La tête à l’IA mais les pieds dans le concret

Dans la newsletter d’aujourd’hui:

Pour les abonnés gratuits:

• L’édito: “La tête à l’IA mais les pieds dans le concret ” par Frédéric Simottel

Pour les abonnés payants:

• Études: Les dépenses totales en cybersécurité ont augmenté.

• La Tribune: “La tête à l’IA mais les pieds dans le concret ” Par Olivier PATOLE, Président de Trustable

• A ne pas manquer sur le web: Le gouvernement américain enquête sur une vaste escroquerie.

Comme chaque année, la crème de la cyber en entreprises – 150  RSSI officiant au cœur des plus grandes entreprises- a pris ses quartiers pour quelques jours dans le sud de la France dans le cadre des rencontres des Riams. L’occasion d’échanger avec ces experts sur les grands sujets qui les taraudent. Surprise, l’IA ne figure pas parmi leur top 5. Certes ils s’intéressent aux déclinaisons IA for cyber, cyber for IA ou encore IA for hackers mais pas au point de les mettre en tête de leurs agendas. Ils accompagnent leurs directions métiers sur le sujet mais demeurent prudents quant à l’utilisation qu’ils pourraient en faire au quotidien. Leurs sujets du moment sont bien plus terre à terre, les menaces liées aux crises géopolitiques, le danger des attaques par des tiers ou encore l’arrivée de la prochaine directive européenne NIS2.

La tête à l’IA mais les pieds dans le concret 

Un an a passé depuis la dernière édition des rencontres des Riams qui rassemble chaque année les patrons de la cyber de plusieurs grandes entreprises et organisations françaises. S’ils concèdent porter un œil attentif aux innovations autour de l’IA et participer à des développements de projets avec leurs métiers sous l’angle « design by security », la réalité terrain est un peu moins à la tendance glamour du moment. Parmi les premiers thèmes évoqués figurent les conflits géopolitiques mondiaux. Ce qui se passe en Ukraine, au Moyen Orient ou encore en Chine les inquiètent. D’autant plus a rappelé Vincent Strubel, le Dg de l’Anssi, qu’avec la perspective des JO, la France devient une cible encore plus privilégiée par les hackers internationaux. Dernier épisode en date avec la Nouvelle Calédonie dont les réseaux locaux ont été paralysés pendant quelques heures par une cyberattaque massive menée par la Russie, d’après les premiers éléments d’enquête qui ont filtré. 

Il s’agit d’attaques visant à paralyser une chaîne de production, bloquer un point de passage logistique, ou plus simplement désinformer. Nous faisons face à des tentatives de déstabilisation et d’ingérence numérique résument sobrement les RSSI. Les actes sont mafieux, militaires ou menés par des hacktivistes. Dans l’aéronautique, les industriels affirment que les pirates cherchent par exemple à détourner des signaux GPS pour rendre aveugle les avions.

Être plus exigeant avec ses sous-traitants

Le deuxième point d’attention relevé par les RSSI porte sur les attaques contre des tiers. C’est l’une des failles les plus importantes à combler pour les grandes entreprises qui dépendent de centaines, voire de milliers de sous traitants. Pour certains, l’impact est tellement important, qu’ils seraient prêts à réinternaliser une partie de leur activité. « Il faut renforcer nos exigences auprès de ces tiers », confie un RSSI. Il ne s’agit pas de les mettre sous pression mais de les accompagner davantage avant et après l’attaque, voire d’intervenir à leurs côtés au moment de la crise. Peut-être faut-il réglementer davantage, s’interroge un autre RSSI.

Beaucoup d’interrogations autour de NIS 2

Le troisième sujet qui anime les patrons de la cyber porte sans surprise sur la prochaine mise en application de la directive européenne NIS2. Les RSSI admettent que les débats avec l’Anssi suscitent de nombreuses interrogations : comment savoir si une entreprise est assujettie à NIS 2 (on parle de 15 000 entreprises concernées) ? Quelle est l'étendue de l'application de NIS2 par rapport à mon organisation ?  Quels sont les risques spécifiques identifiés par NIS2 que les RSSI doivent gérer ? Quelles mesures de sécurité doivent ils renforcer ou mettre en place pour être en conformité avec NIS2 ? etc. Il reste encore de nombreuses zones d’ombre. Les RSSI apprécieraient une directive plus modulaire. Des organisations plus internationales s’inquiètent elles de la déclinaison par pays. Il aurait plutôt fallu une réglementation qu’une directive entend-on. J’ai apprécié le côté pragmatique du Cesin qui, interrogeant ses membres sur ce qu’est incident important, y répond tout simplement : un incident devient important lorsqu’il remonte au niveau du Comex.

Bien entendu, les crises géopolitiques, les attaques contre les tiers, Nis2 ne sont pas le seuls sujets de discussion. Les compétences, la formation des talents demeurent des problématiques clés. Reste aussi la question des budgets. Sur ce point, un RSSI me souffle qu’il a réussi à faire comprendre à son DG qu’il était désuet de s’engager sur un budget cyber tant cette ligne de dépense peut devenir un puits sans fond. En accord avec sa direction, il a identifié quelles activités de l‘entreprise généraient le plus de valeur afin d’y concentrer ses forces.

...