Dans cet entretien, Adam Evans (chef de la sécurité de l’information de RBC) et Roger Howard (vice-président directeur, Services bancaires régionaux aux entreprises) discutent des dernières tendances en matière de cybersécurité ainsi que de l’incidence croissante de l’IA, qui présente des risques et des occasions pour les entreprises.
Bien que les outils d’IA puissent détecter des vulnérabilités qui étaient auparavant imperceptibles, M. Evans explique que de nombreuses tactiques demeurent les mêmes, comme les attaques par usurpation d’identité, le vol de justificatifs d’accès et la collecte de renseignements. Aujourd’hui, la différence réside dans la vitesse et l’ampleur avec lesquelles l’IA peut permettre aux malfaiteurs d’attaquer des organisations.
M. Evans conseille aux dirigeants d’entreprise de prendre des mesures proactives et d’élaborer un plan d’intervention, qui devrait décrire les scénarios potentiels, définir les rôles et responsabilités et établir une stratégie de communication. « Il faut continuer de faire des essais et de s’assurer qu’au fil de ces crises, on affine les processus décisionnels », affirme M. Evans. « Chaque incident est unique. Il s’agit avant tout de se réunir, de comprendre comment on va collaborer et de s’assurer que chacun comprend les décisions qu’il devra prendre. »
Pour en savoir plus sur la manière de reconnaître les escroqueries courantes et de renforcer les défenses de votre entreprise, rendez-vous au rbc.com/cyberfute
et téléchargez le livret Sécurité numérique et escroqueries
Roger Howard
00:00:00,100 –> 00:00:44,277
Bonjour ! Et merci d’être avec nous aujourd’hui. Il y a un an, nous avons parlé du contexte de la cybersécurité et de ce à quoi les entreprises devaient réfléchir. Même si un an ne semble pas très long, en cybersécurité, beaucoup de choses ont changé. Les cybermenaces évoluent. Les outils que nous utilisons pour exécuter et protéger nos activités deviennent plus sophistiqués, et l’intelligence artificielle progresse très rapidement. Cela crée des occasions exceptionnelles, mais aussi de nouveaux risques.
L’objectif de la conversation d’aujourd’hui est simple : comprendre ce qui change, ce que cela signifie pour votre entreprise, et comment vous pouvez garder une longueur d’avance. Je suis en compagnie d’Adam Evans, chef de la sécurité de l’information de RBC. Adam, je suis très heureux de vous accueillir à nouveau. Merci d’être là.
Adam Evans
00:00:44,277 –> 00:00:45,178
C’est un plaisir de vous voir.
Roger Howard
00:00:45,178 –> 00:00:54,954
Entrons sans tarder dans le vif du sujet. Première question. Comment le contexte de la cybersécurité a-t-il évolué au cours de la dernière année ? Et à quoi devraient prêter attention les dirigeants d’entreprise ?
Adam Evans
00:00:55,955 –> 00:02:13,133
L’ensemble des menaces a évolué au cours des dernières années. Et ce qui s’est passé l’an dernier, c’est l’industrialisation de ce domaine. Qu’est-ce que j’entends par « industrialisation » ? Les auteurs de menace utilisent plus d’outils d’IA pour l’automatisation. Historiquement, nous savons qu’ils ont développé des plateformes et des services qui démocratisent les comportements criminels.
Mais le véritable changement est l’intégration de l’IA dans la boîte à outils des auteurs de menace. La vitesse et l’échelle constituent les deux résultats importants pour eux, mais cela réduit aussi les obstacles à l’entrée de ce paysage pour les criminels en puissance. La langue n’est plus un problème. Le coût n’est plus un problème. La complexité technique n’est plus un problème. Tout à coup, plus de gens participant à ce type d’activité criminelle. L’IA prend la place de beaucoup d’humains, et plus de capacités autonomes et automatisées sont créées.
Et on va constater de plus en plus d’attaques à l’échelle mondiale, davantage de ciblage des victimes et des filets plus larges lancés. Je pense que la fatigue que tout le monde ressent au sujet des escroqueries continue d’augmenter, à cause de la fréquence des attaques visant des particuliers ou des organisations.
Roger Howard
00:02:13,133 –> 00:02:15,001
Adam, en ce qui concerne l’IA, de toute évidence, elle est devenue plus sophistiquée, mais certaines choses restent les mêmes. Pourriez-vous développer cela pour moi ?
