Depuis plus de 20 ans, les équipes de sécurité croulent sous les alertes, tandis qu’une compromission reste en moyenne indétectée pendant 241 jours. Voici pourquoi.
Voici le premier article d’une série d’articles invités de Curt Aubley, PDG de Sevii.
À retenir
- Le dilemme du défenseur continue de mettre les organisations en difficulté face aux cybermenaces modernes.
- La fatigue liée aux alertes est davantage due à la prolifération des outils et aux contraintes budgétaires qu’à une pénurie de compétences en cybersécurité.
- Une IA qui se contente d’automatiser les tâches sans réduire l’intervention humaine n’apporte que des gains de sécurité limités.
- Une IA autonome et gouvernée peut aider les défenseurs à réagir à la vitesse des machines tout en réduisant la complexité opérationnelle.
- Les organisations devraient commencer à évaluer des solutions fondées sur l’IA, à mesure que la cybersécurité dépasse le MDR traditionnel.
Pourquoi les défenseurs de la cybersécurité continuent de prendre du retard
En 2002, je contribuais aux efforts de cybersécurité de la NASA lorsque la Chine a lancé la cyberattaque Titan Rain — visant la NASA, le FBI, les réseaux de sous-traitants de la défense et des agences à travers le Royaume-Uni.
Ce fut un tournant. Et depuis 24 ans, cet épisode révèle ce qu’est réellement le secteur de la cybersécurité : une industrie bâtie sur des fondations fragiles, dans un perpétuel jeu de la taupe.
Les attaques d’aujourd’hui sont plus rapides, plus sophistiquées et surviennent à une échelle bien plus grande que tout ce à quoi les défenseurs étaient confrontés il y a dix ans.
Le coût moyen d’une violation de données est passé de 3,86 millions de dollars US à 4,44 millions de dollars US aujourd’hui. Le paysage des menaces a dépassé l’architecture conçue pour le contenir, et cet écart se creuse chaque année.
« Les adversaires n’ont besoin d’avoir raison qu’une seule fois. Les défenseurs, eux, doivent avoir raison à chaque fois. » C’est ce qu’on appelle le dilemme du défenseur. Et c’est pourquoi les compromissions restent dissimulées dans les systèmes pendant 241 jours en moyenne avant d’être identifiées et maîtrisées.
La véritable cause de la fatigue liée aux alertes dans les SOC modernes
Demandez à n’importe quel professionnel du secteur et vous entendrez toujours la même chose : les SOC sont débordés. Mais le diagnostic qui sous-tend généralement cette plainte est erroné.
Le secteur présente depuis des années cette situation comme un problème de compétences, mais je suis ici pour vous dire que la pénurie de compétences en cybersécurité est en réalité une pénurie budgétaire.
Ajoutez à cela que notre secteur adore déclarer certaines choses obsolètes, mais les supprime rarement réellement.
Les technologies héritées déambulent et titubent dans les entreprises comme des zombies, avec peu de signes de vie, dévorant de précieuses ressources budgétaires pour des résultats dérisoires.
Les « innovations » précédentes se sont dans l’ensemble ajoutées à l’infrastructure de sécurité existante, améliorant souvent les performances à la marge seulement, tout en aggravant la complexité et les frictions.
Le schéma est bien connu : un nouvel outil arrive en promettant de changer la donne. Il réduit une ancienne charge de travail, mais en crée deux nouvelles.
Les équipes de sécurité sont de plus en plus occupées, les attaquants de plus en plus rapides. L’écart se creuse.
La cybersécurité par l’IA exige plus que de l’automatisation
L’IA promettait de briser ce cycle. Et, pour être juste, l’IA offre non seulement un changement d’échelle exponentiel en matière de vitesse, d’envergure et d’efficacité, mais aussi la possibilité de commencer à rationaliser l’infrastructure et à réduire la complexité.
Elle permet enfin aux organisations d’avancer avec agilité et de se défendre à la vitesse des machines. Pour la première fois, nous pouvons véritablement rééquilibrer le rapport de force et commencer à effacer l’avantage des attaquants.
Mais ce potentiel est gaspillé par des fournisseurs incapables de résister à la tentation de vendre une évolution quand le moment exige une révolution.
L’automatisation des tâches répétitives est une excellente première étape et peut aider à libérer du personnel et des ressources, mais elle contribue peu à améliorer réellement la posture de sécurité d’une entreprise. Si une solution exige une supervision humaine et une validation continues à chaque étape, à quel point est-elle vraiment intelligente ?
L’innovation véritable est possible et disponible dès maintenant : des solutions qui s’attaquent aux menaces nouvelles et émergentes et disposent d’une gouvernance établissant la confiance nécessaire pour leur permettre d’agir de manière indépendante — en particulier lorsque l’intervention humaine ne peut s’adapter au volume ou à la vitesse d’une attaque.
Même si, dans le vocabulaire du secteur de la sécurité, l’IA est encore considérée comme balbutiante, les avancées dans les modèles et les solutions mûrissent à une vitesse inégalée dans les autres catégories.
Nous voyons déjà certaines des premières solutions d’IA « sortir de l’adolescence ». Alors que les conversations privées laissent entrevoir un bouleversement majeur pour les fournisseurs historiques, un segment commence à devoir rendre des comptes publiquement.
Pourquoi les organisations devraient repenser le MDR
Le MDR est-il mort ? Peut-être pas encore, mais pour une plateforme conçue pour le triage et destinée à soutenir des équipes de défense aux ressources limitées, les alarmes du maintien en vie retentissent.
Si votre entreprise investit encore dans le MDR, vous devriez peut-être commencer à examiner sérieusement les nouvelles solutions d’IA capables de remplacer les analystes chargés de lire vos alertes et de prendre réellement des mesures pour améliorer vos efforts de protection.
Restez à l’écoute pour la deuxième partie de cette série, dans laquelle j’examinerai la course aux armements croissante entre attaquants et défenseurs dans le domaine de l’IA, ainsi que les modèles économiques qui façonnent son avenir.