Les mesures essentielles

Les avancées dans le domaine des technologies numériques font que de nombreuses pratiques frauduleuses qui étaient auparavant effectuées en face à face ou par courrier ont désormais lieu par e-mail, sur des sites de hameçonnage ou dans le cadre de cyberattaques ciblées. Le progrès technologique et les abus liés aux nouvelles avancées vont de pair. Le développement des outils d’IA criminelle et la spécialisation grandissante des actes délictueux va forcément augmenter la fréquence et le raffinement des cyberattaques. Comment donc les entreprises et les individus peuvent-ils s’en prémunir ? Il est tout d’abord essentiel de se rappeler de l’importance des mesures basiques de précaution que nous connaissons déjà. En observant celles qui ont été mises en place par les gouvernements du Japon, des États-Unis et d’autres pays, on constate que les contre-mesures peuvent être réparties en 8 grandes catégories.

Huit mesures de défenses contre les abus de l’IA générative

1/ Identifiants et mots de passe Utiliser des identifiants, des mots de passe et des protocoles d’identification sûrs, et les changer régulièrement.
2/ Gérer les vulnérabilités Prédire, identifier et constamment gérer les vulnérabilités du système.
3/ Enregistrements et surveillance Identifier les intrusions et les accès non autorisés rapidement en effectuant une surveillance constante.
4/ Sauvegardes Régulièrement effectuer des copies de sauvegarde afin que le système puisse être rapidement restauré et redémarré en cas de cyberattaque.
5/ Gestion des données Augmenter les défenses des données de l’organisation ayant été identifiées comme cibles potentielles d’une attaque.
6/ Antivirus Installer des logiciels et des systèmes antivirus et les garder constamment à jour.
7/ Répondre aux incidents Se préparer aux cyberattaques en établissant des procédures de réponse adéquates ainsi que des exercices de simulation.
8/ Chiffrement Chiffrer les données afin d’éviter qu’elles puissent être affectées.

Source : Institut DTFA

La bonne gestion des informations d’identifications et des mots de passe, des copies de sauvegarde ainsi que des logiciels antivirus constituent les pratiques de base à appliquer pour une utilisation sûre d’internet et de l’IA générative par les individus. Les entreprises doivent pour leur part mettre en place et ajuster régulièrement leur politique de sécurité informatique. En particulier, la catégorie 7 (« répondre aux incidents ») nécessite que les entreprises fassent de leur mieux pour anticiper une variété de cyberattaques, parfois accompagnées par d’autres phénomènes ou des crises simultanées, qu’elles débattent des contre-mesures possibles, et planifient des exercices de simulation. La nécessité de réponses à l’échelle de l’entreprise pourrait bien devenir problématique à l’avenir si l’on n’y prend garde.

Bien évidemment, ces mesures seules ne sont pas suffisantes pour établir une défense à toute épreuve. Il est évident que les entreprises doivent non seulement mettre en œuvre des solutions techniques et opérationnelles, mais aussi faire de leurs réponses aux cyberattaques et à la criminalité en ligne une partie intégrante des stratégies de gestion et de gouvernance de leurs organisations. Les grandes entreprises ont de plus en plus tendance à introduire des lignes directrices et des règles éthiques qui se concentrent sur l’utilisation de l’IA. Compte tenu du fait qu’une utilisation plus massive de ces outils entraînera nécessairement un plus grand nombre d’abus, je pense que les organisations devront les mettre à jour progressivement.

Je voudrais enfin attirer l’attention sur le fait que les règles et les réglementations juridiques visant à promouvoir la transparence comportent un risque inhérent d’exacerber le développement et le progrès de l’IA à des fins frauduleuses et criminelles. Par exemple, le cadre juridique que l’Union européenne est en train de mettre en œuvre risque d’obliger les fournisseurs de systèmes d’IA à dévoiler leurs données et leurs algorithmes. Il est certes important de soutenir cette publication afin de garantir l’égalité des chances et la responsabilisation des entreprises, mais nous ne pouvons pas ignorer le risque que, lorsque les informations sur ces technologies de pointe seront rendues publiques, elles puissent être étudiées par des pirates informatiques, augmentant ainsi la capacité des cybercriminels à développer leurs propres outils. Il existe un véritable risque que l’entrée de ces données dans le domaine public entraîne avec elle des progrès considérables pour l’IA criminelle et les technologies de jailbreaking.

Au Japon, il est urgent de mettre en place des systèmes juridiques détaillés et des lignes directrices pour les entreprises afin de répondre à la popularité et à la sophistication croissantes des outils d’IA générative. Mais lorsqu’il s’agit d’établir des règles (au sens large du terme), comment réaliser la tâche délicate de faire preuve de plus de transparence tout en empêchant les abus ? Il est grand temps de débattre sur cette question.

(Photo de titre : © Irissca - stock.adobe.com)