Adam Evans
00:02:21,074 –> 00:03:11,391
Il est certain que l’IA introduit la rapidité et l’étendue. Elle offre aussi un peu de sophistication. Ces capacités d’IA peuvent détecter les vulnérabilités qui étaient auparavant indétectables, par exemple. Mais une grande partie de ce qu’elles font n’a rien de nouveau. Les usurpations d’identité,les attaques, les justificatifs d’accès, vous savez, le vol de justificatifs d’accès, la collecte de renseignements, l’élévation des privilèges. Toutes ces choses qu’elles font depuis toujours, les IA doivent encore être en mesure de les faire. Elles peuvent les faire plus rapidement, et elles les font toujours de la même façon. Chaque fois qu’elles réalisent une attaque, elle est reproductible.
Je pense que c’est ça, le changement. La rapidité, l’étendue et la fréquence de leurs attaques sur les institutions, qu’elles soient de petite, de moyenne ou de grande taille.
Roger Howard
00:03:11,391 –> 00:03:34,881
Chaque fois que vous lisez quelque chose aujourd’hui, dans la société, ça parle d’IA. C’est un sujet d’actualité pour tout le monde. Donc, en ce qui concerne les entreprises, qui sont mises au défi et enthousiastes à l’idée d’adopter de nouveaux outils et processus d’IA et qui cherchent les avantages dont pourrait profiter leurs activités, quels sont les risques les plus importants d’une adoption trop rapide de l’IA par les entreprises ?
Adam Evans
00:03:34,881 –> 00:04:21,894
En général, ce que nous voyons lorsque les entreprises se précipitent pour adopter de nouvelles technologies, c’est qu’elles n’ont pas nécessairement développé assez de capacités pour configurer les environnements de façon sûre et sécurisée. Elles essaient de rendre leurs technologies opérationnelles et commencent à les utiliser. Généralement, nous constatons des accès octroyés à trop de personnes. Nous voyons des systems qui ne sont pas configurés correctement, mais aussi des mesures de securité qui sont ignorées et mal adaptées à cet environnement.
Tout à coup, vous avez placé toute votre technologie dans un environnement, comme l’infonuagique. Et bien sûr, avec la ruée vers l’infonuagique, nous avons vu que ces choses sont devenues un problème. Ces éléments que vous verriez normalement en assurant l’hébergement vous échappent lorsque vous essayez d’utiliser ces nouvelles technologies le plus rapidement possible.
Roger Howard
00:04:21,894 –> 00:04:35,241
C’est très bien dit. D’un autre côté, nous n’avons pas entendu parler de ce que l’IA peut faire pour nous. Alors, comment l’IA peut-elle protéger nos entreprises clientes des menaces de cybersécurité potentielles à l’avenir ?
Adam Evans
00:04:35,275 –> 00:05:40,373
La plupart des entreprises de technologie que les organisations connaissent intègrent l’IA à leurs outils, que ce soit Microsoft, ou Google. Il existe évidemment beaucoup d’acteurs dans le domaine de la technologie. Chacun d’entre eux suit son parcours basé sur l’IA et intègre des capacités d’IA dans sa gamme d’outils. Et si vous profitez de ces plateformes technologiques, vous savez, vous profitez des avantages de la sécurité associés.
Pour RBC, alors que nous continuons notre parcours, en nous assurant de proposer en toute sécurité de nouveaux services à l’entreprise qui intègrent des capacités d’IA, nous voulons nous assurer de le faire de façon responsable. Nous voulons être sûrs qu’ils fonctionnent comme prévu. Beaucoup de diligence et de gouvernance sont nécessaires dans la conception et la mise en œuvre de ces éléments. Étant qu’institution financière très réglementée, nous n’avons pas le luxe de ne pas procéder correctement. Il faut vraiment réfléchir à notre façon de faire. Quel genre de choses voulons-nous offrir à nos clients, et comment pouvons-nous leur proposer ces capacités en toute sécurité ?
Roger Howard
00:05:40,373 –> 00:05:41,574
Adam, à ce sujet, pouvez-vous nous donner des exemples précis de mesures que peuvent prendre les entreprises, petites et grandes ?
Adam Evans
00:05:46,979 –> 00:06:57,550
Pour les petites entreprises, les principaux vecteurs de menaces qui nous préoccupent sont des choses comme les courriels. Il existe beaucoup d’entreprises qui proposent des plateformes assistées par l’IA. Leurs taux de capture sont beaucoup plus intéressants et vous pouvez certainement compter sur elles pour vous fournir ces types de services de sécurité. Pour les entreprises plus grandes, c’est un peu plus complexe, mais je dirais qu’il faut aussi se pencher sur les aspects où vous voyez généralement des auteurs de menace vous cibler. S’il s’agit des courriels, commencez par vous intéresser aux technologies qui vous aident au sujet de ce problème.
