J'ai récemment participé au podcast « Decipher » pour évoquer la manière dont l'IA modifie le paysage des menaces pour les organisations qui dépendent de communications sécurisées. Ce qui est clairement ressorti, c'est que cette évolution est déjà une réalité opérationnelle, et non pas une simple théorie.

Les outils assistés par l’IA transforment la manière dont les gens travaillent, communiquent et prennent des décisions. Ils modifient également les modes d’opération des attaquants, en permettant à ces derniers d’usurper l’identité des utilisateurs, d’automatiser les techniques de tromperie et d’évoluer plus rapidement dans les environnements numériques. L’un des thèmes centraux de notre discussion était que ces évolutions renforcent, et non ne réduisent pas, l’importance des communications sécurisées. Les organisations ont besoin de canaux fiables où l’identité, l’intégrité des messages, la continuité opérationnelle et la confidentialité peuvent être protégées, en particulier lorsque le contexte des menaces devient plus difficile à cerner.

L'IA met la confiance à rude épreuve

L'un des premiers sujets que nous avons abordés concernait la manière dont l'IA modifie la dimension humaine de la sécurité. La sécurité a toujours été un défi autant humain que technique. Les individus doivent déterminer à quels messages faire confiance, quelles instructions suivre et quelles demandes justifient une intervention urgente. L'IA accentue la pression liée à ces décisions en aidant les attaquants à créer des messages plus convaincants à plus grande échelle.

L'ingénierie sociale assistée par l'IA peut rendre le phishing, la fraude, l'usurpation d'identité et la désinformation plus difficiles à détecter. Les tactiques utilisées sont bien connues. Ce qui change, c'est leur rapidité d'exécution et leur sophistication. Les pirates sont désormais capables de rédiger des messages crédibles, d'adapter leur ton, de traduire des contenus, de résumer des informations volées et de cibler des individus avec moins d'obstacles qu'auparavant.

Nous avons convenu que cela revêtait une importance particulière pour les organismes publics, les opérateurs d’infrastructures critiques, les entreprises réglementées et les équipes de direction. Dans ces environnements, les communications véhiculent des décisions opérationnelles, des données sensibles, des consignes d’urgence et la coordination des interventions en cas de crise. Si ces communications sont compromises, retardées ou manipulées, les conséquences vont bien au-delà de la simple perte d’informations. Le recours à des canaux ordinaires pour les communications sensibles constitue un risque que les attaques assistées par l’IA rendent encore plus grave.

La sécurité des communications doit être intégrée aux opérations

Nous avons longuement discuté de ce qu’il faut réellement mettre en œuvre pour intégrer la sécurité au cœur des communications, plutôt que de la considérer comme une mesure d’urgence. Une tendance s’est dégagée, qui sera familière à tous ceux qui ont suivi l’évolution du secteur des logiciels : au départ, les vulnérabilités étaient considérées comme des problèmes externes à gérer une fois détectées. Au fil du temps, la sécurité s’est intégrée à l’ingénierie, à la gestion des versions et à la gouvernance des produits. La sécurité des communications doit bénéficier du même traitement.

Cela signifie qu’il ne peut pas être réservé à des incidents ponctuels, aux déplacements des dirigeants ou à des exceptions liées à des situations d’urgence. Il doit être planifié avant qu’une crise ne survienne, testé avant d’être sollicité et intégré dans les processus de travail quotidiens des personnes qui en dépendront.

Plusieurs questions pratiques ont été soulevées : quels canaux sont autorisés pour les discussions sensibles ? Comment l'identité des participants est-elle vérifiée ? Que se passe-t-il si les réseaux principaux sont indisponibles ? Comment les dirigeants communiquent-ils lorsque la rapidité et la précision sont toutes deux essentielles ? L'idée était que les organisations doivent se pencher sur ces questions avant qu'une attaque, une panne ou une crise ne les oblige à improviser sous la pression.

