Anticipez les risques et explorez les opportunités

La cybersécurité à l'ère de la Gen AI

Cyber gean AI
  • Publication
  • 22 janv. 2024

La technologie, comme l’Intelligence Artificielle Générative (ou « GenAI ») qui ouvre un large éventail de possibilités, entraîne aussi une évolution des risques auxquels les entreprises sont confrontées. La cybersécurité doit donc être au cœur des enjeux de la transformation des entreprises : c’est le thème de l’édition 2024 de notre enquête annuelle Global Digital Trust Insights.

 

Il s’agit de l’enquête annuelle la plus ancienne sur le marché présentant les tendances mondiales en matière de cybersécurité. Elle reflète les points de vue de plus de 3 800 dirigeants d’entreprises et responsables intervenant dans les domaines de la cybersécurité et plus largement de la technologie.

 

L’Intelligence Artificielle Générative (ou « GenAI ») suscite beaucoup d’enthousiasme chez les dirigeants d’entreprise et les responsables en technologie. Selon l’édition 2024, plus de 3/4 des personnes interrogées affirment que la GenAI aura un impact positif sur la productivité dans les 12 mois à venir et qu’elle favorisera la création de nouvelles opportunités business dans les 3 ans à venir.

 

La réinvention et l'innovation que les entreprises font aujourd'hui pour connecter plus d'expériences numériques en utilisant les derniers outils technologiques sont cruciales pour rester compétitives. Cependant, il est tout aussi important de garder à l'esprit que la cybersécurité devrait être au centre de ces efforts, d'où le thème de cette édition 2024 : “Et si la sécurité était au cœur de l’innovation”. Pour les cadres dirigeants qui osent briser le « cyber-as-usual », nous avons conçu un manuel pour vous guider dans cette transition.

Playback of this video is not currently available

0:00:57

[Parlons Cyber] Episode 2 : la Gen AI

Dans ce deuxième épisode, retrouvez Jamal Basrire, Associé responsable des activités Cyber Intelligence, pour découvrir deux cas d'usages de la Gen AI dans l'amélioration des capacités d'évaluation et de détection des menaces cyber.

Téléchargez l'étude Digital Trust Insights 2024

Complétez le formulaire et obtenez le rapport complet.

Téléchargez l'étude

3 chiffres clés à retenir de la Global Digital Trust Insights 2024

  • 7 dirigeants sur 10 (69 %) déclarent que leur organisation utilisera l’IA générative (GenAI) pour la cyberdéfense au cours des 12 prochains mois.

  • Une autre vague des cybermenaces pourrait survenir, car la GenAI peut aider à créer une compromission avancée des e-mails professionnels à grande échelle (phishing). 52 % s’attendent à ce que la GenAI entraîne des cyberattaques catastrophiques au cours des 12 prochains mois.

  • Les entreprises doivent établir une gouvernance solide de l’IA et anticiper les risques qui pourraient découler de l’adoption de la GenAI. Cependant, 63 % des dirigeants se sentent personnellement à l’aise à l’idée d’utiliser les outils de GenAI sans politique de gouvernance des données en place. Une conduite du changement sera donc nécessaire afin de s’assurer de la mise en œuvre d’une gouvernance efficace.

Près de 70 % des répondants affirment qu’ils feront appel à la GenAI pour renforcer la cyberdéfense de leurs entreprises dans les 12 mois à venir. Les plateformes proposent des licences pour leurs LLM (Large Language Model) en complément de leurs solutions de cybersécurité traditionnelles. Par exemple, Microsoft Security Copilot vise à fournir des capacités de GenAI pour la gestion de la posture de sécurité, la réponse aux incidents et les rapports de sécurité. Google a récemment lancé ‘Security AI Workbench’ pour des cas d’utilisation similaires et beaucoup d’autres fournisseurs de sécurité comme Crowdstrike et Zscaler ont annoncé des fonctionnalités basées sur la GenAI. Même sans outils de fournisseurs, certaines entreprises commencent à utiliser la GenAI pour détecter et bloquer les tentatives de phishing.


