Menaces de l'IA et amendement 13 : les clés de voûte de la cybersécurité

Le secteur de la sécurité de l'information et de la protection de la vie privée subit des bouleversements spectaculaires ces dernières années. La combinaison d'avancées technologiques fondées sur l'intelligence artificielle et de changements réglementaires sans précédent, au premier rang desquels l'entrée en vigueur de l'amendement 13 de la loi sur la protection de la vie privée, crée une réalité nouvelle et complexe pour les dirigeants de tous les secteurs. S'y ajoute le développement fulgurant de l'intelligence artificielle, qui pose des défis redimensionnés, notamment la réduction spectaculaire des délais d'action des attaquants.

« Nous constatons au cours du dernier trimestre que l'intelligence artificielle est instrumentalisée comme vecteur d'attaque. Si par le passé nous disposions d'un laps de temps entre la publication d'une mise à jour de sécurité et son installation au sein d'une organisation, l'IA a compressé ces délais, permettant aux attaquants d'exploiter les vulnérabilités à une vitesse record », explique Me Or Lavi (50 ans), PDГ de Primesec, l'un des cabinets de conseil de premier plan en Israël spécialisé dans la sécurité de l'information, la cybersécurité, les technologies de l'information et la protection de la vie privée.

À quel point les attaques contre les clients sont-elles fréquentes ? Le PDG de Primesec explique que les gestionnaires et les employés ayant accès aux données utilisent des outils d'IA pour le traitement des données, tandis que les développeurs rédigent du code à l'aide d'IA sans qu'aucun contrôle ne soit effectué. En l'absence de politiques ou d'outils de surveillance, des données d'entreprise sensibles se retrouvent divulguées sur des moteurs de recherche et des outils cloud, constituant un défi actuel considérable. « Grâce à nos actions proactives, ces attaques sont largement évitées », souligne-t-il. « Mais récemment encore, nous avons géré un incident où des attaquants ont exploité une faille de WordPress, le CMS du site web d'un client, pour dérober des clés d'authentification publiques. Dans ce cas, l'impact est resté minime, mais dans d'autres situations, cela pourrait mener à de l'espionnage industriel, à des vols de données ou à des pertes financières. »

Gérer l'IA comme un service technologique essentiel

Comment y faire face ? « Tout d'abord, nous cessons de considérer l'IA comme un simple outil que les employés ont commencé à utiliser de leur propre chef », affirme M. Lavi. « Du point de vue de la direction, il doit s'agir d'un service technologique géré à l'instar de tout autre système critique. La gestion des risques exige de cartographier les outils d'IA dont l'organisation a réellement besoin, de définir des politiques, d'aider au choix des outils et de fournir des mécanismes de mise en conformité. Cela inclut le blocage des accès non autorisés, des conseils sur l'octroi de licences appropriées pour que les données restent au sein de l'organisation, ainsi que la gestion des jetons (tokens) aux niveaux informatique et budgétaire. Parfois, une entreprise dépense des milliers de dollars en licences non planifiées en raison de permissions non contrôlées. »

Fondée par M. Lavi en 2010, Primesec emploie actuellement environ 60 salariés et fournit des services à plus de 400 clients en Israël et à l'étranger. Les services principaux de l'entreprise se concentrent sur la sécurité de l'information et la cybersécurité, aux côtés de la protection de la vie privée, du conseil en continuité d'activité et du conseil en IA.

« L'entreprise est divisée en deux départements principaux », indique M. Lavi. « L'un dessert nos clients réguliers, tandis que le second propose des services axés sur des projets ou des prestations complémentaires pour des entités dotées en interne d'un responsable de la sécurité des systèmes d'information (RSSI) ou d'un délégué à la protection des données, mais nécessitant un appui professionnel ponctuel. Cela peut inclure des audits externes, du conseil ciblé, l'évaluation de fournisseurs tiers ou l'accompagnement d'organisations dans leurs processus de préparation, de certification et de conformité aux normes internationales pertinentes, notamment les normes ISO en matière de sécurité de l'information et de confidentialité. »

Au cours de l'année écoulée, M. Lavi a mené une transformation managériale majeure, faisant passer l'entreprise d'un modèle de simple conseil professionnel à une structure de gestion formalisée des clients et des projets. « Grâce à cette transition, nous avons considérablement amélioré nos délais de réponse, la variété et la qualité de nos livrables, ainsi que notre niveau de service client. Par conséquent, nous avons fait croître l'entreprise de 20 % l'année dernière, tant en termes d'effectifs que de portefeuille clients. »

Naviguer dans l'amendement 13 et l'intégration juridique

Un autre domaine essentiel où Primesec intervient est l'accompagnement des organisations en matière de conformité à l'amendement 13 de la loi sur la protection de la vie privée. Approuvé par la Knesset en août 2024, cet amendement constitue la réforme la plus vaste et la plus significative du droit de la vie privée en Israël depuis des décennies. Son objectif central est d'adapter la législation israélienne obsolète (datant de 1981) à l'ère numérique, aux cybermenaces modernes et aux normes internationales, tout en imposant des sanctions financières aux entreprises non conformes.

