Instaurer la confiance à l'ère de la désinformation et des informations nuisibles : défis et solutions

De nombreuses organisations constatent que leurs employés sont déjà trompés. Ce phénomène risque de s'étendre également à leurs clients, investisseurs et membres du conseil d'administration.

Depuis des années, les avertissements se concentrent sur l'impact des deepfakes, tels que les faux PDG lors d'appels vidéo, les voix clonées autorisant des paiements et les courriels frauduleux.

Ces tactiques ne sont pas nouvelles en soi, mais ces dernières années, l'intelligence artificielle les a rendues moins coûteuses à produire, plus difficiles à détecter et beaucoup plus convaincantes dans les flux de travail commerciaux normaux.

Cette tendance signifie que le principe de confiance zéro est devenu aussi pertinent pour le traitement de l'information qu'il l'était pour l'accès.

Dans le domaine de la cybersécurité , le principe Zero Trust repose sur une hypothèse simple : aucun utilisateur, appareil, application ou requête ne doit être considéré comme fiable par défaut.

À l’ère de la désinformation générée par l’IA, les entreprises doivent appliquer la même approche à l’information qui circule au sein de leurs organisations.

La nouvelle crise de confiance

Les employés, les clients, les investisseurs et les partenaires prennent leurs décisions en fonction de ce qu'ils voient, lisent et entendent. Si ces informations sont fausses, manipulées ou sorties de leur contexte, les conséquences peuvent rapidement s'aggraver, passant de la simple confusion à un préjudice commercial. C'est pourquoi la désinformation et les informations malveillantes doivent être considérées comme des risques pour l'entreprise.

La désinformation – des contenus mensongers diffusés involontairement – ​​a toujours constitué un problème. La désinformation, spécifiquement conçue pour tromper, est devenue plus facile à produire à grande échelle que jamais auparavant. La malinformation – des informations vraies, mais souvent délibérément sorties de leur contexte et utilisées comme une arme – est peut-être la plus insidieuse des trois. Un rival, un groupe criminel ou une campagne active n'a plus besoin d'infiltrer un réseau pour causer des dommages importants. Ils peuvent influencer les personnes associées à une organisation ou concernées par celle-ci simplement en façonnant leur perception et leurs croyances.

Ce qui rend la situation particulièrement difficile pour les entreprises, c'est qu'elle fait écho à une difficulté que rencontrent déjà les individus. Dans un environnement saturé de contenus générés par l'IA, les réflexes que les gens doivent adopter pour se protéger — réfléchir avant d'interagir, s'interroger sur la source, vérifier l'information avant d'agir — sont les mêmes réflexes que les organisations doivent inculquer à leurs équipes.

En substance, l'instinct de confiance est devenu une faiblesse. Pour y remédier, il faut une réponse structurelle qui dépasse le cadre d'une simple campagne de sensibilisation.

L'importance de la confiance vérifiée

C’est là que le principe de confiance zéro devient une stratégie. Traditionnellement, les organisations conçoivent la confiance zéro comme une simple réduction des privilèges, garantissant que seuls les utilisateurs autorisés aient accès aux applications appropriées. Mais dans un environnement informationnel piloté par l’IA, ce principe doit évoluer. Face à la montée en puissance de menaces telles que les programmes d’IA malveillants , les entreprises ne peuvent plus se contenter d’identifier le demandeur d’accès. Elles doivent également examiner le type d’informations utilisées, les actions entreprises et s’assurer de la fiabilité des intentions qui les sous-tendent.

L'étape suivante consiste à aller au-delà de la vérification et de l'authentification, en se posant des questions telles que : « Cette information est-elle fiable ? », « Cette image est-elle réelle ou générée par IA ? » et « Ce contenu a-t-il été modifié ? ». Le principe de confiance zéro offre aux entreprises un cadre pour répondre à ces questions. Il les oblige à vérifier avant d'agir, à limiter leur exposition autant que possible et à réduire le risque de diffusion incontrôlée d'informations fausses, manipulées ou hors contexte au sein de l'entreprise.

