 % parmi les organisations qui n’avaient pas été touchées. L’enquête n’établit pas pourquoi cette relation existe ; elle ne doit donc pas être considérée comme une preuve que les incidents améliorent les équipes de sécurité. Une explication plausible est que la réponse à un incident réel donne aux dirigeants des éléments plus directs sur la manière dont leurs équipes performent.

L’impact sur l’activité compte également. Près de la moitié des organisations touchées ont signalé au moins deux semaines de perte de productivité. Environ une sur 10 a subi des perturbations durant au moins deux trimestres. Ces résultats montrent pourquoi les revues de sécurité au niveau de la direction doivent aller au-delà de la simple question de savoir si les équipes sont prêtes.

La question la plus pertinente est de savoir si l’organisation peut démontrer sa résilience sous pression. Une forte confiance est utile lorsqu’elle s’appuie sur des performances mesurables en matière de détection, de confinement, de reprise et de continuité. Avec 63 % des organisations interrogées déclarant un incident en une seule année, ces mesures méritent davantage l’attention des dirigeants que la confiance seule.

Les organisations touchées par des incidents cyber affichent une confiance plus élevée dans leurs équipes de sécurité

Arctic Wolf a mis en évidence une relation inattendue entre les incidents cyber et la confiance des dirigeants. Parmi les organisations ayant subi un incident, 57 % des dirigeants ont déclaré être très confiants dans la capacité de leur personnel de sécurité à suivre l’évolution des menaces. Parmi les organisations qui n’avaient pas été touchées, ce chiffre était plus faible, à 47 %.

L’enquête n’établit pas ce qui cause cette différence. Un incident peut donner aux dirigeants des preuves directes de la manière dont leur équipe de sécurité agit lors d’un événement réel. Les dirigeants peuvent observer la détection, le confinement, la communication interne, la reprise et la coordination avec les autres fonctions de l’entreprise. Les organisations peuvent aussi augmenter leurs investissements en sécurité après un incident. Aucune de ces explications n’est toutefois démontrée par l’enquête.

Cette distinction est importante. Une confiance plus élevée après un incident ne signifie pas que l’organisation est devenue plus sûre. Elle peut indiquer de meilleures capacités de réponse, un niveau d’investissement plus élevé, ou simplement une plus grande familiarité du management avec l’équipe de sécurité. Les dirigeants doivent distinguer la confiance dans le personnel des preuves montrant que le risque cyber sous-jacent a diminué.

La meilleure évaluation repose donc sur des résultats mesurables. Les dirigeants doivent examiner la rapidité avec laquelle les incidents sont détectés et contenus, l’ampleur des pertes de données ou de productivité, la durée de la reprise et la réapparition éventuelle des mêmes faiblesses. Ces mesures peuvent montrer si les enseignements tirés d’un incident ont produit des améliorations durables.

Les conclusions plus larges d’Arctic Wolf soulignent l’importance de ce point. Soixante-trois pour cent des organisations interrogées ont subi au moins un incident de cybersécurité au cours des 12 mois précédents. Dans cet environnement, vivre un incident doit déclencher une amélioration fondée sur des preuves plutôt que créer, à lui seul, un sentiment de sécurité plus fort.

Les incidents cyber peuvent perturber les opérations de l’entreprise pendant des semaines ou des mois

Le coût opérationnel des incidents de cybersécurité est important. Près de la moitié des organisations ayant subi un incident ont signalé au moins deux semaines de perte de productivité. Environ une sur 10 a connu une perturbation durant au moins deux trimestres.

Ces chiffres font de la cybersécurité bien plus qu’un simple sujet technologique. Un incident qui réduit la productivité pendant des semaines peut affecter les employés, le service client, les opérations génératrices de revenus et les priorités du management. Une perturbation qui dure deux trimestres peut devenir un véritable problème de continuité d’activité. Les données d’Arctic Wolf ne quantifient pas les pertes financières ; l’impact ne doit donc pas être converti en chiffres de chiffre d’affaires ou de bénéfice sans éléments supplémentaires.

