Ce que les conseils d’administration doivent exiger à l’ère de l’exploitation automatisée par l’IA

"Vous le saviez et vous auriez pu agir. Pourquoi ne l'avez-vous pas fait?"

C’est la question que vous ne voulez pas qu’on vous pose. Et c’est de plus en plus la question à laquelle les dirigeants sont obligés de répondre après un incident.

Pendant des années, de nombreuses équipes de direction et conseils d’administration ont traité l’arriéré important de vulnérabilités comme une réalité inconfortable mais tolérable : « nous avons accepté le risque ». Si vous avez déjà vu un rapport montrant des milliers (ou des dizaines de milliers) de CVE ouverts et critiques, vous avez probablement aussi entendu les rationalisations habituelles de la part de personnes qui préfèrent détourner le regard : nous avons d'autres priorités, cela prendra des années de temps d'ingénierie pour les corriger, comment savez-vous qu'elles sont vraiment critiques, nous sommes toujours en train d'établir des priorités, nous y reviendrons.

Dans l’ancien monde, cette histoire, même si elle n’était pas bonne, permettait souvent de survivre. L'exploitation était plus lente, plus manuelle et nécessitait plus de compétences de l'opérateur. Même les attaquants les plus sophistiqués avaient des contraintes. Les organisations s’appuyaient sur ces contraintes comme une partie tacite du modèle de risque : « Si la situation était vraiment aussi grave que vous le dites, nous serions compromis sur le moment. »

Ce monde est parti.

L’IA a réduit le coût d’exploitation

Nous observons désormais que les acteurs malveillants ut...
[Courte citation de 8% de l'article original]