Cela devient aussi un problème de données à mesure que nous sommes confrontés à des menaces et à des attaques plus sophistiquées. Les grandes entreprises peuvent avoir besoin d’accéder à ces données et d’utiliser l’IA pour commencer à avoir recours à ces éléments en cas de signes avant-coureurs d’attaques. Les petites entreprises et les grandes entreprises, pour les vecteurs de menaces, comme les courriels ou la navigation Web, peuvent certainement utiliser des plateformes, facilement accessibles et assistées par l’IA. Pour les grandes institutions, il faut peut-être avoir des services un peu plus personnalisés, adaptés à votre entreprise, et utiliser l’IA pour détecter rapidement
les signes avant-coureurs d’une attaque.
Roger Howard
00:06:57,917 –> 00:07:12,632
Nos clients qui regardent cette émission font, pour la plupart, partie de la haute direction. Beaucoup de propriétaires d’entreprise sont ce que vous appelez des cadres supérieurs. Que devraient faire les cadres supérieurs avant qu’une crise ne survienne ?
Adam Evans
00:07:12,698 –> 00:09:57,029
Tout d’abord, il faut avoir un plan et pouvoir préparer vos organisations. Ce principe n’est pas propre à l’IA. Mais je pense que l’IA présentera aux entreprises une rapidité et une étendue lorsqu’elles seront confrontées à un problème qu’elles n’auront jamais géré auparavant. Vous devez donc avoir un plan.
S’il s’agit de l’IA, au moment de sa mise en œuvre, qu’est-ce que cela touche ? Quelles sont les données touchées ? Quels sont les comptes ou les identités utilisés ? Comprenez-vous les bons et les mauvais points ? Et avez-vous un plan pour réagir ? S’il ne s’agit pas de l’IA, mais uniquement des auteurs de menace et des technologies, c’est le même plan. Mais il faut peut-être avoir des plans différents pour pouvoir interrompre les choses très rapidement dans votre environnement. En effet, l’IA peut évoluer vraiment vite. C’est automatisé. Il n’y a pas d’humains impliqués. Il n’y a pas de friction réelle. Lorsqu’une entreprise est compromise, il est possible de la parcourir assez rapidement grâce à une boîte à outils fondée sur l’IA.
Donc, quand vous examinez votre environnement, vous voulez vous assurer de comprendre les choses que vous tentez de protéger. Quelles sont les choses les plus risquées ? Et si vous en perdez le contrôle, quelle en serait l’incidence ? Quelle en serait la véritable incidence sur votre entreprise ? Il peut s’agir de votre propriété intellectuelle. Il peut s’agir de vos plateformes financières, ou autres. Ensuite, vous devez pouvoir garantir que la sécurité dans laquelle vous investissez protège ces actifs informationnels les plus sensibles.
Et si vous faites partie de la haute direction et que vous demandez à vos technologues, comprennent-ils où se trouvent ces systèmes ? Comment les protégeons-nous ? Quels types de contrôles ou de capacités avons-nous déployés pour bien les protéger et assurer leur sécurité, sans les exposer à des risques ?
Alors, je dirais qu’il faut communiquer. L’une des choses que nous faisons vraiment bien dans notre organisation, quand nous nous rassemblons en temps de crise, c’est de savoir exactement qui doit être présent aux réunions chaque fois qu’il y a une crise. Chaque personne sait exactement le rôle qu’elle joue. Donc, la haute direction doit identifier les membres de votre entreprise qui doivent faire partie de la gestion de crise. Donnez-leur les moyens de comprendre le rôle qu’ils jouent et les decisions qu’ils devront prendre.
Ensuite, il faut vous entraîner. Vous devez continuer à faire des essais et à vous assurer que, pendant ces crises, vous perfectionnez sans cesse vos capacités et votre prise de décision. Et comme pour toute chose, c’est en forgeant qu’on devient forgeron. Vous vous améliorez. Tous les incidents que j’ai connus dans ma carrière sont uniques. Ils sont différents chaque fois. Donc, l’entraînement repose sur la mobilisation. Ça ne repose pas sur le fait d’arrêter une crise grâce à une série de chiffres. L’idée est de vous rassembler pour comprendre comment vous allez travailler ensemble et vous assurer que les gens connaissent les decisions qu’ils vont devoir faire.
Roger Howard
00:09:57,029 –> 00:10:17,516
Dans le domaine de la banque, nous faisons entre autres des exercices de simulation. Nous anticipons une crise. Comment pourrions-nous y répondre lorsque nous ajoutons de la complexité au fur et à mesure de cette crise ? C’est un excellent exemple, Adam, de ce que nos propriétaires d’entreprise devraient prendre en consideration à l’avance dans leur préparation, au cas où quelque chose arriverait.
Adam Evans
00:10:15,147 –> 00:11:13,339
Vous avez entièrement raison. Nous avons vu cela très bien effectué. Nous avons vu cela très mal effectué. Le fait d’avoir un plan et de le mettre en pratique vous permettra, lorsqu’une crise surviendra, – la question n’est pas de savoir ‘si’ mais ‘quand’ cela arrivera – de savoir par où commencer et qui doit vous accompagner dans ce parcours. Ces situations peuvent durer des jours, des semaines, des mois, et vous devez être précis sur ce plan correctif. Les gens qui se débrouillent à la volée ratent des éléments clés par inadvertance.