Ce tournant juridique engendre également des défis opérationnels, en particulier lors d'incidents nécessitant une réaction rapide. « L'un des volets de l'amendement 13 concerne les amendes infligées en cas de non-respect des obligations de notification », explique M. Lavi. « Par exemple, il existe une obligation de signalement immédiat d'un incident de sécurité au sein des organisations détenant les données de plus de 100 000 clients. Cela exige une identification rapide de l'incident, la rédaction des communications et la gestion des relations avec l'Autorité de protection de la vie privée, ainsi que parfois avec d'autres régulateurs tels que l'Autorité des marchés financiers, la Banque d'Israël ou la Direction nationale de la cybersécurité. Ici, notre bagage juridique et notre expérience cumulée constituent un atout majeur pour gérer correctement ces crises. Nous avons traité au moins 10 à 12 cas de ce type au cours de l'année écoulée. »

Environ un quart des collaborateurs de l'entreprise sont des juristes ou des avocats de formation. M. Lavi lui-même, titulaire d'une licence en droit et en informatique ainsi que d'un master en droit spécialisé en droit informatique, considère cette synergie comme indispensable. « Avant même l'amendement 13, ce domaine comportait de multiples dimensions juridiques et réglementaires, qu'il s'agisse des directives de la Banque d'Israël, de l'Autorité des marchés financiers ou de l'Autorité des valeurs mobilières. Une compréhension juridique est donc requise », souligne-t-il. « Il y a des contrats dans lesquels il convient d'intégrer des clauses de protection des données et de cybersécurité, des conditions d'utilisation de sites web et des politiques de confidentialité. Ce bagage juridique est fondamental pour appréhender les sujets et offrir un service de pointe. Peu d'avocats maîtrisent véritablement la technologie, et c'est un avantage unique que nous offrons à nos clients. »

Cette acuité juridique se manifeste également dans l'accompagnement de litiges complexes et la production d'avis d'experts destinés aux tribunaux. La demande colossale d'expertise professionnelle au carrefour du droit et de la technologie a conduit Primesec à lancer un cycle de formation certifiant destiné à former des délégués à la protection des données (DPO), ouvert au public et conçu pour les professionnels souhaitant acquérir des compétences de pointe dans un secteur en pleine expansion. Une session s'est déroulée au dernier trimestre et une autre s'ouvrira immédiatement après les fêtes.

L'avenir de la défense numérique : au-delà de la sécurité périmétrique

À l'horizon d'une décennie, M. Lavi prédit un changement conceptuel profond dans la manière dont les organisations protègeront leurs actifs numériques. « Les menaces évolueront toujours de concert avec le progrès technologique », précise-t-il. « Le principal défi pour les consultants et experts de notre domaine consistera à identifier les technologies émergentes et à concevoir en amont les parades adéquates. Néanmoins, au-delà des solutions techniques, le plus grand défi résidera dans la sensibilisation accrue des employés et des directions aux risques réels afin qu'ils allouent les ressources nécessaires. La réponse ne réside pas uniquement dans des outils technologiques, mais principalement dans les consignes, procédures et contrôles imposés aux collaborateurs et aux prestataires externes. »

Cette évolution découle du niveau élevé de décentralisation des organisations modernes. « Nous traversons actuellement une transition très accélérée vers des services s'appuyant sur de multiples fournisseurs cloud externes, au détriment des centres de données locaux », observe-t-il. « Dans un tel contexte, le défi le plus crucial des années à venir sera de cartographier et d'identifier les flux de données au sein et en dehors de l'organisation, entre les services cloud et les outils d'IA, et d'appliquer des contrôles efficaces tout au long du transit et du stockage des données. La défense ne consistera plus à protéger un réseau physique fermé, mais à accompagner la donnée partout où elle se trouve. C'est le défi central qui nous attend. »

« L'objectif n'est pas seulement d'aider les organisations à parer la prochaine menace, mais de les aider à s'y préparer avant même qu'elle ne survienne », conclut M. Lavi. C'est précisément autour de cette problématique que Primesec organisera en octobre sa conférence annuelle clients, NEXT-GEN 2026, réunissant dirigeants et experts pour débattre des défis qui redéfinissent la cybersécurité et la vie privée, de l'IA aux évolutions réglementaires et à la préparation organisationnelle.