Conformité à la directive NIS2 à l'ère de l'IA : pourquoi la cybersécurité traditionnelle ne suffit plus

L'introduction de la directive NIS2 (Network and Information Security Directive 2) constitue l'une des évolutions les plus importantes de la législation européenne en matière de cybersécurité de ces dernières années. Les entreprises ne peuvent plus considérer la cybersécurité comme la seule responsabilité du service informatique. 

Les équipes dirigeantes sont désormais directement responsables de la mise en œuvre de contrôles de sécurité appropriés, et tout incident significatif doit être signalé dans un délai de seulement 24 heures.

Dans le même temps, l'IA a profondément transformé le déroulement des cyberattaques.

Des menaces qui nécessitaient autrefois plusieurs jours, voire plusieurs semaines de préparation, peuvent désormais être lancées en quelques minutes. La reconnaissance automatisée, les attaques par hameçonnage assistées par l'IA et les campagnes de ransomware toujours plus sophistiquées ont considérablement réduit le temps dont disposent les entreprises pour détecter et contenir une attaque.

Pour les entreprises soumises à la directive NIS2, cela soulève une question délicate :

Comment démontrer que votre entreprise est capable de contenir une violation avant qu'elle ne se transforme en incident majeur ?

De nombreuses entreprises abordent d'abord la directive NIS2 comme un simple exercice de conformité parmi tant d'autres.

Cependant, cette directive vise avant tout à renforcer la résilience opérationnelle, et non à imposer des exigences supplémentaires en matière de documentation.

L'objectif n'est plus seulement de prévenir les attaques. Les déclarations des instances dirigeantes des entreprises qui fournissent des services critiques ne suffisent plus. Elles doivent désormais être en mesure de démontrer leur capacité à :

• limiter l'impact d'un incident de cybersécurité ;

• protéger les services critiques ;

• maîtriser les risques liés à la chaîne d'approvisionnement ;

• maintenir la continuité des activités ;

• comprendre rapidement l'étendue des dommages lorsqu'un incident survient.

En outre, dans le cadre de la directive NIS2, les organes de direction peuvent être tenus responsables en cas de non-conformité. Dans un contexte où les cybermenaces agissent de plus en plus à la vitesse des machines, ces exigences exercent une pression considérable sur les modèles de sécurité traditionnels. 

Akamai Guardicore Segmentation a été conçu spécifiquement pour répondre à ces besoins. La solution offre aux équipes de sécurité comme aux dirigeants une visibilité démontrable sur le niveau réel de confinement d'un incident.

Les entreprises doivent être en mesure de fournir des preuves montrant que leurs contrôles de sécurité peuvent contenir activement un incident avant qu'il ne se propage aux systèmes critiques (Articles 21(1) et 21(2)(f)).

La directive NIS2 étend les responsabilités au-delà de l'infrastructure propre à l'entreprise (Article 21(2)(d)). Les fournisseurs et partenaires tiers doivent également être pris en compte dans la stratégie de sécurité globale. Il faut notamment s'assurer qu'un identifiant compromis chez un fournisseur ne permette pas, à lui seul, d'accéder à des systèmes critiques. Des mécanismes tels que l'authentification multifactorielle, qui impose une authentification au niveau de la connexion plutôt qu'au seul périmètre réseau, ont précisément été conçus pour répondre à ce type de scénario.

Les contrôles de sécurité doivent renforcer la résilience sans affecter le bon déroulement des opérations ni ajouter de complexité excessive (Article 21(2)(c)).

La responsabilité personnelle des dirigeants, associée à des délais stricts de signalement (Article 23) (à savoir une alerte précoce dans les 24 heures, une notification d'incident dans les 72 heures et un rapport complet dans un délai d'un mois) impose aux entreprises une visibilité immédiate sur l'étendue de l'incident et son impact sur l'activité.

Ces défis exigent bien plus qu'une sécurité périmétrique traditionnelle ou des exercices ponctuels de conformité.

Ils nécessitent une visibilité continue et une capacité de confinement rapide.

Akamai Guardicore Segmentation est une plateforme définie par logiciel, axée sur les actifs et spécialement conçue pour l'ère de l'IA.

• Exposure Analysis and Response (ExAR) cartographie en permanence les chemins d'attaque avant que les pirates ne puissent les exploiter. 

• Les fonctionnalités d'interrogation des données permettent aux équipes d'effectuer des recherches en langage naturel afin d'évaluer instantanément le rayon d'impact d'une compromission. 

• Le Generative Policy Engine réduit les mouvements latéraux en automatisant la génération des règles de sécurité afin de limiter considérablement la portée d'une charge de travail ou d'un identifiant compromis. 

La plateforme aide ainsi les entreprises à comprendre ce qui est connecté, à limiter la progression des attaquants et à démontrer rapidement l'impact réel d'un incident.