Le Black Hat de cette année avait un fond clair : la véritable bataille consiste à connaître vos données et votre IA… et à les garder sous contrôle.
La gouvernance des données est redevenue tendance grâce à l'IA : tout repose sur les données, et les RSSI s'en approprient de plus en plus, mais ils souhaitent une gouvernance avec des contrôles. L'inventaire des ressources d'IA est reconnu comme un besoin essentiel, car on ne peut protéger ce qu'on ne connaît pas. La visibilité sur les données et les exploits reste une priorité constante au fil des ans, mais nous constatons désormais une identification plus précise des cas d'utilisation entre la protection des applications internes et l'accès des employés aux applications d'IA, ce qui soulève des questions sur la manière d'intercepter et de protéger les différents vecteurs de menaces avec un minimum de complexité ou de prolifération d'agents.
Vous trouverez ci-dessous les principaux points à retenir qui ont dominé les discussions entre les RSSI, les architectes de sécurité et les responsables des risques.
1. La sécurité et la gouvernance de l'IA sont au premier plan
En tant que IA générative De plus en plus intégrées à toutes les fonctions de l'entreprise, les responsables de la sécurité sont tenus de tout prendre en compte : les modèles, les données, les accès, les risques. Le débat dépasse désormais les menaces théoriques. Les équipes veulent des réponses concrètes à des questions concrètes : où sont nos modèles ? Quelles données sensibles utilisent-ils ? Qui les pilote et que peuvent-ils faire ?
Les responsables de la sécurité accordent la priorité à :
- Inventaire complet des modèles et ensembles de données d'IA, en particulier ceux formés sur ou utilisant des données sensibles
- Évaluations des risques reproductibles qui évaluent l'utilisation de l'IA, le comportement du modèle et l'exposition réglementaire
- Contrôles qui régissent la manière dont les données circulent dans les systèmes d'IA, avec classification et visibilité de la lignée
- Contrôle d'accès rapide et application des politiques pour éviter toute mauvaise utilisation ou fuite
Il ne s'agit pas de sécuriser l'IA du futur, mais de sécuriser l'IA déjà en production.
2. La visibilité des données reste le goulot d'étranglement
Malgré des années d'investissement, la plupart des organisations peinent encore à répondre à des questions fondamentales sur leurs données. Que possédons-nous, où se trouvent-elles et qui peut y accéder ? Sans une vision claire de leur environnement de données, les équipes de sécurité ne peuvent protéger ce qui compte ni prouver leur conformité.
Les thèmes les plus courants comprenaient :
- Découverte de données évolutive et automatisée dans les environnements cloud, sur site et hybrides
- Classification qui s'adapte au contexte spécifique de l'entreprise, et pas seulement aux modèles génériques
- Visibilité approfondie sur les plateformes cloud telles que Flocon de neige et S3, où la prolifération des données s'accélère
- Outils de lignée qui connectent la découverte de données à la gestion de la configuration et à l'application des politiques
Avant de maîtriser les risques, vous devez maîtriser vos données. Cela commence par savoir ce que vous possédez.
3. La sécurité doit s'intégrer au fonctionnement de l'entreprise
Les outils de sécurité qui créent de nouveaux silos sont mis de côté. Les outils de sécurité qui s'intègrent aux flux de travail existants sont adoptés. Le message était cohérent : si votre plateforme ne peut pas s'intégrer au reste de l'écosystème, elle restera obsolète.
Les équipes de sécurité recherchent activement :
- Intégrations étroites avec les plateformes GRC, IAM, DLP, UEBA et les pipelines de données existants
- Connexions dans ServiceNow, Flocon de neige, et d'autres systèmes critiques pour l'entreprise
- Moyens d'opérationnaliser les conclusions de sécurité par le biais de processus existants, et non de nouveaux processus
L'objectif n'est pas seulement la détection, mais aussi l'alignement, l'action et la responsabilisation de toute l'organisation.
4. L'évaluation des risques ne suffit pas sans action
Les registres des risques et les systèmes de notation ne sont utiles que s'ils aboutissent à quelque chose. Les conseils d'administration recherchent la clarté. Les équipes GRC recherchent la cohérence. La sécurité souhaite pouvoir agir.