Lorsque vous êtes dans un moment de crise, votre façon de réagir à la situation peut renforcer la confiance auprès de vos clients. Les gens qui le font bien favorisent plus de confiance. Ceux qui ne le font pas bien minent cette confiance. Vous devez donc avoir un plan et la capacité de répondre à la crise de manière organisée.
Roger Howard
00:11:13,339 –> 00:11:24,383
Maintenant, dans un scénario concret, nous avons un client qui a été victime d’une attaque. Il a découvert une brèche de sécurité. Parlez-moi des mesures qu’il devrait prendre dans les 24 heures.
Adam Evans
00:11:24,717 –> 00:13:06,786
Tout d’abord, vous prenez votre plan et vous rassemblez vos employés. La question suivante est : aurez-vous besoin d’aide supplémentaire ? Avez-vous besoin d’un accompagnateur spécialisé dans le cyberespace ? Avez-vous besoin d’un fournisseur de services d’intervention en cas de violation ? Cela devrait également faire partie de votre plan. Donc, en cas d’attaque par rançongiciel, il faut que quelqu’un intervienne et nous aide à y faire face. Lorsque votre équipe est rassemblée et que vous avez un accompagnateur qui peut vous aider à gérer la situation, vous devez mettre le plan en œuvre. Devez-vous vous déconnecter d’Internet ? Avez-vous besoin d’un cabinet de juricomptabilité pour constater ce qui a été touché dans votre environnement ? Devez-vous aviser une autorité réglementaire ? Devez-vous aviser vos clients ? Il est plus que probable que, si vous avez une interruption de vos activités, vous allez commencer à recevoir des appels entrants des clients touchés. Avez-vous un scénario ? Saviez-vous ce que vous voulez leur dire ?
Toutes ces choses ont lieu au cours des 24 premières heures, mais il s’agit d’une analyse FFOM. Ce qui s’est produit, ce qui a été touché, quels sont les symptômes que nous observons. Ensuite, commencez à passer en revue de manière organisée les différentes plateformes technologiques de votre organisation. Commencez vos enquêtes, faites appel à des tiers s’il le faut, car vous avez encore une entreprise à gérer. Beaucoup de gens oublient que je dois diriger une banque. Même en temps de crise, notre banque doit continuer de fonctionner. Les équipes, que vous connaissez et qui sécurisent la banque chaque jour, ont des fonctions quotidiennes et doivent continuer d’accomplir leurs taches pendant que nous réagissons à une situation de crise. Les organisations sont toutes pareilles. Vous devez continuer à gérer votre entreprise, mais vous devez aussi vous assurer de pouvoir répondre à l’événement. Vous devez vous assurer de disposer des bonnes ressources aux bons endroits.
Roger Howard
00:13:06,886 –> 00:13:56,802
Excellent conseil. Adam, je tiens à vous remercier encore une fois d’avoir été avec nous. Vous savez, avant tout, nous pouvons tous prendre certaines mesures.
Et s’il y a un point à retenir de cette conversation, c’est que les menaces de cybersécurité évoluent, donc il faut que nos méthodes de protection évoluent aussi. Le fait de rester informé, préparé et proactif est essentiel. Peu importe la taille de votre entreprise, je vous invite à consulter le guide Sécurité numérique et escroqueries de RBC pour obtenir des conseils et des ressources pratiques.
Pour connaître les dernières nouvelles en matière de cybersécurité, ajoutez notre site de cybersécurité à vos favoris en suivant le lien ci-dessous. En effet, la protection de votre entreprise n’est pas un exercice ponctuel. Il faut rester vigilant, poser les bonnes questions et intégrer la cybersécurité à votre manière de mener vos affaires au quotidien.
Merci encore d’avoir été avec nous. Au plaisir de vous retrouver au prochain épisode.
Le présent article vise à offrir des renseignements généraux seulement et n’a pas pour objet de fournir des conseils juridiques ou financiers, ni d’autres conseils professionnels. Veuillez consulter un conseiller professionnel en ce qui concerne votre situation particulière. Les renseignements présentés sont réputés être factuels et à jour, mais nous ne garantissons pas leur exactitude et ils ne doivent pas être considérés comme une analyse exhaustive des sujets abordés. Les opinions exprimées reflètent le jugement des auteurs à la date de publication et peuvent changer. La Banque Royale du Canada et ses entités ne font pas la promotion, ni explicitement ni implicitement, des conseils, des avis, des renseignements, des produits ou des services de tiers.
