Prédiction 1 : L’IA entraîne de réels nouveaux défis aux RSSI
Les directions métier et informatiques vont s’écharper à définir qui doit posséder le sujet de l’IA.
En attendant, les bonnes pratiques de cybersécurité autour de l’IA vont devoir patienter. Les attaquants vont exploiter les Large Language Models (LLM) et l’IA générative pour améliorer sensiblement leurs emails de hameçonnage ciblé, en les associant avec des contrefaçons profondes (“deepfakes”) et des attaques améliorées par l’IA afin d’accroître leur taux de succès.

Appel à l’action
• Les RSSI doivent s’attacher à accompagner les projets utilisant l’IA en communiquant sur les risques auprès des métiers.
• Ils doivent privilégier les projets qui favorisent les capacités à plus forte valeur ajoutée et où la cybersécurité a le plus d’impact métier.
• Les RSSI devront utiliser des plateformes s’appuyant sur l’IA pour réduire la complexité et améliorer l’efficacité de la sécurité, tout en échangeant avec leurs homologues sur les meilleures pratiques de sécurité basées sur l’IA.

Prédiction 2 : L’IA générative renforce le rôle la cybersécurité comme d’un facilitateur
Alors que les modèles d’IA générative vont gagner en maturité en 2024, l’émergence des “Copilotes” va accroître la productivité des équipes de sécurité opérationnelle (SecOps). Cela va changer l’état d’esprit des équipes en faveur d’une posture proactive plutôt que réactive, avec une priorité croissante au déploiement de plateformes de Threat Intelligence exploitant l’IA en tant que système d’anticipation des alertes. En outre, une attention accrue portée aux programmes de Threat-Hunting offrira une meilleure visibilité des surfaces d’attaque avant même que les équipes de sécurité ne soient associées aux projets numériques.

Appel à l’action
• Le rôle de RSSI va intégrer le pilotage de la sécurité liée à l’IA, Chef AI Security Officer (CAISO). Il s’agira notamment d’utiliser des modèles d’IA pour aider à prédire les menaces de manière proactive via des systèmes autonomes et en temps réel.
• Cette évolution du rôle de RSSI offrira l’opportunité unique de rassembler les responsables métiers et d’utiliser la cybersécurité comme la brique de base pour construire en toute confiance des projets numériques reposant sur l’IA.
• De plus en plus d’indicateurs pourront être surveillés, tels que la résolution des incidents et la protection des IA contre l’empoisonnement de données (data poisoning) ou la dégradation des modèles.

Prédiction 3 : La consolidation avec la “Plateformisation” améliorera considérablement les bénéfices en matière de sécurité
Priorité majeure des organisations pour 2024, la consolidation de la cybersécurité promet de réduire les coûts et la complexité, mais ne dit rien sur l’efficacité de la cybersécurité. Les organisations comprendront que la consolidation n’est pas synonyme de “plateformisation”, et que les projets d’optimisation des coûts sans s’intéresser à l’optimisation et à l’amélioration des bénéfices de la sécurité vont tourner court.

Appel à l’action
• Les équipes de sécurité doivent proposer systématiquement une plateformisation modulaire pour aider l’organisation à se démarquer, en passant de plus de 30 fournisseurs cybersécurité à deux ou trois partenaires de cybersécurité de confiance travaillant en écosystème.
• Les organisations doivent s’appuyer sur un partenaire cybersécurité innovant, qui peut les aider à consolider mais aussi à se concentrer sur les bénéfices de la sécurité autonome et temps réel, tout en améliorant la simplicité et l’intégration.

Prédiction 4 : Les ressources des régulateurs sous pression
NIS2 et DORA introduisent des exigences accrues pour un plus grand nombre d’organisations par rapport à NIS.
Associées à un risque d’interprétation erronée et de transmission d’informations incomplètes, ces exigences vont entraîner chez les autorités de régulation un manque de ressources pour hiérarchiser et qualifier les dossiers. Il en résultera une diminution des ressources allouées au soutien, à la formation et à la réaction.

Appel à l’action
• Les autorités et les organisations devront exploiter la technologie pour appréhender de manière proactive l’importance et l’impact potentiel des nouvelles exigences, plutôt que de les évaluer de manière réactive au moment de la crise.
• Il est essentiel que les autorités de régulation et les organisations déploient des programmes fondés sur des technologies de gestion de la surface d’attaque, de briefings proactifs sur les menaces et d’évaluations, et qu’elles s’appuient sur les services de réponse aux incidents d’une organisation de sécurité réputée.
• Pour qualifier les signalements, les autorités devront adopter une approche de la cybersécurité tirant partie de la connaissance des menaces.

Prédiction 5 : Les conseils d’administration se mettent à la cybersécurité
Les nouvelles réglementations telles que NIS2 exigent une plus grande responsabilité (accountability) de la part des membres des conseils d’administration en matière de cybersécurité. Dans ce contexte, les organisations intégreront davantage d’experts ou d’anciens RSSI dans leurs conseils d’administration et créeront des comités dédiés à la cybersécurité afin de répondre à la surveillance croissante des organismes de régulation. La volonté d’améliorer les connaissances en matière de cybersécurité constituera un facteur clé pour favoriser la confiance entre le RSSI et le conseil d’administration.

Appel à l’action
• Faire porter par le conseil d’administration un cadre de gouvernance pour la cyber-résilience.
• Planifier des briefings annuels réguliers pour le conseil d’administration et inclure vos partenaires de l’écosystème (p. ex., fournisseurs, clients et/ou prestataires stratégiques), et organiser des sessions de conseil cyber et des exercices sur table pour le conseil d’administration.

Prédiction 6 : Les organisations commencent à évaluer l’état de préparation de leur infrastructure en matière d’informatique quantique
Au moins 50 % des organisations actives dans des infrastructures stratégiques, telles que les services financiers ou la sécurité nationale, lanceront des projets visant à évaluer l’impact de l’informatique quantique émergente sur leur posture de cybersécurité.

Appel à l’action
• Évaluer le risque pour votre organisation lié à la présence d’acteurs menaçants capables d’écouter des communications chiffrées, de les capturer et de les stocker pour les déchiffrer plus tard, lorsque les ordinateurs quantiques seront largement répandus.
• Cartographier les applications développées par l’entreprise et les technologies des fournisseurs pour lesquelles la cryptographie post-quantique deviendra nécessaire immédiatement ou en 2025.

Prédiction 7 : Les organisations intègrent la sécurité dans la chaîne de développement logiciel, afin que la sécurité soient apportée à la même vitesse que l’ingénierie applicative.
La prolifération de l’IA générative appliquée à l’ingénierie logicielle mènera à une augmentation du nombre de logiciels auto-développés présentant des bogues, ainsi qu’à une accélération des attaques contre ces applications. Si l’on ajoute à cela le risque accru d’attaques de la chaîne d’approvisionnement et l’explosion de l’utilisation de l’open source, au moins 30 % des entreprises placeront la sécurité applicative parmi leurs trois principaux cyber-risques en 2024.

Appel à l’action
• Évaluer votre posture de sécurité dans, en dehors et autour de la chaîne d’ingénierie logicielle, et élaborer un plan pour que la sécurité suive le rythme de l’ingénierie.
• Élaborer des stratégies de sécurité tenant compte de l’expérience des développeurs (DevEx), telles que l’intégration harmonieuse à l’écosystème du développeur, le contexte entre code-compilation-exécution (code-build-run), les contrôles en tant que code (control-as-a-code) et l’automatisation avancée, en utilisant des outils de sécurité de l’infrastructure en tant que code (IaC).