GenAI pour la cyberdéfense

69 %

 

Plus des deux tiers déclarent qu’ils utiliseront la GenAI pour la cyberdéfense au cours des 12 prochains mois

 

47 %

 

Près de la moitié l’utilisent déjà pour la détection et l’atténuation des risques cyber

 

21 %

 

Un cinquième constatent déjà des avantages pour leurs programmes cyber grâce à la GenAI - quelques mois seulement après ses débuts publics

 

Q7 : Dans quelle mesure êtes-vous d’accord ou en désaccord avec les affirmations suivantes sur l’IA générative ?
Q10 : Dans quelle mesure votre organisation met-elle en œuvre ou prévoit-elle de mettre en œuvre les initiatives de cybersécurité suivantes ?
Base : Tous les répondants (3876)
FormeSource - PwC, 2024 Global Digital Trust Insights


L'émergence de la GenAI dévoile de nouvelles problématiques

Cette nouvelle révolution positionne la GenAI comme une technologie de rupture qui viendra fondamentalement transformer les entreprises. Cette technologie amène son lot de nouveaux risques à appréhender (intégrité des données résultant du traitement de la GenAI, risques liés aux modèles, biais cognitifs...). Le risque cyber restera cependant toujours l’un des risques à considérer dans le cadre de cette adoption technologique. La GenAI apportera de nouvelles solutions pour traiter le risque mais contribuera par ailleurs à son accroissement. 72 % des entreprises estiment que la GenAI accentuera l’intensité de la menace, la fréquence des cyberattaques et leur sophistication. Il s’agit ainsi pour l’entreprise de poursuivre sa sempiternelle course contre l’attaquant en poursuivant ses investissements mais aussi en recherchant l’optimisation afin de couvrir encore plus largement son périmètre et de mettre en œuvre une réelle défense en profondeur.

En matière de défense

Les organisations font face depuis longtemps à un nombre et une complexité croissante de cyberattaques orchestrées par des humains, et la GenAI rend ces cyberattaques plus faciles et plus massives. Des chercheurs ont observé une hausse de 135 % des nouvelles attaques d’ingénierie sociale en un mois seulement, entre janvier et février 2023. Des services comme WormGPT et FraudGPT facilitent l'hameçonnage des identifiants et la compromission ciblée des e-mails professionnels.

Pour protéger l’innovation

Les entreprises qui veulent profiter des opportunités offertes par la GenAI pour créer de nouveaux marchés et accroître l’efficacité des employés doivent faire face à de sérieux défis en matière de confidentialité, de cybersécurité, de respect des règles, de relations avec les partenaires, de responsabilité juridique et de propriété intellectuelle. Ainsi, pour exploiter pleinement ce potentiel technologique, les organisations doivent gérer le large spectre de risques qu’il implique d’une manière qui prenne en compte l’entreprise dans son ensemble.


Q7. Dans quelle mesure êtes-vous d’accord ou en désaccord avec les énoncés suivants sur l’IA générative ?
Base : Tous les répondants (3876)
Source - PwC, 2024 Global Digital Trust Insights.


La promesse de la GenAI pour la cyberdéfense

La GenAI offre des possibilités d’assistance à la défense à chaque étape de la cyber kill chain (la cyber kill chain permet de décrire les phases d'une cyberattaque, de la reconnaissance à l'exfiltration de données). Voici les trois domaines les plus prometteurs.

Détection et analyse des menaces

La GenAI peut être très utile pour repérer de manière proactive les attaques de vulnérabilités, évaluer rapidement leur ampleur – ce qui est menacé, ce qui est déjà infecté et quels sont les dégâts – et proposer des solutions éprouvées pour la protection et la correction. La GenAI peut reconnaître les motifs, les anomalies et les signes de compromission qui restent invisibles aux systèmes de détection classiques basés sur les signatures.

La GenAI pourrait être capable de rassembler des données massives sur un incident cyber provenant de divers systèmes et sources pour aider les équipes à comprendre ce qui s’est passé. Elle pourrait présenter des menaces complexes dans un langage facile à comprendre, donner des conseils sur les stratégies d’atténuation et simplifier les recherches et les enquêtes, par exemple en créant des assistants spécialisés.

Rapport des cyber-risques et des incidents

La GenAI offre aussi la possibilité de rendre beaucoup plus facile le rapport des cyber-risques et des incidents. Les fournisseurs développent déjà cette capacité. Grâce au traitement du langage naturel (NLP), la GenAI peut convertir des données techniques en contenu clair que les personnes non techniques peuvent saisir. Elle peut aider avec les rapports de gestion des incidents, les renseignements sur les menaces, les analyses des risques, les audits et la conformité réglementaire. Et, elle peut présenter ses suggestions dans des termes à la portée de tous, même en transformant des graphiques complexes en texte simple. La GenAI pourrait aussi être entraînée à créer des modèles de comparaison avec les standards de l’industrie et les bonnes pratiques.