Pour les dirigeants de la direction générale, le temps de reprise est donc une mesure centrale de la résilience cyber. La prévention reste importante, mais empêcher chaque incident n’est pas une hypothèse opérationnelle réaliste. Les entreprises ont aussi besoin de la capacité à contenir les systèmes compromis, à maintenir les opérations critiques, à restaurer les services et à vérifier que la reprise a éliminé la menace sous-jacente.

Cela exige une préparation au-delà du département sécurité. Les équipes technologiques peuvent restaurer les systèmes, mais une perturbation prolongée peut nécessiter des décisions des opérations, de la finance, du juridique, de la communication et de la direction. Les plans de reprise doivent établir les responsabilités et les priorités avant qu’un incident ne survienne. Ils doivent aussi identifier quels systèmes et processus métier doivent être rétablis en premier.

Les conclusions d’Arctic Wolf fournissent un benchmark utile pour cette planification. Si près de la moitié des entreprises touchées perdent au moins deux semaines de productivité, les dirigeants doivent tester si leur organisation peut tolérer une telle durée. Les quelque 10 % qui subissent au moins deux trimestres de perturbation montrent aussi l’ampleur du risque pour les organisations qui ne peuvent pas rétablir rapidement leurs opérations.

La priorité des dirigeants n’est donc pas simplement de réduire le nombre d’incidents. Elle consiste à réduire leur impact sur l’activité. Un confinement plus rapide, des procédures de reprise testées et des plans de continuité clairs peuvent limiter les conséquences opérationnelles lorsque la prévention échoue.

Les entreprises s’attendent à ce que l’IA surpasse les humains dans plusieurs tâches de cybersécurité

La plupart des répondants s’attendent à ce que l’IA finisse par surpasser les humains dans plusieurs fonctions de sécurité. Arctic Wolf cite en particulier la détection des menaces, l’ajout de contexte aux événements de sécurité et la réduction des alertes de faux positifs.

Les gains attendus sont concrets. Les équipes de sécurité traitent de grands volumes d’alertes, de logs et d’autres données système. L’IA peut aider à analyser ces informations et à prioriser les événements qui méritent une attention humaine. La réduction des faux positifs est particulièrement importante, car les alertes inutiles consomment du temps aux équipes et peuvent retarder l’investigation de menaces réelles.

L’apport de contexte constitue un autre cas d’usage précieux. Détecter une activité inhabituelle n’est qu’une partie de l’analyse de sécurité. Les équipes doivent aussi comprendre ce qui s’est passé, quels systèmes ou quelles données peuvent être affectés, et avec quel degré d’urgence elles doivent réagir. L’IA peut accélérer certaines parties de cette analyse en traitant l’information à grande échelle et en présentant des conclusions pertinentes aux professionnels de la sécurité.

Pour les dirigeants, toutefois, une supériorité technique attendue sur une tâche précise ne doit pas être confondue avec une préparation à supprimer la supervision humaine. La précision de détection et l’autorité opérationnelle sont deux questions différentes. Un système d’IA peut devenir meilleur qu’une personne pour identifier certaines menaces tout en commettant encore des erreurs lorsqu’il interprète des informations incomplètes ou décide de la manière dont l’organisation doit réagir.

L’opportunité à court terme consiste donc à utiliser l’IA là où la performance peut être mesurée. Les responsables sécurité peuvent évaluer les taux de détection, les taux de faux positifs, la vitesse d’analyse et la qualité des informations contextuelles. Les investissements dans l’IA doivent s’accroître lorsque ces mesures montrent de meilleurs résultats en matière de sécurité.

Cette approche préserve le bénéfice central mis en évidence par la recherche d’Arctic Wolf. L’IA peut accroître la capacité des équipes de sécurité et automatiser certaines parties de l’analyse à fort volume. L’expertise humaine reste importante là où les décisions exigent de la responsabilité, du contexte métier et du jugement sur les conséquences opérationnelles.

Les entreprises font davantage confiance à l’assistance de l’IA qu’à l’action autonome de l’IA

Les entreprises restent prudentes à l’égard de l’IA agentique. Ces systèmes vont au-delà de la production d’analyses ou de recommandations. Ils peuvent agir de manière indépendante, ce qui modifie le profil de risque lorsqu’ils sont connectés à des systèmes de sécurité, des réseaux et des données sensibles.

