Sommet Gartner sur la sécurité : les analystes appellent les RSSI à évaluer calmement les risques liés à l’IA

fr.wedoany.com Rapport : Lors du récent sommet Gartner sur la sécurité et la gestion des risques, plusieurs analystes ont conseillé aux directeurs de la sécurité des systèmes d’information (RSSI) que, face à l’ère de l’IA, la priorité est de rester calmes et d’évaluer prudemment l’exposition aux risques de leur organisation. Katell Thielemann, vice-présidente analyste chez Gartner, a déclaré sans détour lors d’une intervention sur l’impact de l’IA sur la sécurité des systèmes cyber-physiques, tels que les systèmes de contrôle industriels : « Pas de panique. »

Thielemann a souligné que, bien que les changements soient rapides, il existe des objectifs faciles à atteindre, comme déconnecter les équipements critiques d’Internet et surveiller l’accès à distance aux infrastructures restantes. Les nouveaux modèles d’IA, tels que Claude Mythos d’Anthropic et Daybreak d’OpenAI, peuvent découvrir des vulnérabilités logicielles à une vitesse sans précédent, ce qui inquiète les responsables de la cybersécurité. Les fournisseurs de technologies et les cabinets de conseil réagissent rapidement, mais proposent parfois des conseils inutiles, voire contre-productifs. Les experts appellent les RSSI à revenir aux fondamentaux, plutôt que de courir après le battage médiatique.

Lors d’une autre session, Dennis Xu, vice-président analyste chez Gartner, a indiqué que Mythos ou Daybreak ont modifié la vitesse et le volume des attaques. Les attaquants frapperont plus rapidement, et le nombre d’attaques sera plus élevé au cours des 12 prochains mois. Mais les RSSI doivent retenir deux choses : rester calmes et renforcer la communication. Les responsables de la sécurité devraient considérer ce nouvel environnement de menace comme une opportunité d’obtenir un budget plus important. Malgré l’augmentation de la vitesse et du volume, les priorités de défense des entreprises devraient rester globalement inchangées, l’accent devant toujours être mis sur la gestion de l’exposition des actifs et le déploiement de correctifs pour les systèmes les plus critiques.

Xu a demandé à l’auditoire combien de personnes avaient défini le « fonctionnement minimal viable » de leur entreprise, c’est-à-dire les systèmes et processus essentiels, et très peu ont levé la main. Il a recommandé aux entreprises de se concentrer sur cette tâche, en l’utilisant comme un langage commun pour parvenir à un consensus entre les parties prenantes sur les domaines où investir en priorité dans la résilience cybernétique. Les analystes ont souligné que les dirigeants d’entreprise doivent reconnaître les effets réels de l’IA et son impact déjà produit ou non encore réalisé. Les entreprises d’IA poussent les organisations à acheter des abonnements à des outils coûteux, mais de nombreux outils consomment beaucoup de jetons sans produire de résultats significatifs.

Bart Willemsen, vice-président analyste chez Gartner, a noté que les responsables de la sécurité se sentent sous-équipés en ressources, car les budgets sont redirigés vers les plateformes d’IA générative, qui sont passées d’un modèle quasi gratuit à une facturation par utilisateur ou par jeton. Il a mis en garde contre le remplacement d’employés expérimentés par des modèles d’IA, car une fois ces employés perdus, il sera très difficile de les retrouver. Une autre session a également abordé le risque de négliger le développement de la main-d’œuvre. Alex Michaels, directeur analyste chez Gartner, a déclaré que les ambitions de l’IA se heurtent à un vivier de talents qui n’est pas encore prêt à faire face à une adoption rapide de l’IA, et que les entreprises doivent continuer à investir dans les compétences humaines, faute de quoi elles risquent d’affaiblir le potentiel de la future génération de talents des centres d’opérations de sécurité.

Lors d’une session consacrée aux systèmes cyber-physiques, Thielemann a conseillé aux opérateurs d’infrastructures critiques de se concentrer sur les bases de l’hygiène cybernétique, comme la segmentation du réseau et le contrôle d’accès, plutôt que de s’inquiéter d’attaques d’IA graves qui pourraient ne pas se produire avant des années. Elle a souligné que, bien que l’IA frappe à la porte, le scénario cauchemardesque ne s’est pas encore produit. Anthropic a invité les fournisseurs d’équipements et les opérateurs d’infrastructures critiques à rejoindre le programme de prévisualisation de Claude Mythos, mais à ce jour, aucun fabricant de systèmes de contrôle industriels n’y a participé publiquement. Thielemann a indiqué que, sans plus d’informations, il ne faut pas croire légèrement que l’entrée de l’IA dans le secteur manufacturier provoquera une catastrophe.