L’essor de l’IA en cybersécurité met la gouvernance sous pression

L’adoption de l’IA progresse plus vite que la gouvernance de la sécurité

L’usage de l’IA en cybersécurité s’accélère, mais la gouvernance ne suit pas le rythme. C’est la conclusion centrale d’un rapport du SANS Institute fondé sur une enquête mondiale menée auprès de 536 praticiens de la cybersécurité et de l’IT. L’étude comprenait également un groupe dédié de 57 responsables seniors de la sécurité, dont des responsables de la sécurité des systèmes d’information, des chief security officers et des vice-présidents de la sécurité.

La question centrale n’est pas de savoir si l’IA peut améliorer la cyberdéfense. Elle peut aider les équipes de sécurité à analyser les menaces, automatiser des tâches et étendre les tests. La limite, c’est le contrôle. Les organisations intègrent l’IA dans les workflows de sécurité plus rapidement qu’elles n’établissent des règles claires sur la manière dont ces systèmes accèdent aux données, prennent des décisions et sont supervisés.

C’est important parce que les systèmes de sécurité interagissent régulièrement avec des informations sensibles. L’IA peut soulever des questions supplémentaires sur les données qui entrent dans un modèle, l’endroit où ces données sont traitées, les personnes pouvant accéder aux résultats et la nécessité ou non d’une revue humaine. La gouvernance devrait répondre à ces questions avant le déploiement. Une politique écrite ne suffit pas à elle seule. Les contrôles doivent fonctionner au sein même des outils et des workflows réellement utilisés par les équipes de sécurité.

Les conclusions du SANS indiquent que de nombreuses organisations n’en sont pas encore là. Le déploiement de l’IA progresse alors que les garde-fous pratiques restent inégaux. Cela crée un écart de gouvernance évitable : les entreprises peuvent acquérir de nouvelles capacités de sécurité tout en introduisant des risques que la direction ne peut ni voir ni contrôler de manière cohérente.

Pour les dirigeants, la priorité devrait donc être une gouvernance opérationnelle plutôt qu’un ralentissement de l’adoption de l’IA. Les conseils d’administration et les équipes de direction ont besoin de preuves que les contrôles de l’IA fonctionnent en pratique. Cela inclut une responsabilité clairement définie, des cas d’usage approuvés, des exigences de traitement des données, des contrôles d’accès, une supervision et des procédures d’escalade lorsque les systèmes se comportent de manière inattendue.

L’opportunité reste importante. Les entreprises n’ont pas à choisir entre innovation en IA et gouvernance solide. Mais l’ordre des priorités compte. À mesure que l’IA devient une composante de la cyberdéfense de base, ses contrôles doivent devenir une composante de la gestion des risques de l’entreprise. Les entreprises qui instaurent cette discipline peuvent étendre l’usage de l’IA avec davantage de confiance et une responsabilité plus claire.

Les responsables de la sécurité et les praticiens perçoivent différemment la gouvernance de l’IA

50 % des responsables de la sécurité déclarent que leur organisation dispose d’un programme formel de gestion des risques liés à l’IA. Seuls 36 % des praticiens de terrain disent la même chose. Cet écart de 14 points de pourcentage est l’un des problèmes de gouvernance les plus nets identifiés par l’étude du SANS Institute.

Matt Bromiley, instructeur certifié au SANS Institute et auteur du rapport, a qualifié cet écart de « problème de perception ». Les responsables de la sécurité peuvent penser qu’une gouvernance formelle existe, tandis que les employés chargés d’exploiter les outils de sécurité ne voient pas de contrôles équivalents dans leur travail quotidien. Comme l’a formulé Bromiley, les dirigeants pensent qu’il existe une véritable gouvernance, mais « les personnes qui utilisent les outils ne peuvent pas voir » de garde-fous légitimes sur le terrain.

Cette distinction est importante. Une entreprise peut avoir une politique sur l’IA sans disposer d’une gouvernance de l’IA efficace. Les politiques définissent des attentes. Les contrôles opérationnels déterminent ce que les employés et les systèmes peuvent réellement faire. Si les praticiens ne peuvent pas identifier les exigences d’approbation, les restrictions sur les données, les contrôles d’accès, les processus de supervision ou les procédures d’escalade, les dirigeants ne devraient pas supposer qu’un framework documenté fonctionne comme prévu.

