Selon Moody’s, l’IA va faire grimper le coût d’une mauvaise posture de sécurité

Utiliser le coût du capital pour recadrer le risque cyber

L’augmentation des coûts du capital pourrait fournir un moyen précieux de communiquer sur le risque cyber avec le conseil d’administration, convient Chris Cochran, RSSI de terrain et vice-président de la sécurité de l’IA chez SANS Institute. L’interruption d’activité, l’exposition financière et l’assurabilité sont d’autres arguments utiles.

« Les responsables de la sécurité doivent cesser de commencer par les vulnérabilités, les métriques de correctifs et la dette technique », juge-t-il. Pour lui, « la conversation devrait ressembler davantage à : “voici les systèmes qui génèrent des revenus ou qui maintiennent l’activité, voici combien de temps nous pourrions nous permettre de les perdre, et voici où notre résilience actuelle est insuffisante” ».

De là, ajoute-t-il, les RSSI peuvent fournir aux conseils d’administration un petit ensemble d’indicateurs significatifs, tels que la surface exposée exploitable, la latence des correctifs, les accès privilégiés et le temps de récupération testé, pour déterminer si l’exposition financière augmente ou diminue.

Selon Rich Mogull, le message clé doit être que les indicateurs de risque de base – y compris le temps de correction, la probabilité d’être ciblé et le volume probable des attaques – ont fondamentalement changé : « nous recommandons de nous concentrer moins sur la technologie et davantage sur les hypothèses de risque modifiées ».

Une meilleure résilience cyber est une solution gagnant-gagnant

Selon Moody’s, les organisations ayant une faible résilience cyber feront face à un plus grand risque de crédit : « les entreprises bien dotées peuvent compenser un risque croissant en investissant dans des défenses plus solides », indique le rapport. Et en toute logique, « celles qui ont de mauvaises pratiques de gestion des correctifs sont susceptibles de prendre encore plus de retard, surtout si elles possèdent de grands réseaux numériques qui élargissent considérablement leur surface d’attaque ».

En pratique, les experts s’accordent à dire que les organisations devraient commencer par les contrôles de cybersécurité fondamentaux, tels que la correction des vulnérabilités connues et exploitées, l’élimination des expositions inutiles et la minimisation des privilèges d’accès.

« C’est en fait la partie la plus difficile du problème, car même la sécurité simple n’est pas simple lorsqu’elle doit être mise à l’échelle », concède Rich Mogull. Las, ajoute-t-il, « l’IA est très douée pour trouver l’endroit où vous avez oublié un correctif ou fermer un port ; nous devons donc faire de notre mieux pour réduire ces oublis ».

L’analyse de Moody’s porte sur environ 9 500 émetteurs notés. Parmi ceux-ci 60 % avaient au moins une vulnérabilité connue et exploitée non corrigée sur leurs réseaux, et le temps médian pour remédier à une vulnérabilité connue et exploitée était de près de trois mois. Mais pour se défendre contre les menaces d’IA de niveau frontière, les experts prévoient que les équipes de cybersécurité devront corriger les ressources publiques en l’espace de quelques jours, voire de quelques heures.

« Nous avons commencé à recommander de passer à une pratique appelée “VulnOps”, qui considère la gestion des vulnérabilités davantage comme un processus continu de style DevOps que comme quelque chose que vous faites sur une base mensuelle par lots », explique Rich Mogull.

Les organisations qui ne peuvent pas corriger ou moderniser rapidement leurs systèmes patrimoniaux devraient utiliser des stratégies de confinement telles que la segmentation, les restrictions d’accès, les contrôles compensatoires et la récupération testée, selon Chris Cochran. Car, pointe-t-il, « l’IA réduit considérablement le temps dont disposent les défenseurs pour compenser ces vulnérabilités ».

Les défenseurs doivent également se préparer à faire face à plusieurs incidents activés par l’IA simultanément, avertit Rob Lee, responsable de l’IA et chef de la recherche chez SANS : « la résilience prend la forme d’exercices de red team et de table top […]. Demandez-vous quel est le problème le plus difficile auquel vous pourriez potentiellement faire face et commencez à planifier pour plusieurs incidents en même temps ».

Bien que l’augmentation des coûts d’emprunt donne aux RSSI un levier financier immédiat auprès des conseils d’administration, les experts soulignent que l’impératif sous-jacent reste purement opérationnel. « Je ne sais pas si cela va affecter les notations de crédit », tempère Rob Lee. Mais, ajoute-t-il, « ce que je sais, c’est que vous devez vous concentrer en ce moment sur la résilience, car l’adversaire sera différent, plus grand, plus fort et plus rapide qu’avant ».