Automatiser la sécurité ? Les robots ne peuvent pas remplacer les êtres humains dans la boucle de décision

Avenir de l’IT : Si la technologie peut être utilisée à des fins malveillantes, telles que l’exploitation du matériel pour des attaques par refus de service distribué, c’est l’homme qui crée le programme malveillant, qui détermine la victime et qui orchestre le crime.

Automatiser la sécurité ? Les robots ne peuvent pas remplacer les êtres humains dans la boucle de décision Si la technologie peut être utilisée à des fins malveillantes, telles que l’exploitation du matériel pour des attaques par refus de service distribué, c’est l’homme qui crée le programme malveillant, qui détermine la victime et qui orchestre le crime.

Automatiser la sécurité ? Les robots ne peuvent pas remplacer les êtres humains dans la boucle de décision - 2017 - 2018 

En février dernier s’est tenue la RSA Conference, où des fournisseurs de solutions de sécurité ont transformé le Moscone Center de San Francisco en un étalage de lumières vives, concours et ludification, à grand renfort de cadeaux publicitaires, goodies estampillés et autres brochures commerciales.

Chaque année, il est facile de repérer les décideurs en sécurité présents dans le hall d’exposition, à les voir entrer dans une transe proche du zombie tandis qu’ils ingurgitent un nombre incalculable de messages tous semblables les uns aux autres. À l’occasion on peut encore repérer un signe d’humanité, matérialisé par un vague lever de sourcil lorsqu’une tactique de vente ou un message marketing n’a tout simplement pas de sens.

Faire mon travail à ma place

“Comment se fait-il que tellement de fournisseurs cette année pensent pouvoir me vendre quelque chose qui peut… faire mon travail à ma place ?”, m’a demandé un ami responsable de la sécurité autour d’un verre.

Ma réponse ? “Oh, pauvre ange naïf. Dans la sécurité, seul un spécialiste du marketing sur quatre dit la vérité. Ne confonds pas produit et marketing.” (Par voie de conséquence, 67 % de tous les spécialistes du marketing maquillent les statistiques.)

Toutefois, le problème ne se limite pas au marketing, ni à la conférence RSA ou aux autres événements visant à générer la demande. C’est plutôt que les entreprises qui veulent démontrer une “vision” vont trop loin en essayant de montrer qu’elles peuvent faire bien mieux que leurs concurrents, quasiment au point d’affirmer tout et n’importe quoi.

Interrogation sur l’automatisation

Comme j’aime mélanger les métaphores, délaissons les zombies au profit du téléachat. “Il coupe en tranches ! Il coupe en dés ! Il s’occupe de vos impôts ! Il va chercher votre frère à l’aéroport !” est à peu près aussi crédible que “Automatisation ! Apprentissage automatique ! Intelligence artificielle ! Il s’occupe de toute la sécurité pour vous !”. C’est faux. Il doit toujours y avoir un être humain dans la boucle de décision.

L’automatisation et les autres avancées telles que l’apprentissage automatique et l’intelligence artificielle ont certes un rôle crucial à jouer dans les solutions de sécurité. Dans une certaine mesure, l’automatisation des processus aide les entreprises à réduire la surcharge.

Tiffany Rad, professeur adjointe au département informatique de l’université du Maine Sud, fondatrice et PDG d’Anatrope, Inc., entreprise de big data spécialisée dans l’industrie des véhicules connectés, estime que l’automatisation deviendra réalité dans un avenir proche pour des domaines aussi divers que les fast-foods ou les véhicules autonomes. Toutefois, lorsqu’il existe trop de variables ou si la prise de décisions nécessite de l’expérience, l’automatisation peut ne pas suffire.

Accélération de l’humain

“Il existe d’excellents programmes logiciels qui automatisent les tests de pénétration de la sécurité”, concède Tiffany Rad. “Toutefois, je ne connais aucune entreprise qui s’en remette uniquement aux résultats d’un test de pénétration automatisé et qui ne demande pas également à un ingénieur en sécurité expérimenté de gérer le processus et de revoir les résultats pour éliminer les faux positifs et les faux négatifs.”

La sécurité a pratiquement atteint un point culminant en matière d’innovation, nécessitant un certain retour en arrière. Pendant des années, les fournisseurs ont été extrêmement dépendants de l’innovation technologique des solutions pour déterminer l’existence des programmes malveillants depuis le point de terminaison jusqu’au réseau et pour trouver la façon d’automatiser la résolution, un élément crucial qui continue d’évoluer. Or, maintenant que la discussion autour de l’automatisation et de l’apprentissage automatique va un peu trop loin, on assiste à un retour en arrière dans l’industrie, qui s’aperçoit que les individus sont encore nécessaires finalement.

