Vous pensez que votre organisation est trop petite pour attirer l’attention des cybercriminels? Que vos systèmes sont suffisamment discrets pour passer sous le radar? Ou que l’ajout d’un nouvel outil de sécurité suffira à protéger vos activités?
Mauvaise nouvelle : ces vieux réflexes ne tiennent plus vraiment la route!
L’intelligence artificielle permet maintenant de repérer des vulnérabilités plus rapidement et à plus grande échelle. Les systèmes vieillissants, les accès oubliés et les données mal classifiées deviennent plus faciles à découvrir.
Comme le résume François Tremblay, expert en cybersécurité :
« La sécurité par obscurantisme a toujours été un mauvais pari; maintenant l’IA éclaire partout. »
La question n’est donc plus seulement de savoir si vous possédez de bons outils de cybersécurité. Il faut plutôt vous demander : connaissez-vous réellement ce que vous essayez de protéger?
Commençons par vos données
Savez-vous quelles données votre organisation possède? Où elles sont conservées? Qui peut y accéder? Lesquelles sont sensibles? Et surtout, qui doit en prendre soin?
Si vous avez hésité en lisant une ou deux de ces questions, vous n’êtes probablement pas seul . Un rapport de Netwrix1 révèle que moins du tiers des organisations sondées peuvent identifier rapidement qui peut accéder à leurs données sensibles.
Avec le temps, les données s’accumulent dans les applications, les plateformes infonuagiques, les fichiers partagés et les systèmes de différents fournisseurs. Certaines sont bien documentées, d’autres un peu (pas mal) moins, et quelques-unes dorment peut-être dans un vieux système dont personne n’ose trop s’approcher ou un dans un système que peu d’experts au sein de votre organisation connaissent et peuvent utiliser.
Le problème, c’est qu’il est difficile de protéger une donnée dont on ignore l’existence, la valeur ou le niveau de sensibilité.
C’est ici que la gouvernance des données entre en jeu. Elle permet de classifier les données, de comprendre leur valeur, d’identifier les personnes qui en sont responsables et d’établir les règles qui encadrent leur utilisation.
Nicolas Gidas, expert en gouvernance des données, résume bien la complémentarité entre la gouvernance et la cybersécurité :
« La gouvernance des données permet de savoir quoi protéger, pourquoi le protéger et qui en est responsable, tandis que la cybersécurité détermine comment le protéger . »
Autrement dit, la gouvernance vous aide à faire l’inventaire de la maison avant d’installer le système d’alarme et les détecteurs de mouvement.
Puis l’IA entre dans la maison
Maintenant, imaginons que vous ajoutiez un assistant conversationnel capable de chercher dans toute votre information interne.
Très pratique, n’est-ce pas?
Oui, à condition que cet assistant sache quelles portes il a le droit d’ouvrir.
Si vos données ne sont pas correctement classifiées, documentées et sécurisées, l’assistant pourrait transmettre des renseignements confidentiels à une personne qui ne devrait pas y avoir accès (par exemple, le salaire du PDG à votre nouveau stagiaire). Il pourrait également produire une réponse à partir d’un document désuet, incomplet ou contradictoire (quelle énième version du document est la bonne?).
Encore une fois, le problème ne vient pas seulement de l’intelligence artificielle, il vient aussi des données qu’on lui fournit et des règles qui encadrent leur utilisation.
Comme le résume Nicolas Gidas :
« L’IA accélère la création de valeur, mais la gouvernance des données en assure la fiabilité, la sécurité et la pérennité. »
La gouvernance des données établit les règles du jeu : elle définit les responsabilités, les critères de qualité, les droits d’accès et les exigences de conformité qui permettent à l’IA de fonctionner de manière responsable et sécuritaire.
L’IA agit donc un peu comme un puissant projecteur. Elle peut éclairer la bonne information et accélérer votre travail, mais elle peut aussi faire ressortir des désordres que votre organisation réussissait, jusque-là, à garder dans l’ombre.
Les cybercriminels ont aussi accès à l’IA
L’intelligence artificielle n’améliore pas seulement vos façons de travailler, elle augmente également les capacités de ceux qui cherchent à exploiter vos vulnérabilités.
Les outils de balayage et de test d’intrusion assistés par l’IA permettent de repérer plus rapidement des technologies mal entretenues ou insuffisamment sécurisées. Les nouveaux modèles d’attaque sont plus rapides et plus puissants.
Il devient donc plus difficile de se rassurer avec des phrases comme :
- « Nous sommes trop petits pour attirer l’attention. »
- « Personne ne trouvera cette vulnérabilité. »
- « Ce système fonctionne encore, alors pourquoi le remplacer? »
Ce n’est pas parce qu’une faiblesse n’a pas encore été exploitée qu’elle est invisible.