Les capacités de rapport de la GenAI devraient se révéler très utiles dans cette nouvelle ère de cyber-transparence. La loi de l’Union européenne sur la résilience opérationnelle numérique appelle à un rapport rapide et cohérent des incidents qui touchent les technologies de l’information et de la communication des entités financières. De même, la Loi de Programmation Militaire applicable aux Opérateurs d’Importance Vitale implique la communication d’incidents de sécurité aux autorités. Par ailleurs, la Securities and Exchange Commission (SEC) a émis des règles demandant la divulgation des incidents cyber importants et des risques cyber importants dans les documents déposés auprès de la SEC. 

Contrôles adaptatifs

La sécurisation du cloud et de la chaîne d’approvisionnement logicielle nécessite des mises à jour constantes des politiques et des contrôles de sécurité, une tâche ardue aujourd’hui. Les algorithmes d’apprentissage automatique et les outils GenAI pourraient bientôt recommander, évaluer et rédiger des politiques de sécurité adaptées aux profils de menace, aux technologies et aux objectifs commerciaux d’une organisation. Ces outils pourraient tester et confirmer que les politiques sont holistiques dans l’ensemble du système d’information. Dans un environnement Zero Trust, la GenAI peut automatiser et évaluer et attribuer en permanence des scores de risque pour les terminaux, et examiner les demandes d’accès et les autorisations. Une approche adaptative, alimentée par les outils GenAI, peut aider les organisations à mieux répondre à l’évolution des menaces et à rester sécurisées.

Et plus encore

Plusieurs fournisseurs explorent les possibilités de la GenAI, en mettant à l’épreuve ses capacités. Au fur et à mesure que la technologie se perfectionnera et se stabilisera, nous assisterons à davantage d’applications dans la cyberdéfense. Il faudra peut-être attendre encore un peu, cependant, avant de voir l’usage généralisé de ces « defence GPT ».

Les clés du succès pour le déploiement de la GenAI

Le déploiement réussi de la GenAI nécessite une approche réfléchie et stratégique. Les entreprises doivent investir dans leurs équipes de sécurité, se préparer à l'incertitude réglementaire, miser sur des pratiques éthiques et fiables, et ne pas négliger l'aspect humain. Ces éléments clés sont essentiels pour tirer pleinement parti des avantages de la GenAI tout en minimisant les risques associés.

Investissez dans vos équipes de sécurité

Les outils GenAI pourraient aider à soulager la pénurie aiguë de cyber talents. L’attrition est un problème croissant pour 39 % des RSSI, DSI et CTO, selon la précédente édition de la Global Digital Trust Insights (DTI 2023). Cela entrave la progression des objectifs cyber pour 15 % supplémentaires.

Une fois que la GenAI aura libéré les professionnels de la sécurité des tâches routinières et banales telles que la détection et l’analyse, ils pourront se concentrer sur la compréhension, pas seulement sur la connaissance, des causes des incidents et alertes, et de la meilleure façon d’y répondre. Ils peuvent être mieux positionnés pour prendre des décisions rapides et agir rapidement. Ils pourraient cultiver un véritable « apprentissage profond », au sens humain, des LLM, et les utiliser pour inventer de nouvelles façons de sécuriser l’entreprise.

Et ils seront bien équipés pour passer de la recherche de réponses - qui est actuellement du ressort de la GenAI - à des questions plus pertinentes, non seulement à leurs modèles d'IA, mais aussi les uns aux autres, ce qui suscitera une imagination et des usages vraiment nouveaux. Vous pouvez aider vos équipes de sécurité à développer des caractéristiques que l'IA ne pourra pas apprendre ou automatiser, telles que la curiosité, l'empathie et l'intuition.

Préparez-vous à l’incertitude réglementaire

La GenAI peut avoir des applications cyber défensives, mais aussi dans d’autres domaines de l’entreprise. Cependant, son usage sera soumis à des règles d’IA, notamment pour prévenir les biais, la discrimination, la désinformation et les pratiques contraires à l’éthique. Des documents récents, tels que le “Blueprint for AI Bill of Rights” de la Maison Blanche et la proposition de loi sur l’IA de l’Union européenne, insistent sur l’IA éthique. Les autorités politiques du monde entier cherchent à établir des frontières et à renforcer la responsabilité – en considérant l’IA générative comme une priorité en raison de son impact potentiel profond et rapide sur de larges segments de la société.

Les entreprises avisées chercheront à prendre de l’avance sur les exigences d’IA. Nos répondants sont conscients de leur proximité : ils affirment que la réglementation de l’IA, plus que toute autre, pourrait influencer fortement la croissance future de leurs revenus.

Parmi les 37 % de répondants qui prévoient la réglementation de l’IA, les trois quarts estiment que les coûts de conformité seront également élevés. Environ deux cinquièmes disent qu’ils devront apporter des changements majeurs dans l’entreprise pour se conformer aux règles.