Le chiffrement n'est qu'une partie du problème. Les organisations ont également besoin de garanties en matière d'identité, de contrôle d'accès, d'auditabilité, de gouvernance des politiques, d'intégrité des messages et de résilience lorsque les plateformes de collaboration standard ne sont pas disponibles ou ne sont pas fiables.

L'IA modifie le rythme des risques

Un point est revenu à plusieurs reprises : les menaces assistées par l’IA accélèrent des catégories d’attaques déjà connues plutôt que d’en introduire de totalement nouvelles. Le phishing, le vol d’identifiants, l’usurpation d’identité de dirigeants, les fuites de données et la désinformation restent tous des risques identifiables. Ce qui change, c’est la rapidité avec laquelle ils peuvent être générés, personnalisés et diffusés.

Cette rapidité revêt une importance particulière. Un message convaincant transmis lors d’un événement sous haute pression peut conduire à une mauvaise décision avant même qu’une équipe de sécurité n’ait le temps d’intervenir. Une instruction falsifiée peut se propager par des canaux informels avant d’avoir été vérifiée. Une voix « deepfake » ou un message peaufiné par l’IA peut exploiter des relations de confiance établies depuis des années.

La réponse à cela ne peut pas consister à mettre en place des contrôles qui créent tant de freins que les utilisateurs finissent par les contourner. Les plateformes de communication sécurisées devraient réduire les obstacles aux comportements dignes de confiance plutôt que de les multiplier. Les utilisateurs devraient pouvoir vérifier leur identité, protéger leurs échanges sensibles et assurer la continuité opérationnelle lorsque les systèmes habituels sont perturbés.

La résilience repose sur les personnes et les processus

La sécurité des communications repose sur la capacité des personnes à savoir quels outils utiliser, à quel moment les utiliser et comment vérifier les demandes inhabituelles. Les politiques doivent être suffisamment claires pour pouvoir être respectées même en situation de stress. Les formations doivent s'appuyer sur des scénarios réalistes, et non sur des consignes génériques. Les plans d'urgence doivent tenir compte du risque que des attaquants tentent d'introduire de fausses instructions dans les canaux de communication.

Un point qui est ressorti de notre conversation : les programmes de sécurité efficaces sont souvent mis en place par des personnes qui savent s'adapter avant même que le guide de procédure ne soit finalisé. Les organisations ne devraient pas attendre que chaque risque lié à l'IA soit entièrement défini pour améliorer la manière dont elles protègent leurs communications sensibles.

La préparation concrète commence par l’identification des communications les plus importantes : coordination de la direction, gestion des incidents, consignes de sécurité publique, alertes opérationnelles, discussions d’ordre juridique et réglementaire, ainsi que les échanges portant sur des données sensibles. Une fois ces flux de travail clairement définis, les organisations peuvent déterminer quels canaux sont acceptables, quels contrôles sont nécessaires et quelles méthodes de secours seront utilisées en cas de défaillance des outils habituels.

La voie à suivre

L'IA continuera à transformer le fonctionnement des organisations et les méthodes des cyberattaquants. Ce qui ressort de notre conversation, c'est que la bonne réponse consiste à renforcer les fondements qui garantissent la fiabilité de la communication.

Cela implique de considérer les communications sécurisées comme un élément central de la cyber-résilience : protéger les échanges sensibles avant qu’ils ne soient la cible d’attaques, vérifier l’identité avant toute action, et veiller à ce que les équipes essentielles puissent continuer à fonctionner lorsque la fiabilité des canaux habituels est remise en cause.

Si des attaquants parviennent à manipuler les croyances des individus, les personnes en qui ils ont confiance ou les consignes qu’ils suivent, ils peuvent influencer les résultats sans pour autant pirater tous les systèmes. Les communications s’inscrivent dans le périmètre de sécurité, et leur protection nécessite la même planification minutieuse que celle appliquée à tout autre dispositif de sécurité. Pour les organisations chargées de prendre des décisions sensibles, d’assurer la coordination en cas d’urgence ou de gérer des informations réglementées, cette planification devrait déjà être en cours.