Arctic Wolf a constaté qu’une seule action de sécurité était autorisée à être effectuée par des agents IA par une majorité des entreprises interrogées : le blocage des adresses IP et des domaines malveillants. Aucune autre activité autonome n’a franchi ce seuil majoritaire. Cela indique une frontière claire entre la confiance dans les capacités analytiques de l’IA et la volonté de lui accorder une autorité opérationnelle.

Les répondants ont identifié trois préoccupations principales. Les agents IA peuvent manquer de l’intuition humaine nécessaire dans les situations ambiguës. Ils peuvent produire des résultats inexacts. Ils peuvent aussi créer des risques pour la confidentialité lorsqu’ils sont autorisés à accéder aux données sans supervision humaine directe. Ces limites deviennent plus lourdes de conséquences lorsqu’un système d’IA peut agir sur la base de ses conclusions plutôt que de simplement les présenter pour examen.

Pour les dirigeants de la direction générale, l’enjeu central est le contrôle. Les actions de sécurité autonomes peuvent affecter directement l’accès aux systèmes et les opérations de l’entreprise. Une décision erronée pourrait bloquer une activité légitime ou exposer des informations à un traitement inapproprié.

Le modèle de gouvernance approprié doit faire correspondre l’autorité à la fiabilité démontrée. Les actions à faible risque et réversibles peuvent bénéficier d’une automatisation plus poussée lorsque les organisations peuvent surveiller les résultats et corriger rapidement les erreurs. Les actions ayant des conséquences opérationnelles, de confidentialité ou de sécurité importantes exigent des autorisations plus strictes et une supervision humaine renforcée. Les entreprises doivent aussi définir à quelles données un agent peut accéder et conserver des traces des actions qu’il entreprend.

Cela ne réduit pas le potentiel de l’IA en cybersécurité. Cela crée une voie disciplinée vers une adoption plus large. Les entreprises peuvent étendre l’autorité autonome à mesure que la performance est validée et que les contrôles gagnent en maturité. Les conclusions d’Arctic Wolf suggèrent que les entreprises font déjà cette distinction : elles sont optimistes quant à ce que l’IA peut faire, mais beaucoup plus sélectives quant à ce que l’IA doit être autorisée à faire sans qu’une personne approuve la décision.

Points clés à retenir pour les dirigeants

• Équilibrez l’IA et le risque cyber établi : l’IA mérite davantage d’attention en matière de sécurité, mais pas au détriment de menaces qui perturbent déjà les entreprises. Les dirigeants doivent élargir la couverture de sécurité pour l’IA tout en préservant les contrôles éprouvés et les capacités de réponse aux incidents.
• Mesurez la résilience : 63 % des organisations ont subi un incident cyber au cours de l’année écoulée, pourtant 96 % des dirigeants ont exprimé leur confiance dans leurs équipes de sécurité. Utilisez des indicateurs de détection, de confinement, de reprise et de productivité pour valider cette confiance.
• Vérifiez par des preuves la confiance après incident : 57 % des dirigeants dans les organisations touchées par un incident étaient très confiants dans leurs équipes de sécurité, contre 47 % dans les organisations non touchées. Vérifiez que cette confiance plus élevée reflète des améliorations mesurables plutôt qu’une simple perception.
• Faites du temps de reprise un indicateur de direction : près de la moitié des entreprises touchées ont perdu au moins deux semaines de productivité, tandis qu’environ une sur 10 a subi une perturbation pendant au moins deux trimestres. Testez les plans de continuité et de reprise face à ces durées potentielles.
• Déployez l’IA là où la performance est mesurable : les entreprises s’attendent à ce que l’IA finisse par surpasser les humains dans la détection des menaces, l’analyse contextuelle et la réduction des faux positifs. Développez l’adoption sur la base d’une précision, d’une vitesse et de résultats de sécurité mesurables, tout en conservant une supervision humaine là où le jugement compte.
• Fixez des limites strictes à l’IA autonome : le blocage des adresses IP et des domaines malveillants était la seule action d’agent IA autorisée par une majorité d’entreprises. N’étendez l’autonomie que lorsque la fiabilité, les autorisations d’accès aux données, la supervision et les garde-fous correspondent à l’impact opérationnel et de confidentialité potentiel.