Back to the Basics – Navigating the Evolving Cybersecurity Landscape with Some Tried and Test Approaches

Cedric Brossard, directeur de la pratique cybersécurité de PwC à Montréal et ancien RSSI chez Transat et Fiera Capital, et Olivier Gaston, directeur principal chez PwC, soutiennent que sécuriser chaque nouvelle vague technologique, de la virtualisation au SaaS et à l'infonuagique, jusqu'à l'IA générative aujourd'hui, repose sur trois piliers familiers : une sensibilisation à l'échelle de l'organisation, un modèle de risque intégré qui chiffre l'impact financier pour alimenter les décisions d'appétit au risque du conseil, et un modèle d'adoption délibéré, les équipes de sécurité ayant historiquement dû réagir dans l'urgence, comme avec le virus ILOVEYOU, plutôt que de planifier à l'avance. Ils appliquent ce cadre à l'IA générative comme étude de cas : traiter tout outil d'IA générative comme une application exigeant une protection des données, puisque les modèles SaaS relèvent du shadow IT et que chaque requête envoyée constitue une exfiltration potentielle; étendre les contrôles DLP au texte envoyé aux outils d'IA, comme on surveille déjà les dépôts de code; et faire passer le code généré par IA par le même pipeline de sécurité que le code écrit par des humains. Ils citent le NIST AI Risk Management Framework comme référence de gouvernance précoce et notent que la réglementation accuse un retard sur l'autorégulation des fournisseurs, motivée par le risque réputationnel.