L’IA réduit considérablement le délai entre la découverte des vulnérabilités de sécurité et leur exploitation. Pour comprendre ce que cela implique concrètement pour les responsables de la sécurité, nous nous sommes récemment entretenus avec Michael Montoya, directeur des opérations technologiques de F5, chargé de la stratégie de sécurité et de résilience de F5 à l’échelle de l’entreprise. Poursuivez votre lecture pour découvrir le point de vue de Montoya sur le paysage des menaces post-Mythos et sur les mesures que les organisations doivent prendre pour survivre.
Q : On parle beaucoup de Mythos dans l’actualité. En tant que responsable de la sécurité, à quoi ressemble concrètement le paysage des menaces post-Mythos ?
Montoya : Honnêtement, tout va plus vite. C’est le principal constat. Nous observons que l’IA accélère la découverte des vulnérabilités et réduit le délai entre leur divulgation et leur exploitation. Auparavant, ce délai se comptait en semaines ou en mois. Les équipes de sécurité avaient organisé tout leur fonctionnement autour de cette hypothèse : une vulnérabilité était divulguée, puis évaluée, un correctif était planifié et soumis au processus de gestion des changements. Ce rythme n’est désormais plus tenable.
Et je tiens à préciser clairement quel est le véritable défi. Ce n’est pas simplement que les menaces sont plus nombreuses. C’est la rapidité et l’ampleur avec lesquelles elles apparaissent. Cette accélération constitue un problème totalement différent, car les organisations ne disposent plus de plusieurs semaines ou mois pour réagir.
Qu’est-ce que cela implique pour les responsables de la sécurité ? Il est important qu’ils passent d’une approche privilégiant l’application de correctifs à une approche axée en priorité sur la protection. L’application de correctifs reste essentielle, mais elle ne peut pas constituer votre seule ligne de défense lorsque le temps presse à ce point. Ensuite, ils doivent réagir à la vitesse de l’IA. Cela signifie s’appuyer sur la protection à l’exécution et les correctifs virtuels afin de réduire l’exposition en attendant le déploiement de correctifs permanents. Et dans un monde où les applications, les API et les charges de travail d’IA sont réparties entre les clouds, les centres de données et la périphérie, cela implique d’adopter une approche fondée sur une plateforme permettant d’appliquer la sécurité de manière cohérente dans l’ensemble de votre environnement.
Q : Quel est, selon vous, le principal risque que les organisations sous-estiment actuellement ?
Montoya : Sans hésitation, je dirais la complexité. Je pense que de nombreuses organisations n’ont pas encore pleinement pris conscience que la complexité elle-même est devenue l’un de leurs principaux risques en matière de sécurité.
Pensez aux environnements dans lesquels une entreprise type opère aujourd’hui : environnements hybrides, multicloud, edge et, désormais, un nombre croissant d’environnements d’IA qui viennent s’y superposer. Chacun d’eux peut entraîner une fragmentation des outils, des politiques et des workflows, avec le risque de créer une faille ou un angle mort. Personne ne cherche délibérément à bâtir un système de cette manière. Pourtant, c’est ce qui finit par se produire au fil du temps.
Le travail à accomplir ici est peu valorisant, mais son impact est considérable. Réduisez la complexité opérationnelle partout où vous le pouvez. Abandonnez les solutions ponctuelles disparates au profit d’une stratégie de plateforme unifiée. Et mettez en place une visibilité, une application des politiques et une protection cohérentes dans tous vos environnements. Si vous ne pouvez pas répondre de la même manière à la question « Qu’est-ce qui protège cette application, et selon quelle politique ? », quel que soit l’endroit où elle est hébergée, c’est par là qu’il faut commencer.
Q : La confiance dans la chaîne d’approvisionnement logicielle est mise à rude épreuve. Comment faites-vous évoluer les pratiques de sécurité de F5 pour protéger vos clients ?
Montoya : Nos clients évaluent la confiance qu’ils accordent à F5 à l’aune de la rapidité avec laquelle nous les aidons à identifier les menaces émergentes et à y répondre. C’est une évaluation légitime, que nous nous appliquons également à nous-mêmes.
La dure réalité, c’est que les cycles de publication traditionnels peinent à suivre le rythme de la détection des vulnérabilités à la vitesse des machines. Si vos améliorations de sécurité sont déployées tous les trimestres alors que les menaces évoluent chaque jour, vous accusez structurellement un retard. La sécurité doit donc être assurée en continu et intégrée à la plateforme elle-même.
Concrètement, cela signifie automatiser autant que possible les tests de sécurité, la validation et le renforcement de la sécurité, tout en accélérant la mise à disposition effective des améliorations et des mises à jour de sécurité auprès des clients.
Et j’étendrais cette exigence à vos partenaires. Demandez à vos partenaires technologiques de rendre des comptes sur la sécurisation et le renforcement de leurs produits au rythme de l’émergence des menaces. Interrogez-les sur la durée de leur cycle de développement. Demandez-leur ce qui est automatisé. Ce sont désormais des questions légitimes, et les réponses sont très révélatrices.