Q25. Quel est l’impact attendu de ce changement réglementaire sur votre organisation ?
Base : Répondants s’attendant à un impact de la réglementation GenAI = 1428
Source - PwC, 2024 Global Digital Trust Insights.


Au milieu de l’incertitude réglementaire, les entreprises peuvent contrôler une chose : comment elles déploient la GenAI de manière responsable dans leurs environnements, ce qui peut se positionner pour la conformité. Sept grands développeurs de LLM montrent la voie. Au cœur d’un engagement volontaire, qu’ils ont récemment signé avec le gouvernement américain, les grands développeurs de LLM montrent la voie. Cet engagement volontaire comporte un accord pour commencer à placer des garde-fous autour des capacités de la technologie.

Misez sur des pratiques éthiques et fiables

L’engouement pour l’IA est si élevé que 63 % des interrogés ont déclaré qu’ils se sentiraient personnellement à l’aise de lancer des outils GenAI sur le lieu de travail sans aucun contrôle interne pour la qualité et la gouvernance des données. Les cadres supérieurs de l’entreprise sont encore plus enclins (74 %) que les cadres de la technologie et de la sécurité.

Cependant, sans gouvernance, l’adoption des outils GenAI expose les organisations à des risques liés à la confidentialité des données, et plus encore. Que se passe-t-il si quelqu’un fait fuiter des informations propriétaires dans discussion avec un agent GenAI ? Et sans formation sur la façon d’évaluer correctement les résultats, les gens peuvent baser leurs recommandations sur des données inventées (hallucinations) ou des contextes d’entrées biaisées.

Les employés doivent aussi faire attention aux dangers des injections rapides, qui sont le premier risque de sécurité identifié par l’Open Source Foundation for Application Security (OWASP) quand on utilise les LLM. Les injections rapides, aussi connues sous le nom de « jailbreaks », sont des contextes qui provoquent des réactions non désirées des LLM en modifiant les paramètres initiaux du système (« pre-prompt ») ou en détournant les entrées provenant de sources extérieures.


Q7. Dans quelle mesure êtes-vous d’accord ou en désaccord avec les énoncés suivants sur l’IA générative ?
Base : Tous les répondants (3876)
Source - PwC, 2024 Global Digital Trust Insights


 

La première étape pour la GenAI - et pour la plupart des technologies - est de créer les conditions de confiance dans sa conception, son fonctionnement et ses résultats. Cette condition repose sur l’établissement d’une gouvernance, avec une attention particulière portée à la gouvernance des données et aux enjeux de sécurité. La majorité des personnes interrogées affirme vouloir utiliser la GenAI de manière éthique et responsable : 77 % sont d'accord avec cette affirmation.

 


Q7. Dans quelle mesure êtes-vous d’accord ou en désaccord avec les énoncés suivants sur l’IA générative ?
Base : Tous les répondants (3876)
Source - PwC, 2024 Global Digital Trust Insights



Ne négligez pas l’humain

Les outils GenAI permettront de synthétiser rapidement des informations issues de sources diverses pour faciliter la prise de décision humaine. Et, puisque 74 % des attaques impliquent des humains, la gouvernance de l’IA pour la défense doit aussi intégrer un aspect humain.

Les entreprises devraient donc adopter une boîte à outils d’IA responsable, comme celle de PwC, pour orienter l’utilisation fiable et éthique de l’IA dans l’organisation. Bien qu’on la pense souvent comme une fonction de la technologie, la supervision et l’intervention humaine sont aussi indispensables aux utilisations les plus hautes et idéales de l’IA.

En fin de compte, la promesse de l’IA générative dépend de l’humain. Chaque utilisateur sensibilisé peut et doit être un gestionnaire de confiance. Investissez en eux pour qu’ils connaissent les risques liés à l’utilisation de la technologie comme assistant, copilote ou mentor. Incitez-les à évaluer de manière critique les résultats des modèles d’IA générative selon les garde-fous de risque de votre entreprise. Réunissez les professionnels de la sécurité pour qu’ils respectent les principes de l’IA responsable.

La cybersécurité reste plus que jamais une préoccupation majeure pour les dirigeants d’entreprise. La question de la cybersécurité doit ainsi être intégrée au plus tôt dans les démarches de transformation plutôt que de réagir en situation de crise. L’arrivée progressive de la GenAI dans le paysage constitue une fantastique opportunité de permettre aux métiers et aux experts de la cybersécurité de collaborer pour définir les cas d’usage futurs et les approches pour les sécuriser. 

Suivez-nous !

Contactez-nous

Jamal Basrire

Jamal Basrire

Associé en charge du développement des activités Techno, PwC France et Maghreb

Masquer