Si elles ne sont pas contrôlées et gérées, les identités des machines peuvent considérablement étendre la surface d'attaque d'une entreprise.(Crédit Photo : Geralt/Pixabay)
En 2025, les responsables de la sécurité et de la gestion des risques doivent faire face à divers défis et opportunités engendrés par la genAI, dans un souci de transformation et de résilience.
Les responsables de la cybersécurité seront confrontés cette année à un ensemble de défis et d'opportunités influencés par l'évolution de l'IA générative (GenAI), la décentralisation numérique, les interdépendances de la chaîne d'approvisionnement, les changements réglementaires, la pénurie endémique de talents et l'évolution constante du paysage des menaces. Selon Alex Michaels, analyste principal de Gartner, les responsables de la sécurité et de la gestion des risques (Security and risk management, SRM), dont l'objectif est de permettre la transformation et d'intégrer la résilience, sont confrontés cette année à un mélange de défis et d'opportunités. « Leurs efforts pour atteindre ces deux objectifs sont cruciaux non seulement pour soutenir les aspirations de leur entreprise à innover, mais aussi à s'assurer que leurs innovations sont sûres et durables dans un monde numérique en évolution rapide », a-t-il avancé.
Un impact sur les programmes de sécurité des données
Traditionnellement, la plupart des efforts de sécurité et des ressources financières sont axés sur la protection des données structurées telles que les bases de données. Cependant, l'essor de la GenAI a transformé les programmes de sécurité des données en les axant davantage sur la protection des données non structurées (textes, images et vidéos). « Beaucoup d'entreprises ont complètement réorienté leurs stratégies d'investissement, ce qui a des implications significatives pour la formation des grands modèles de langage (LLM), le déploiement des données et les processus d'inférence », a fait remarquer M. Michaels. « En fin de compte, ce changement souligne l'évolution des priorités que les dirigeants doivent aborder lorsqu'ils tiennent compte de l'incidence de la GenAI sur leurs programmes. »
Gérer les identités des machines
L'adoption croissante de la GenAI, des services cloud, de l'automatisation et des pratiques DevOps a conduit à l'utilisation prolifique de comptes et d'identifiants de machines pour les appareils physiques et les charges de travail logicielles. Si elles ne sont pas contrôlées et gérées, les identités des machines peuvent considérablement étendre la surface d'attaque d'une entreprise. Selon Gartner, on demande de plus en plus aux responsables de la sécurité et de la gestion des risques d'élaborer une stratégie incluant une gestion robuste des identités et des accès aux machines (Identity and Access Management, IAM) afin de se protéger contre les attaques, mais cet effort doit être coordonné à l'échelle de l'entreprise.
Une IA tactique
La mise en oeuvre inégale de l'IA a conduit les responsables de la sécurité et de la gestion des risques à redéfinir leurs priorités et à se concentrer sur des cas d'usage plus restreints avec des impacts directement mesurables. Ils cherchent à aligner les pratiques et les outils d'IA sur les mesures existantes et à les intégrer dans les initiatives existantes. Selon Gartner, ils auront ainsi une meilleure visibilité de la valeur réelle des investissements en IA. « Les responsables SRM ont désormais des responsabilités claires pour sécuriser la consommation d'IA par des tiers, protéger les applications d'IA de l'entreprise et améliorer la cybersécurité avec l'IA », a affirmé M. Michaels. « En se concentrant sur des améliorations plus tactiques et manifestement bénéfiques, ils peuvent minimiser les risques pour leurs programmes de cybersécurité et démontrer plus facilement les progrès réalisés. »
Optimisation des technologies de cybersécurité
Compte tenu du nombre impressionnant de fournisseurs dans le domaine de la cybersécurité, les responsables SRM doivent optimiser leurs outils afin de mettre en place des programmes de sécurité plus efficaces. Gartner préconise la recherche d'un équilibre entre les achats, les architectes de la sécurité, les ingénieurs de la sécurité et les autres parties prenantes pour que tous soient satisfaits du maintien d'une bonne posture de sécurité. Pour y parvenir, les responsables de la sécurité et de la gestion des risques devraient consolider et valider les contrôles de sécurité de base et se concentrer sur une architecture qui améliore la portabilité des données. La modélisation des menaces et les facteurs technologiques organisationnels tels que l'adoption de l'IA peuvent aussi être utilisés pour évaluer les besoins avancés.
L'importance d'une culture de sécurité
Dans la plupart des entreprises, les programmes de comportement et de culture de sécurité (Security Behaviour and Culture Programs, SBCP) ont atteint un point d'inflexion. Les responsables SRM efficaces reconnaissent la valeur de ces programmes pour améliorer leur posture de cybersécurité. Cette tendance gagne du terrain car il est de plus en plus admis que les comportements humains, bons ou mauvais, sont des éléments essentiels de la cybersécurité. En conséquence, les activités axées sur la culture et le comportement sont devenues une approche de premier plan pour aborder la compréhension et l'appropriation des cyberrisques au niveau humain. Cette évolution visant à intégrer la sécurité dans la culture organisationnelle reflète un changement stratégique.
Lutter contre le burnout
Selon Gartner, l'épuisement des responsables de la sécurité et de la gestion des risques et des équipes de sécurité est une préoccupation majeure pour un secteur déjà touché par une pénurie systémique de compétences. Ce stress omniprésent découle des demandes incessantes associées à la sécurisation d'entreprises très complexes dans des environnements commerciaux, réglementaires et de menaces en constante évolution, avec une autorité, un soutien exécutif et des ressources limités. « L'épuisement professionnel et son impact organisationnel doivent être reconnus et pris en compte pour garantir l'efficacité des programmes de cybersécurité », a pointé M. Michaels. « Les responsables SRM les plus efficaces ne se contentent pas d'accorder la priorité à leur propre gestion du stress, ils investissent dans des initiatives de bien-être à l'échelle de l'équipe qui améliorent manifestement la résilience personnelle. »
Suivez-nous