Q : Alors que les équipes applicatives déploient à toute vitesse du nouveau code et des fonctionnalités d’IA, comment protéger l’innovation sans ralentir l’activité ?
Montoya : C’est une question que l’on me pose souvent. L’innovation portée par l’IA entraîne une multiplication fulgurante des applications, des API et des services. Ce n’est pas un problème à endiguer : c’est le cœur de l’activité. Mais voici le phénomène que les responsables de la sécurité doivent surveiller : lorsque la sécurité devient un frein, le développement ne s’arrête pas. Il la contourne. Vous vous retrouvez alors avec moins de visibilité et moins de contrôle qu’auparavant, soit tout le contraire de l’objectif recherché.
L’objectif n’est donc pas de choisir entre rapidité et sécurité. Ce compromis n’est pas envisageable. Il faut au contraire rendre les deux possibles. Aucun RSSI ne cherche à ralentir l’activité de l’entreprise ni à freiner l’innovation.
Quelques pistes pour atteindre l’équilibre nécessaire : intégrez la sécurité au processus même de livraison des applications. Automatisez la protection partout où cela est possible, plutôt que de vous appuyer sur des contrôles manuels qui ne peuvent pas suivre le rythme à grande échelle. Utilisez des mécanismes de contrôle capables de réduire immédiatement les risques lorsque de nouvelles menaces apparaissent, afin de maintenir la protection le temps que le code soit mis à jour. Enfin, donnez aux développeurs une véritable liberté d’innover, tout en conservant une gouvernance et une sécurité solides en arrière-plan.
Faites les choses correctement, et la sécurité cessera d’être l’équipe qui dit non. Elle deviendra celle qui permet d’innover en toute sécurité.
Q : En définitive, quelle est la chose la plus importante qu’un responsable de la sécurité doit faire aujourd’hui pour survivre à cette nouvelle réalité ?
Montoya : Misez sur la résilience et organisez-vous en conséquence. Il est important de comprendre que les conseils d’administration ne se demandent plus seulement si leur organisation est sécurisée, mais aussi si elle est capable de s’adapter, de réagir et de se rétablir rapidement face à des changements constants. Cela signifie que la résilience est désormais une exigence opérationnelle.
Comme je l’ai dit précédemment, l’élimination de la complexité constitue une part importante de l’équation. Vous devez faire converger la mise à disposition des applications, la sécurité et les opérations autour d’un modèle opérationnel commun. Vous devez investir dans des plateformes qui améliorent la visibilité, la cohérence et la résilience. Enfin, vous devez garder le contrôle sur l’emplacement de l’ensemble de vos applications, de vos données et de vos politiques de sécurité, alors que les pressions géopolitiques et celles liées à l’IA continuent d’évoluer.
Les responsables de la sécurité doivent avancer au même rythme que l’IA, voire plus vite. Cela signifie que nous devons utiliser l’IA dans tous les aspects de notre défense. La tâche n’est pas aisée. Mais c’est en définitive ce qui distinguera les organisations qui prospéreront à l’ère de l’IA.
Pour en savoir plus, consultez notre F5 Application Delivery and Security Platform (ADSP) page web. Pensez également à vous inscrire au Post-Mythos Security Summit virtuel et à la demande de F5, disponible à partir du 10 septembre.
À propos de l’auteur
Articles de blog associés
IA et cybersécurité
Découvrez comment l’IA et la cybersécurité fonctionnent de concert. Découvrez comment l’IA et le machine learning (ML) permettent à votre entreprise de rester sécurisée, efficace et prête à innover avec F5.
Suivre le rythme de l’innovation de pointe ne suffit pas à faire avancer l’entreprise : se préparer à la réglementation de l’IA
À mesure que la réglementation de l’IA évolue, réfléchissez aux mesures de protection que vous pouvez mettre en place dès maintenant.
Les contrôleurs de mise à disposition d’applications reviennent au cœur des priorités stratégiques
L’IA rebat les cartes de la livraison d’applications. Nirav Shah de F5 revient sur la nouvelle étude de Gartner® consacrée aux ADC et explique ce qu’elle implique pour les décisions des entreprises en matière d’infrastructure.
Ce que nos clients nous disent sur l’IA, le multicloud hybride et la sécurité des applications
Le nouveau vice-président senior du marketing produit de F5 explique les pressions liées à l’IA auxquelles sont confrontés les dirigeants d’entreprise et ce dont ils ont besoin pour renforcer leur organisation.
Cinq niveaux de cyberrésilience antifragile transforment les pratiques en résultats
Découvrez comment cinq niveaux de résilience antifragile transforment les perturbations en comportements adaptatifs qui limitent les défaillances et renforcent l’architecture multicloud hybride.
Optimiser les pipelines d’IA en éliminant les goulets d’étranglement dans les charges de travail modernes
À mesure que les charges de travail d’IA montent en puissance, les entreprises constatent des ralentissements provenant du pipeline de données en amont qui alimente le modèle d’IA. Voici comment F5 BIG-IP peut les aider.