En mars dernier, le cabinet d’études et de conseil Securosis a publié la seconde partie de son dossier consacré au traitement des menaces, axée sur “l’accélération de l’humain”. L’article, rédigé par Mike Rothman, analyste et président du cabinet, stipule clairement qu’avec une telle focalisation sur l’automatisation et l’orchestration, certains pourraient croire que “les entités constituées de carbone (autrement dit, les individus) n’ont plus aucun rôle à jouer dans l’exécution des programmes de sécurité”. Au contraire, écrit-il, l’infrastructure continuera de devenir plus compliquée et les adversaires continueront de s’améliorer, si bien que les êtres humains prennent en réalité une importance grandissante. Je me suis entretenue directement avec Mike Rothman avant de lire cet article ; il a observé qu’il y a des choses que vous pouvez automatiser et beaucoup d’autres que vous ne pouvez pas, mais que la réussite ne consiste pas à éliminer des tâches, mais à rendre les individus plus efficaces.

“La sécurité est une profession intellectuelle”

“S’ils sont peu aguerris, rendez-les passables”, préconise-t-il. “S’ils sont plus aguerris, l’automatisation leur donne simplement un coup d’accélérateur. L’objectif est de rendre les êtres humains les plus efficaces possible, parce qu’ils ne sont tout simplement pas assez nombreux.”

De son point de vue, la difficulté, notamment avec l’apprentissage automatique (il coupe en dés !), est cette idée alarmante selon laquelle il va vous dire ce que vous ne savez pas, puis simplement faire les choses. À l’instar de nombreux professionnels de la sécurité, Mike Rothman n’a pas confiance et n’est pas à l’aise avec cette notion. “Je vais me focaliser sur les schémas et actions que je connais et laisser mes collaborateurs humains faire le reste”, confie-t-il. “Tout ce qui n’entre pas dans un cadre très limité va être soumis à un humain. Ce que je veux, c’est m’assurer que l’analyste a les informations dont il a besoin afin de déterminer l’action la plus appropriée.”

Pour être tout à fait clair, l’automatisation ne remplace pas les êtres humains, pas plus que les êtres humains ne remplacent pas l’automatisation. Les deux sont absolument nécessaires. Un ami proche estime que “la sécurité est une profession intellectuelle”, ce qui est vrai. J’aimerais croire que le marketing sur la sécurité est aussi une profession intellectuelle. Ainsi, même si je ne pourrais pas me passer de mes formules de tableur et de mes tableaux de bord d’automatisation du marketing, ce ne sont pas eux qui vont décider de la meilleure stratégie pour mon entreprise.

Les adversaires sont majoritairement humains

“L’automatisation et le talent humain s’enrichissent mutuellement”, affirme Christie Terrill, associée au cabinet de conseil informatique Bishop Fox. “Beaucoup trop d’entreprises achètent des produits pour résoudre des problèmes de sécurité qui dépendent de processus métiers ou de chaînes d’attaque contre des vulnérabilités existantes que les entreprises ne comprennent pas totalement dès le départ. Dans de tels cas, vous ne pouvez pas éviter la nécessité qu’un être humain comprenne le problème à la racine et classe par priorité les résultats d’un produit dans un contexte opérationnel.”

Les adversaires sont majoritairement humains et, bien qu’ils puissent utiliser la technologie à des fins malveillantes pour accomplir leur noir dessein, comme l’exploitation du matériel pour des attaques par refus de service distribué, c’est l’homme qui crée le programme malveillant, qui détermine la victime et qui orchestre le crime. Sachant cela, les praticiens de la sécurité ne vont pas mettre leur défense uniquement entre les mains d’une intelligence ou sécurité automatisée, de la même manière que vous ne mettriez pas un robot bringuebalant sur un ring de boxe face à un poids welter.

À la fin de ma conversation avec Mike Rothman, je lui ai demandé ce qu’il dit, ou dirait, aux fournisseurs qui vont trop loin dans leurs promesses d’automatisation, d’intelligence artificielle ou d’apprentissage automatique. “De toute évidence, ils ne connaissent pas grand-chose au fonctionnement de la sécurité”, observe-t-il. “S’ils vendent des salades aux clients en promettant de tout automatiser, ils ne rendent service ni à eux-mêmes, ni à leurs clients. Je ne saurais être plus explicite.”

Automatiser la sécurité ? Les robots ne peuvent pas remplacer les êtres humains dans la boucle de décision

Source : L’article Automatiser la sécurité ? Les robots ne peuvent pas remplacer les êtres humains dans la boucle de décision >> est extrait de ZDNet

Une sélection d'articles qui pourraient vous intéresser ...

Automatiser la sécurité ? Les robots ne peuvent pas remplacer les êtres humains dans la boucle de décision - 2017 - 2018
Ne manquez plus rien!
Abonnez-vous dès maintenant aux infos de SOSVirus et recevez chaque mois, le meilleur de la sécurité informatique : news, tutos, hacking, alerte ransomware, spam alerte ...

1 Etoile2 Etoiles3 Etoiles4 Etoiles5 Etoiles 1 avis, 5,00/5
Loading...
2017-09-18T18:29:18+00:00

Laisser un commentaire