La communication peut expliquer une partie de l’écart, mais cela ne devrait pas être la conclusion par défaut. La question la plus importante est de savoir si les contrôles sont applicables sur les plans technique et opérationnel. Par exemple, les organisations doivent savoir quels outils d’IA les équipes de sécurité utilisent, quelles informations sensibles ces outils peuvent traiter, qui peut approuver de nouveaux usages et comment les violations sont détectées. Ces contrôles devraient produire des preuves que la direction peut vérifier.

L’enquête du SANS apporte un contexte important. Elle a couvert 536 praticiens de la cybersécurité et de l’IT dans le monde et comprenait un module dédié à 57 responsables seniors de la sécurité, tels que des responsables de la sécurité des systèmes d’information, des chief security officers et des vice-présidents de la sécurité. Les résultats mesurent les perceptions déclarées des répondants ; l’écart de 14 points ne prouve donc pas à lui seul que les contrôles sont absents. Il montre toutefois que les dirigeants et les praticiens n’ont pas une vision cohérente de leur environnement de gouvernance.

Pour la direction générale, cette incohérence constitue en elle-même un signal de risque. Une gouvernance efficace doit être visible depuis la politique jusqu’à l’exécution. Les dirigeants devraient vérifier si les contrôles annoncés apparaissent dans les workflows de sécurité réels et si les praticiens comprennent comment les appliquer. Combler l’écart exige plus qu’une meilleure communication. Cela exige une gouvernance que les employés peuvent identifier, utiliser et démontrer dans la pratique.

Une gouvernance faible de la cybersécurité peut devenir un risque financier

La gouvernance de la cybersécurité compte désormais au-delà de la seule fonction sécurité. S&P a déjà averti que les entreprises pourraient mettre leurs notations de crédit en danger si elles ne renforcent pas leur gouvernance de la sécurité. Cela rend la supervision cyber pertinente pour le PDG, le DAF, le conseil d’administration et les autres dirigeants responsables du risque d’entreprise.

La raison est simple. Un incident cyber grave peut perturber les opérations et engendrer des coûts substantiels. L’impact financier peut inclure des dépenses de remédiation, une perte de revenus, des responsabilités juridiques et d’autres conséquences business. Une gouvernance faible peut accroître l’exposition en laissant flou qui est responsable des risques de sécurité, comment les contrôles sont appliqués et à quel moment la direction doit intervenir.

L’IA ajoute une autre exigence de gouvernance. À mesure que les entreprises introduisent l’IA dans les opérations de sécurité, les dirigeants ont besoin d’une supervision claire des systèmes, des données et des décisions concernés. Les conclusions du SANS indiquent que les pratiques de gouvernance ne suivent pas toujours le rythme de l’adoption. C’est important lorsque les outils d’IA peuvent interagir avec des informations clients ou d’autres données sensibles de l’entreprise.

L’avertissement de S&P ne signifie pas que chaque faiblesse de gouvernance entraînera une dégradation de la note de crédit. Les notations de crédit prennent en compte un ensemble plus large de conditions business et financières. Mais la cybersécurité peut devenir pertinente lorsqu’un incident ou une faiblesse persistante a un effet significatif sur les opérations d’une entreprise, sa liquidité, sa réputation ou sa capacité à honorer ses obligations financières.

Pour les dirigeants, l’exigence clé est un contrôle mesurable. La gouvernance de la cybersécurité et de l’IA devrait s’inscrire dans la gestion des risques de l’entreprise plutôt que de rester cantonnée à des programmes techniques isolés. La direction a besoin d’une responsabilité claire, de seuils de risque définis, de contrôles testés et d’un reporting fiable permettant au conseil d’administration de comprendre l’exposition significative.

Une gouvernance solide soutient donc plus que la seule conformité réglementaire. Elle donne à la direction de meilleures informations pour allouer le capital, approuver les déploiements technologiques et décider quels risques l’entreprise est prête à accepter. À mesure que l’usage de l’IA progresse, les entreprises capables de démontrer des contrôles efficaces seront mieux placées pour étendre l’adoption sans ajouter de risque financier non maîtrisé.

