8 actus IT chaudes de la semaine

Ce qui me frappe cette semaine, ce n'est pas la sévérité individuelle des trois failles — un 10/10, ça arrive presque un mois sur deux désormais — c'est qu'aucune des trois ne touche un système où un humain se connecte. ISE décide qui rejoint le réseau, vCenter décide qui contrôle l'hyperviseur et où sont stockés les secrets d'authentification unique, WSO2 décide quelle requête entre deux applications a le droit de passer. En vingt ans de missions, j'ai vu des budgets entiers consacrés à durcir l'authentification humaine — MFA, SSO, revue d'accès trimestrielle — et presque jamais le même effort sur les systèmes qui authentifient d'autres systèmes, parce que personne ne « se connecte » dessus au sens classique. Résultat : ce sont précisément ces plateformes-là, parce qu'elles échappent à la routine d'audit conçue pour des utilisateurs, qui donnent le plus de portée d'un coup à un attaquant. La question que je pose désormais en comité n'est plus seulement « qui a accès à quoi », c'est « quels systèmes ont le droit de faire confiance à d'autres systèmes sans qu'un humain n'intervienne jamais dans la boucle — et depuis quand n'a-t-on pas revu cette liste ».

Sur l'IA, le rapprochement de la semaine se joue à deux échelles du même problème. Chez EY, 98 % des dirigeants IA interrogés déclarent avoir une politique de gouvernance formelle — mais 47 % admettent l'avoir déjà mise de côté pour livrer plus vite un déploiement jugé urgent : la politique existe, l'urgence gagne. Au niveau des États, le Canada et l'Allemagne viennent de financer à hauteur de 300 millions de dollars canadiens un laboratoire indépendant, LawZero, pour vérifier la sécurité des systèmes d'IA autrement qu'en croyant l'éditeur sur parole. J'ai déjà vu cette bascule ailleurs : la certification électrique ou les tests d'interopérabilité réseau n'ont cessé d'être une simple déclaration du fabricant que le jour où les enjeux ont dépassé ce que l'auto-certification pouvait garantir sérieusement. On y est avec l'IA, et le signal n'est pas la régulation qu'on annonce mais l'argent public qu'on met sur une capacité de vérification qui ne dépend pas du fournisseur. Ce que ça change concrètement pour un comité de direction : arrêter de se satisfaire d'une politique de gouvernance IA signée par l'éditeur ou même par sa propre DSI, et exiger la même chose qu'un audit de sécurité tiers — une preuve produite par quelqu'un qui n'a aucun intérêt à ce que le déploiement passe.