L’analyse de risques est un exercice essentiel pour éclairer les décisions en matière de cybersécurité. Avant de déployer ou de faire évoluer un système d’information, elle permet d’identifier les scénarios susceptibles de compromettre son fonctionnement ou ses données, d’en évaluer les conséquences et de définir les mesures permettant de réduire les risques. Elle permet ainsi aux dirigeants de prendre leurs décisions en connaissance des risques résiduels.
Explications avec Rémi Kouby, Directeur en charge des activités conseil Cybersécurité et protection des données chez CGI Business Consulting.
Dans l’administration, les démarches d’analyse des risques et d’homologation sont au cœur de la feuille de route de sécurité numérique de l’État. C’est un exercice exigeant qui demande également une analyse pertinente. Cette dernière repose sur la capacité des experts à comprendre un système et son contexte, à envisager ce qui pourrait mal se passer puis à évaluer et hiérarchiser les risques. Dans le cas de la méthode EBIOS Risk Manager (EBIOS RM ¹ce travail suit un processus structuré qui mobilise de nombreuses informations et comporte des tâches répétitives.
L’intelligence artificielle a ouvert une possibilité intéressante : accélérer certaines étapes de cette analyse pour permettre aux experts de consacrer davantage de temps aux tâches qui nécessitent leur jugement, et pouvoir en faire davantage.
Chez CGI Business Consulting, nous avons créé un agent, Ai-BIOS Assistant, qui nous permet d’accélérer significativement la réalisation des analyses de risques cyber et d’en faire davantage à capacité équivalente. Nous appliquons déjà cette approche dans nos missions d’analyse de risques, dès lors que le client l’autorise. Les premiers résultats montrent que l’IA réduit significativement le temps consacré à certaines étapes. Elle contribue aussi à approfondir l’analyse, à condition de savoir précisément ce que l’on automatise et ce qui reste à la main du consultant.
L’analyse de risques n’est pas entièrement automatisée. Intégrer le contexte global de l’entreprise à celui du projet, apprécier la pertinence de certains scénarios ou arbitrer les mesures en fonction de l’expérience sont autant d’étapes où l’intervention d’un expert reste nécessaire. Nous avons identifié les étapes de cette démarche où l’IA fait gagner du temps et améliore la qualité de l’analyse.Ces gains concernent plusieurs tâches précises. AI-BIOS Assistant accompagne ainsi l’analyste dans différentes tâches : analyser des documents techniques volumineux selon des thématiques de sécurité définies, proposer des modélisations, réaliser une première analyse d’impact sur un sinistre, rédiger des descriptions concises ou encore aider l’analyste dans la création des scénarios en proposant les étapes suivantes.
Le principe reste le même tout au long du processus : l’IA propose, l’analyste arbitre. Le consultant sélectionne les informations pertinentes, contrôle les résultats produits par le modèle, les adapte au contexte puis les valide.
Cette répartition des rôles est essentielle. L’IA accélère certaines tâches. L’expert apporte son expérience, son esprit critique et sa connaissance du contexte.
Nos premières applications de l’outil montrent déjà des gains significatifs.
Sur l’ensemble du processus d’analyse de risques, nous estimons actuellement le gain de temps à 30 %. Pour certaines tâches spécifiques, le changement est beaucoup plus marqué : un travail qui pouvait mobiliser un consultant pendant une journée à une journée et demie peut, dans certains cas, être réalisé en environ une heure.
À court terme, nous visons jusqu’à 50 % de temps gagné sur une analyse de risques, selon le contexte d’utilisation, la complexité du système d’information et les évolutions de l’outil.
Mais le temps n’est qu’une partie de l’équation. L’IA aide également l’analyste à exploiter des documents projet volumineux, à repérer des informations manquantes ou à détecter certaines incohérences dans le rapport d’analyse. Elle contribue à approfondir et à étayer certains scénarios de menace.
Dans le domaine cyber, accélérer une analyse ne suffit pas. Les informations utilisées peuvent être particulièrement sensibles. Utiliser l’IA pour les analyser pose donc immédiatement une question de souveraineté et de confidentialité : qui maîtrise les données, l’infrastructure, les modèles et les dépendances technologiques ?
C’est un principe structurant de notre approche. Nous utilisons une infrastructure IA et des modèles que nous maîtrisons, tout en limitant notre niveau de dépendance technologique. Notre approche ne repose notamment pas sur l’utilisation directe de services d’IA générative grand public. Nous pouvons sélectionner et faire évoluer les modèles utilisés sans dépendre d’un fournisseur unique.
Nous avons également développé une application qui permet aux consultants d’interagir avec les modèles selon un ensemble défini de règles et de commandes. Ce harnais structure la manière dont l’IA intervient dans le processus plutôt que de laisser chaque utilisateur interagir librement avec un modèle brut.
Cette maîtrise de la chaîne est particulièrement importante pour les organisations qui travaillent avec des informations sensibles et doivent comprendre précisément comment leurs données sont traitées.
Les premiers enseignements dépassent la seule question de la productivité. L’IA nous oblige à décomposer précisément le travail de l’expert : quelles tâches peuvent être accélérées ?
Lesquelles nécessitent impérativement son jugement ? Comment contrôler les résultats produits par le modèle ? Et comment utiliser l’IA sans introduire de nouveaux risques dans un processus qui vise justement à les maîtriser ?
Pour l’analyse de risques cyber, notre expérience montre que l’IA peut déjà réduire significativement le temps consacré à certaines étapes. Mais le résultat recherché reste le même : donner aux décideurs une vision fiable des risques auxquels leur organisation s’expose et des mesures qu’ils peuvent prendre pour les réduire.
Le temps gagné ouvre de nouvelles possibilités : approfondir les scénarios qui le nécessitent, accélérer les arbitrages et surtout, réaliser davantage d’analyses à capacité équivalente. Les gains obtenus dès les premières analyses en phase de POC doivent être réinvestis dans l’industrialisation de la démarche et dans la transformation du processus d’analyse de risques applicatif, soutenu par l’IA. L’IA ne change donc pas seulement le temps nécessaire à l’exercice. Elle nous permet d’en faire plus et de donner plus rapidement aux décideurs les éléments dont ils ont besoin pour agir.
¹ EBIOS Risk Manager (EBIOS RM) est une méthode d’analyse et de gestion des risques numériques développée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), avec le soutien du Club EBIOS. Elle permet d’identifier et d’évaluer les risques cyber ainsi que de définir les mesures de sécurité adaptées pour les maîtriser.