Pour François Tremblay, l’un des risques les plus préoccupants demeure d’ailleurs l’interruption des services causée par la défaillance, volontaire ou non, de systèmes vulnérables dont le vieillissement a été mal géré.
Un vieux système n’est donc pas uniquement un irritant technologique. S’il soutient une activité essentielle, sa défaillance peut empêcher votre organisation de remplir sa mission.
Ajouter un outil de sécurité ne réglera pas tout
Devant une nouvelle menace, le premier réflexe est souvent d’ajouter une nouvelle solution technologique.
Un autre outil, un autre contrôle, une autre couche de protection.
François Tremblay compare cette approche à la théorie du fromage suisse :
« On ajoute des couches de fromage, qu’on sait trouées, en espérant qu’en empilant suffisamment de tranches on finira par boucher tous les trous. »
Chaque couche peut réduire une partie du risque, mais une accumulation d’outils ne corrige pas nécessairement des responsabilités mal définies, des données inconnues, des processus incohérents ou des systèmes mal entretenus.
Après tout, la sécurité n’est pas un produit que l’on peut acheter au kilo, au mégaoctet ou au gigahertz. Elle est une qualité qui doit être intégrée à vos systèmes, à vos services, à vos processus et à la culture de cyberhygiène de vos employés, en fonction des exigences liées à leur poste.
Pour déterminer les mesures dont vous avez réellement besoin, vous devez donc comprendre votre mission, vos activités essentielles et les technologies qui les soutiennent. Les mesures humaines, administratives et technologiques pourront ensuite être alignées sur ce qui compte vraiment pour votre organisation.
Votre organisation n’est plus une forteresse
Il fut un temps où la cybersécurité pouvait être représentée comme une grande muraille entourant l’organisation.
Tout ce qui était à l’intérieur était considéré comme sécuritaire, tout ce qui venait de l’extérieur était traité comme une menace potentielle.
Ce modèle correspond de moins en moins à la réalité d’aujourd’hui.
Vos employés travaillent à distance, vos données circulent entre plusieurs applications, vos équipes utilisent des plateformes infonuagiques, vos fournisseurs accèdent à certains systèmes, vos clients échangent de l’information avec vous, et l’intelligence artificielle se connecte progressivement à cet écosystème.
Votre organisation ressemble donc moins à une forteresse qu’à un espace ouvert où circulent plusieurs personnes, technologies et données.
Le défi consiste alors à appliquer des mesures de sécurité cohérentes partout dans cet écosystème. Vous pouvez très bien investir massivement pour protéger une application critique, mais conserver ailleurs un accès oublié ou une dépendance insuffisamment maîtrisée.
François Tremblay illustre le problème simplement :
« Mettre trois cadenas sur la porte avant et laisser une fenêtre entrouverte à l’arrière. »
Un environnement distribué peut être sécuritaire. Il doit toutefois être conçu pour l’être, avec des mesures adaptées aux accès, aux interconnexions, aux fournisseurs, aux clients et aux risques propres à chaque système.
Que se passe-t-il lorsque votre fournisseur ne répond plus?
La multiplication des services infonuagiques et des fournisseurs crée un autre enjeu : la dépendance.
Comment poursuivez-vous vos activités si vos outils de collaboration ne fonctionnent plus? Si votre plateforme de gestion de la relation client devient indisponible? Si un service d’intelligence artificielle essentiel à vos opérations cesse temporairement de répondre?
Ce ne sont pas uniquement des questions technologiques, ce sont des questions de continuité des activités.
La cybersécurité ne consiste donc plus seulement à empêcher une personne malveillante d’accéder à vos systèmes. Elle doit également vous permettre de continuer à fonctionner lorsqu’une technologie, un fournisseur ou une infrastructure devient indisponible.
Il vaut mieux réfléchir à ces scénarios avant qu’ils se produisent.
Une panne majeure est rarement le meilleur moment pour découvrir qu’aucun plan de remplacement n’avait été prévu.
Bien connaître ce que vous protégez est donc essentiel, mais ce n’est qu’une partie de l’équation. Même avec de bonnes mesures de sécurité, aucun environnement technologique n’est à l’abri d’une panne, d’une vulnérabilité ou d’un incident.
La question devient alors : votre organisation est-elle conçue pour continuer à fonctionner lorsque quelque chose tourne mal?
C’est là qu’entre en jeu une autre dimension essentielle de la cybersécurité : la résilience. Dans notre deuxième article, nous verrons comment la développer et renforcer la capacité de l’organisation à poursuivre ses activités, à s’adapter et à faire évoluer sa posture de cybersécurité.
Références
- https://www.prnewswire.com/news-releases/40-of-mid-sized-organizations-report-unauthorized-access-to-sensitive-data-netwrix-research-finds-302907903.html Selon cet article plus de 70% des entreprises sont dans cette situation.