Les dirigeants placent la barre plus haut :
- Scores de risque doivent être mis en correspondance avec les menaces, les cadres et les obligations du monde réel
- Rapports doit être assimilable par un public non technique et lié à l'impact commercial
- Remédiation les options doivent être intégrées à la plateforme et non laissées à l'effort manuel
Si l'analyse des risques se résume à un chiffre et un tableau de bord, vous n'avez pas encore atteint la moitié du chemin. Les équipes de sécurité ont besoin d'outils de gestion des risques pour les aider à agir.
5. Le déploiement léger et sans agent est la nouvelle norme
Les budgets de sécurité se resserrent. Les ressources sont limitées. Et la complexité est un ennemi. Les RSSI ne sont plus disposés à adopter des outils nécessitant des agents, des proxys ou des délais de mise en œuvre prolongés.
La préférence est claire :
- Déploiements sans agent qui réduisent les frais opérationnels
- Architectures API-first et outils basés sur un navigateur qui s'intègrent sans interruption
- Ascenseur minimal pour les équipes d'ingénierie et d'exploitation de sécurité
Moins il faut d’efforts pour déployer et maintenir un outil, plus vite il devient utile et plus il est susceptible de rester utilisé.
Annonces BigID au Black Hat 2025
BigID a fait une démonstration audacieuse au Black Hat avec une série d'annonces de produits majeurs qui reflètent la direction que prend l'industrie, en se concentrant directement sur Gouvernance de l'IA, protection des données sensibles et visibilité des risques en temps réel. Points forts :
- Moteur de classification des invites alimenté par l'IA: la première interface en langage naturel du secteur pour la découverte et la classification de données. Avec ce lancement, BigID remplace les systèmes rigides basés sur des règles par un moteur d'IA qui permet aux utilisateurs de décrire ce qu'ils recherchent en anglais simple, puis de trouver et de classer automatiquement les données.
- Découverte de l'IA fantôme: Détectez les modèles d'IA non autorisés ou malveillants dans l'entreprise. Cette fonctionnalité offre aux équipes de sécurité une visibilité complète sur les déploiements d'IA cachés et l'utilisation non contrôlée des modèles.
- Étiquetage des données d'IA pour l'application des règles d'utilisation: Appliquez des politiques d’utilisation spécifiques à l’IA pour garantir que les données sensibles ou réglementées ne sont utilisées de manière appropriée que par les modèles et applications d’IA.
- Nettoyage des données par l'IA: Obtenez la préparation des données d'IA, y compris le nettoyage intelligent des données sensibles et réglementées, et permettez aux organisations de réduire les risques avant même que les données n'entrent dans un pipeline d'IA.
- Tour de guet pour l'IA et les données: Il s'agit d'une connaissance situationnelle des risques liés à l'IA et aux données. BigID fournit des alertes continues et des informations contextuelles sur le comportement des modèles, l'utilisation des données et les violations des politiques dans l'ensemble de l'entreprise, en un coup d'œil.
- AI TRiSM (Gestion de la confiance, des risques et de la sécurité): Gérez la confiance, les risques et la sécurité des modèles et des données d’IA – de l’IA SPM aux évaluations des risques et au-delà.
Ensemble, ces innovations illustrent le passage d’un reporting passif à un contrôle proactif des systèmes d’IA et des données sensibles qu’ils consomment, aidant ainsi les entreprises à évoluer plus rapidement et avec plus de confiance dans un paysage d’IA à enjeux élevés.
Mot de la fin : la sécurité évolue ; les outils doivent évoluer aussi
Les responsables de la sécurité ne veulent pas de plus de bruit, de tableaux de bord ni de cadres théoriques. Ils veulent de la clarté. Du contrôle. De la confiance. L'avenir de la cybersécurité repose sur la visibilité, l'intégration et l'action, d'autant plus que l'IA s'intègre de plus en plus au fonctionnement des entreprises.
Les enseignements de Black Hat 2025 sont clairs : les équipes de sécurité modernes exigent visibilité, flexibilité et capacité d'action. Les acteurs de cette nouvelle ère seront les plateformes qui sauront exploiter les informations, s'intégrer aux écosystèmes existants et sécuriser l'IA de l'intérieur.
Vous souhaitez garder une longueur d'avance ? Privilégiez les solutions qui comprennent le changement… et qui s'y adaptent. Découvrez comment BigID peut aider votre organisation à relier les points entre les données et l’IA.
