Effectifs numériques : pourquoi les formations classiques à la sécurité ne suffisent plus

Les formations traditionnelles de sensibilisation à la cybersécurité reposent sur des contenus et des formats pédagogiques standardisés, dispensés de manière sporadique – généralement une seule fois par an. Leur objectif est de renforcer la sensibilisation à la cybersécurité des collaborateurs d'une entreprise. Le problème : de plus en plus souvent, l'effet escompté ne se produit pas.

Les cybercriminels recourent de plus en plus à l'IA pour soutenir leurs attaques d'ingénierie sociale, de hameçonnage et de spear-phishing. La rapidité et la diversité des attaques ne cessent ainsi d'augmenter, et il est désormais pratiquement impossible de les contrer efficacement à l'aide de programmes d'apprentissage statiques. À cela s’ajoute le fait que les entreprises associent de plus en plus souvent leurs collaborateurs humains à des agents d’IA qui manquent de capacité de réflexion et de compréhension des risques, ce qui en fait une cible de choix pour les cybercriminels.

L'exemple d'EchoLeak illustre la nouvelle dimension de la menace

L'attaque dite « EchoLeak », de type « Zero-Click Indirect Prompt Injection », illustre parfaitement cette nouvelle menace. Les pirates exploitent le fait que Copilot traite des données en arrière-plan issues d'e-mails, de chats et de documents, sans que l'utilisateur n'ait à intervenir activement. Ils envoient à leur victime un e-mail ou un document contenant des commandes cachées, par exemple du texte invisible, des commentaires HTML ou des métadonnées. Dès que Copilot effectue ses tâches routinières – par exemple, résumer un e-mail contenant une commande cachée –, l’IA lit ces commandes et les exécute sans que la victime ne s’en aperçoive.

Cet exemple le montre clairement : si les entreprises veulent protéger efficacement leur personnel numérique, il ne suffit plus de se contenter de transmettre des connaissances. Les formations doivent contribuer activement à améliorer durablement les comportements réels de l'ensemble du personnel numérique face aux risques.

Une plateforme de sécurité intégrée plutôt que des mesures isolées

Pour protéger efficacement le personnel numérique contre ce type d’attaques et d’autres similaires, il faut plus que des programmes de formation isolés, sporadiques et statiques. Il faut une plateforme de sécurité unifiée pour l’ensemble du personnel numérique, qui, à l’instar des défenseurs, s’appuie sur des agents d’IA. Cette plateforme doit être capable de détecter tous les agents d’IA déployés sur le réseau de l’entreprise, de limiter leurs droits, ainsi que de surveiller, d’analyser et, si nécessaire, d’interrompre leurs opérations et leurs activités en temps réel.

Parallèlement, elle doit enregistrer, analyser et classer en temps réel les comportements à risque de chaque collaborateur sur son lieu de travail, puis proposer une formation adaptée individuellement aux faiblesses de chacun. Ce faisant, la plateforme ne doit pas considérer le comportement à risque humain et la vulnérabilité aux risques des agents d’IA comme deux problèmes distincts. Elle doit les regrouper et les analyser conjointement. Seuls un indicateur de risque intégré et un plan d’intervention intégré peuvent mettre en évidence les domaines dans lesquels les entreprises doivent se concentrer en priorité et intervenir de toute urgence.

La gouvernance des cycles de vie : une nécessité stratégique

Étant donné que les agents d’IA contribuent désormais de manière significative à la conception des processus métier et exécutent des tâches en collaboration avec leurs homologues humains, les entreprises doivent mettre en place une gouvernance opérationnelle ainsi que les outils et processus correspondants. Ceux-ci permettent de protéger les humains et les agents d’IA contre les tentatives de manipulation dans le cadre de leur collaboration. La sensibilisation à la cybersécurité ne suffit plus à elle seule.

Seule une telle approche intégrée permet de mettre en œuvre une transformation durable : il ne s'agit plus simplement de sensibiliser davantage les collaborateurs humains à la sécurité, mais de réduire activement les risques pour l'ensemble du personnel numérique – qu'il s'agisse d'êtres humains ou d'agents d'IA.

Source : www.knowbe4.com

Cet article est paru initialement sur m-q.ch - https://www.m-q.ch/de/digitale-belegschaft-warum-klassische-sicherheitsschulungen-nicht-mehr-genuegen/