De l'humain à l'hybride : le rapport 2025 d'Exabeam sur les risques internes liés à l'IA

Le risque est retourné vers l’intérieur – et cela change l’architecture

Si la principale menace est interne, « plus de pare-feu » n'est pas la solution. Il s'agit d'identité, d'accès et de comportement. Pensez à la vérification continue des pour qui fait est ce que nous faisons(la prise en charge qui Données, et si cette tendance est normale. Au niveau régional, la plupart des marchés considèrent désormais les initiés comme leur principale préoccupation ; la principale exception est la région APJ (Asie-Pacifique et Japon), où beaucoup craignent encore davantage les attaques externes. Pour les dirigeants, la traduction pratique consiste à réorienter les dépenses vers :

• Contrôles d'identité renforcés (MFA qui perdure, accès basé sur les risques, privilège minimum réellement appliqué).
• Surveillance des données sur le SaaS, les points de terminaison, le stockage et la messagerie électronique afin que les mouvements anormaux soient visibles.
• Analyse comportementale qui apprend les modèles normaux par personne, équipe et système, et alerte en cas d'écart significatif.

Conséquences organisationnelles : les responsables de la sécurité et des données doivent collaborer. Si vous ne pouvez pas répondre à la question « Qui a touché quelles données sensibles cette semaine ? » et était-ce habituel pour eux ?, vous ignorez le processus de compromission moderne (compte compromis → stockage discret des données → exfiltration rapide).

L'IA a remodelé la définition d'« initié »

IA de l'Ombre est le nouveau système informatique fantôme. Le personnel insère du code, des contrats, des listes de clients ou des messages contenant des informations sensibles dans des modèles non approuvés. C'est pourquoi 76 % Le chiffre compte : cela signifie qu'il ne s'agit pas d'un problème de niche. Traitez GenAI comme accès privilégié— approuver des outils spécifiques, consigner leur utilisation lorsque cela est légal et empêcher toute intrusion de catégories de données protégées (informations personnelles identifiables réglementées, secrets commerciaux) dans des modèles tiers. Associer politique et habilitation : offrir aux utilisateurs des options d'IA approuvées afin qu'ils ne se sentent pas contraints de se comporter de manière frauduleuse.

Il y a aussi un nouvel acteur à l'intérieur : Agents d'IALes équipes connectent les agents aux workflows avec de véritables identifiants et clés API. Ce sont des « initiés non humains ». Ils ne se fatiguent pas et se plaignent rarement, jusqu'à ce qu'ils s'égarent. Cela nécessite deux contrôles que les dirigeants devraient connaître :

• Domaine: chaque agent a besoin d'un propriétaire, d'un travail clair et d'autorisations minimales.
• Observabilité: chaque agent mérite la même piste d'audit et la même détection d'anomalie qu'un humain.

UEBA (Analyse du comportement des utilisateurs et des entités) est une détection qui se concentre sur humain, et pas seulement les signatures, et les cadres doivent se familiariser avec ce concept. Il établit une base de référence pour chaque utilisateur ou entité (y compris les robots, les comptes de service et les agents) en apprenant :

• Normes de séries chronologiques: temps de connexion typiques, volumes de données ou destinations.
• Contexte de groupe de pairs: comment un analyste financier se comporte par rapport aux autres analystes financiers.
• Modèles de séquence: ordres inhabituels (par exemple, première connexion VPN → changement immédiat de privilège → téléchargement en masse).
  Lorsque l'activité s'écarte des schémas appris, l'UEBA évalue le risque et met en évidence les valeurs aberrantes. Techniquement, cela s'appuie sur les statistiques et l'apprentissage automatique (méthodes non supervisées et semi-supervisées) qui exploitent les données de journalisation sans nécessiter d'étiquettes parfaites. En clair : l'UEBA transforme des piles d'événements en « est-ce normal pour ? » le point de vue de tout de suite?"

Combler le fossé analytique et le fossé culturel

Voici la véritable exposition : seulement 44 % des organisations utilisent l'UEBA, même si le risque interne est désormais le problème majeur. Parallèlement, 74 % Des praticiens affirment que les dirigeants sous-estiment les menaces internes. Ce fossé culturel freine le recrutement, la mise en place d'outils et la mise en œuvre des politiques. Pour combler ces deux écarts, il faut procéder comme suit :

Faites du comportement un signal de premier ordre. Consolidez les journaux d'identité, de terminaux, d'administration SaaS, de messagerie et de mouvements de données afin qu'une seule personne (ou un seul agent) puisse gérer l'historique de tous les systèmes. Privilégiez la corrélation avant les tableaux de bord. Si le SOC ne parvient pas à intégrer l'identité à tous les outils, il passera à côté d'abus discrets et d'exfiltrations lentes.

Équilibrer confidentialité et détection dès la conception. L'obstacle le plus courant aux programmes d'initiés est la résistance à la confidentialité. Surmontez-le grâce à des analyses ciblées, un accès à la télémétrie basé sur les rôles, des fenêtres de conservation claires et une documentation transparente de vos analyses et de leurs raisons. Correctement mis en œuvre, les garde-fous de confidentialité permettent une détection plus efficace, car ils libèrent les flux de données nécessaires aux équipes.

Mesurez les résultats, pas le nombre d’outils. Les dirigeants devraient demander trois chiffres par mois :

1. Il est temps de détecter un comportement anormal
2. Il est temps de contenir incidents internes
3. Pourcentage d'incidents détecté par l'analyse du comportement plutôt que par la chance ou par des audits après coup.

Liez le budget à l’amélioration de ces indicateurs, et non au nombre de produits ponctuels « déployés ».

Considérez GenAI comme un système de production. Établissez des listes d'autorisation, des catégories de données à seuil rouge et une journalisation des invites et des sorties lorsque cela est légal. Donnez une place aux équipes produit et juridique pour que « agir vite » ne signifie jamais « envoyer des données dans des boîtes noires ».

Établissez une base de référence pour tout et pour tous. Les personnes, les comptes de service, les scripts RPA et les agents d'IA disposent chacun de leur propre base de référence. Vous recherchez des dérives : nouvelles données touchées, heures inhabituelles de la journée, destinations étranges ou séquences incohérentes avec la tâche à accomplir.

Résumé

À partir de De l'humain à l'hybride : comment l'IA et le fossé analytique alimentent les risques internes Plus qu'un aperçu des risques actuels, c'est un aperçu de la future orientation de la sécurité. Les menaces internes, amplifiées par l'IA, ne sont plus des exceptions, mais la base de référence. Pour les RSSI et les PDG, la voie à suivre consiste à passer des défenses périmétriques à des stratégies centrées sur l'identité, à traiter GenAI avec la même prudence que les comptes privilégiés et à donner aux humains et aux agents IA leurs propres bases de référence comportementales. Les organisations qui réussiront seront celles qui unifieront la télémétrie, adopteront des indicateurs axés sur les résultats et aligneront le leadership sur les opérations. En ce sens, le rapport d'Exabeam est moins un avertissement qu'un guide pour renforcer la résilience dans un avenir défini par l'IA.