L’IA devient un outil standard pour le red teaming

60 % des praticiens interrogés par le SANS ont déclaré que leurs programmes de sécurité utilisent l’IA pour le red teaming, contre environ un tiers lors de l’enquête de l’année précédente. Cette hausse montre à quelle vitesse l’IA passe de l’expérimentation à un usage actif en cybersécurité.

Le red teaming teste les défenses d’une organisation en simulant des techniques que de véritables attaquants pourraient utiliser. L’IA peut soutenir ce travail en aidant les équipes de sécurité à générer des scénarios de test, à analyser les faiblesses potentielles et à gérer plus efficacement certaines parties du processus de test. L’objectif est d’identifier les vulnérabilités avant qu’elles ne contribuent à un véritable incident de sécurité.

Cette hausse d’une année sur l’autre renforce également la préoccupation centrale du rapport en matière de gouvernance. Davantage d’usage de l’IA signifie davantage de systèmes, de flux de données, d’autorisations et de résultats à contrôler. Le red teaming est particulièrement sensible, car ce travail peut impliquer des informations sur les vulnérabilités, les configurations système, les techniques d’attaque et d’autres données critiques pour la sécurité. Les organisations ont besoin de règles explicites régissant les informations pouvant entrer dans les systèmes d’IA et la manière dont le contenu généré peut être utilisé.

Le résultat du SANS est important, mais sa portée doit rester claire. L’enquête montre une adoption déclarée par les praticiens ; elle n’établit pas que l’IA rend les équipes de red teaming plus efficaces ni qu’elle produit de meilleurs résultats en matière de sécurité. De même, le passage d’environ 33 % à 60 % n’explique pas quelles technologies d’IA les répondants utilisent ni dans quelle mesure ils les utilisent. Les données démontrent une adoption rapide.

Pour les dirigeants, cette distinction devrait orienter les décisions d’investissement. Mesurer le nombre d’outils d’IA déployés en dit peu sur leur valeur business. Les responsables de la sécurité devraient plutôt suivre si l’IA réduit le temps de test, augmente la découverte utile de vulnérabilités, améliore la couverture ou permet aux employés qualifiés de se concentrer sur des investigations à plus forte valeur ajoutée. Ces gains devraient être mesurés par rapport aux nouveaux risques de sécurité et de gouvernance.

La bonne réponse n’est pas de restreindre par défaut une IA utile. Il s’agit d’intégrer la gouvernance au déploiement. Les organisations devraient définir les outils d’IA et les cas d’usage approuvés, contrôler l’accès aux données sensibles, valider les résultats importants, maintenir une supervision humaine appropriée et surveiller la manière dont la technologie est utilisée.

L’adoption de l’IA dans le red teaming progresse déjà rapidement. Le chiffre de 60 % d’adoption suggère que la gouvernance ne peut pas être traitée comme une tâche de phase ultérieure. Les entreprises qui mettent en place des contrôles pratiques parallèlement au déploiement peuvent rechercher les gains de productivité et les bénéfices défensifs de l’IA tout en maintenant une responsabilité claire sur le fonctionnement de la technologie.

Points clés

• La gouvernance doit suivre l’adoption de l’IA : L’IA entre dans la cyberdéfense plus vite que les organisations ne mettent en œuvre des contrôles efficaces. Les dirigeants devraient faire de la gouvernance une partie du déploiement, avec une responsabilité claire, des règles sur les données, une supervision et des processus d’escalade.
• Combler l’écart de gouvernance de 14 points : 50 % des responsables de la sécurité déclarent une gestion formelle des risques liés à l’IA, contre 36 % des praticiens. Les dirigeants devraient vérifier que les politiques se traduisent en contrôles que les équipes de terrain peuvent identifier, suivre et démontrer.
• Traiter la gouvernance cyber comme une gestion du risque financier : S&P a averti qu’une gouvernance faible de la cybersécurité peut mettre en danger les notations de crédit des entreprises. Les conseils d’administration et les dirigeants devraient intégrer la supervision cyber et de l’IA dans la gestion des risques de l’entreprise plutôt que de la laisser au sein de la seule fonction sécurité.
• Gouverner le red teaming par l’IA à mesure que l’adoption monte en puissance : L’usage de l’IA dans le red teaming est passé d’environ un tiers des praticiens à 60 % en un an. Les organisations devraient mesurer les résultats de sécurité tout en contrôlant les données sensibles, les accès, les résultats de l’IA et la supervision humaine.