Des organismes de normalisation comme la C2PA (Alliance pour l'origine et la confiance dans le contenu) indiquent la direction que prend cette évolution : un avenir où l'origine et l'intégrité du contenu seront intrinsèquement liées au contenu numérique lui-même, à l'instar du cadenas qui sécurise une connexion dans un navigateur. Concrètement, les entreprises n'auront plus besoin de vérifier la fiabilité ; celle-ci sera inhérente à l'information et transmise avec elle, l'origine du contenu alimentant le processus de vérification. Ainsi, chaque élément de contenu devient un signal dans la décision de confiance continue.

Instaurer la confiance à l'ère des agents intelligents

Avec l'arrivée des agents d'IA sur le lieu de travail, la nécessité de faire confiance aux intentions s'est accentuée. Ces agents fonctionneront de plus en plus comme une personne à part entière, travaillant à nos côtés et imitant nos comportements : lecture de documents, interprétation de données, prise de décision, etc. La différence réside toutefois dans le fait que ces identités non humaines agissent à la vitesse d'une machine, une vitesse que les processus de vérification humains ne peuvent égaler.

Cela signifie que les agents d'IA doivent être régis dès leur conception par un modèle de confiance zéro. Un agent ne doit pas être considéré comme fiable simplement parce qu'il fait partie de l'organisation, qu'il a reçu l'approbation d'un utilisateur ou qu'il est connecté aux systèmes de l'entreprise. Son identité, ses autorisations, son comportement et ses résultats doivent être vérifiés en permanence. De même, les agents doivent être régis par les principes du moindre privilège, du moindre accès à l'information et du moindre fonctionnement, en ne leur accordant que les accès, les données et les capacités minimales nécessaires à une tâche spécifique.

Toutefois, ces agents posent un problème de confiance que la seule gestion des identités ne peut résoudre. Les entreprises devront savoir si elles interagissent avec un humain ou une machine, si l'agent agit de manière responsable et si ses actions reflètent les valeurs et les limites de l'organisation. Concrètement, les entreprises devront adopter une charte opérationnelle permettant d'évaluer systématiquement le comportement des agents.

À l'ère de l'intelligence artificielle, les organisations doivent examiner en permanence et en temps réel les informations, les contenus, les intentions, les comportements et les actions, alors que la vérification d'identité n'intervient généralement qu'au point d'entrée. Toutefois, compte tenu de l'ampleur de la tâche, l'IA sera indispensable pour l'audit, la détection des irrégularités, la gouvernance et le maintien de l'intégrité de la chaîne de confiance.

L'ingénierie de la confiance dans les affaires

Les organisations qui réussiront seront celles qui considèrent la confiance comme un élément à construire et à développer, plutôt que comme un acquis. La désinformation, la mésinformation et les informations malveillantes posent des défis en matière de sécurité, de résilience et de leadership, et l'intelligence artificielle rend leur ignorance encore plus difficile.

À mesure que la technologie façonne la création, le partage et le traitement de l'information, les entreprises doivent appliquer à l'authenticité la même rigueur qu'à l'accessibilité. Cela implique de vérifier le contenu, d'interroger les intentions et de limiter les capacités des systèmes d'IA à ce qui est strictement nécessaire.

La confiance n'est plus acquise. Dans le monde du travail actuel, elle doit être un processus conscient et continu, élaboré à la vitesse de l'éclair, et portant sur l'ensemble des informations, intentions, comportements et actions. Heureusement, le modèle « Zéro Confiance » offre déjà ce cadre. Ce qui doit évoluer, en revanche, c'est la manière dont les organisations mettent en œuvre ce modèle et étendent son champ d'application à l'ensemble des informations, intentions, comportements et actions.

Nous avons examiné, évalué et classé les meilleures suites de sécurité Internet.