Comment l'intelligence artificielle générative va-t-elle impacter le management de la cybersécurité ?

L'Intelligence Artificielle s'est vite immiscée dans le quotidien des entreprises. Si elle a déjà impacté nos habitudes de travail, elle promet d'impacter également le management de la cybersécurité.

L'Intelligence Artificielle (IA) est aujourd'hui un sujet public et, de ce fait, fortement médiatisé, que ce soit pour louer sa performance, se questionner sur l'éthique et la réglementation, ou sonder ses limites. Parler d'IA, c'est aussi s'interroger sur la sécurité et sur la protection. Et, pourtant, l'impact de l'IA sur le management de la cybersécurité est peu abordé. Le rôle des Responsables et Directeurs de la Sécurité des Systèmes d'Information (RSSI et DSI), tout comme celui de toutes directions métiers, évolue d’ores et déjà à mesure que les entreprises intègrent cette technologie dans leur stratégie.

IA et cybersécurité : un vrai sujet

Le lancement grand public de ChatGPT en novembre 2022 a bouleversé les habitudes de nombreux secteurs. À peiné née et déjà adoptée, l'IA générative a investi le quotidien des entreprises en quelques mois seulement. Officiellement ou pas. Selon un rapport McKinsey publié en 2023, près de 22 % des personnes interrogées ont déclaré utiliser l'IA générative dans le cadre de leur travail. Parmi les motifs invoqués par ces "early adopters" : sa capacité de traitement et d'analyse de données, l'automatisation de certaines tâches, et la création de contenus (photos, vidéos, chansons). 

Au premier rang de ces utilisateurs zélés : les cybercriminels, pour qui l'IA est devenue une arme d'attaque à grande échelle tout permettant de générer facilement des attaques ultra personnalisées. En témoigne le récent deepfake (fausse vidéo) à l’origine d’une arnaque qui a coûté 26 millions de dollars à une entreprise chinoise. Les cybercriminels ne connaissent pas l’éthique et exploitent sans frontières les nouvelles technologies. Selon l’étude annuelle "Global Digital Trust Insights 2024" de PwC, 52 % des RSSI et DSI s'attendent à ce que la technologie GenerativeAI conduise à des cyberattaques catastrophiques au cours des 12 prochains mois. Autre chiffre intéressant : 47 % des répondants l’utilisent déjà pour détecter et atténuer les cyber-risques. Si l’IA générative intègre des solutions défensives, elle peut également améliorer la gestion de la cybersécurité dans son ensemble. 

Tirer parti des opportunités que l’IA offre 

L’IA générative peut jouer le rôle d'assistant au quotidien auprès de managers de la cyber. Trois domaines principaux sont concernés :  

• La création de contenus : faciliter l’élaboration de rapports et la création de contenus ludiques de sensibilisation et de formation à la cybersécurité via des montages créatifs, des vidéos, des chansons entrainantes, etc. ;
• L’analyse, pour aider à la prise de décisions stratégiques : automatiser la veille de la conformité aux réglementations et aux politiques de sécurité et les synthétiser, détecter les comportements suspects et/ou les activités malveillantes, traiter et étudier les données collectées, etc. ;
• La gestion opérationnelle de la cyber : permettre aux managers de planifier des tâches, d’engager et de guider les collaborateurs vers les actions à mettre en place pour améliorer la sécurité de l’organisation.

L'IA générative peut être considérée comme le copilote du RSSI, et non son suppléant. Certaines compétences propres à l’humain ne pourront jamais être remplacées, comme les soft skills (compétences comportementales), la connaissance approfondie de l’organisation et son contexte, ses parties prenantes, ses objectifs et ses valeurs, ainsi que la capacité à convaincre, à communiquer et à accompagner les collaborateurs et dirigeants.

Repenser le management de la cybersécurité

Les métiers de RSSI et DSI sont relativement récents. Si leurs compétences étaient initialement techniques, elles s’orientent aujourd’hui vers le management et la stratégie. À terme, ces métiers ne seront pas remplacés par l’Intelligence Artificielle. D’un rôle de technicien uniquement, ils évoluent vers un rôle de manager. 

L'IA générative n'est pas légitime à remplacer les RSSI et DSI dans la prise de décisions (contexte politique, problème de responsabilité, etc.). Les organisations auront toujours besoin d’un être humain pour prendre les décisions finales, notamment en matière de sécurité, qui peuvent être complexes et nuancées, impliquant des compromis, et donc nécessitant un regard humain. Cette technologie occupera le poste de compagnon de travail, et ne se substituera pas à l'être humain auquel elle apportera un soutien efficace.