Rapport sur le cloud et les menaces :
Applications d’IA dans l’entreprise

Le point de départ du risque lié aux applications genAI sont les applications elles-mêmes. En pratique, les contrôles d’application sont également le point de départ du contrôle de ce risque, généralement mis en œuvre sous forme de listes d’autorisation ou de blocage au sein d’un SWG ou d’un proxy en ligne.

La plupart des organisations ont restreint l’utilisation des applications genAI pour protéger leurs données, 77 % des organisations bloquant au moins une application genAI en juin 2024, ce qui représente une augmentation de 45 % par rapport aux 53 % des organisations en juin 2023.

Cette tendance indique une bonne maturité et une bonne adoption des contrôles de base autour de l’utilisation des applications genAI. Le contrôle des applications utilisées dans une organisation est un point de départ nécessaire pour réduire les risques. Cependant, des contrôles plus granulaires seront nécessaires pour être efficaces. L’utilisation spécifique d’une application détermine souvent si l’activité doit être autorisée ou non. Par exemple, une recherche générale dans ChatGPT devrait être autorisée, tandis que la soumission du code source ne devrait pas l’être.

Si l’on examine plus en détail les applications bloquées, le nombre médian d’applications bloquées pour tous les utilisateurs d’une organisation a également augmenté, passant de 0,6 application en juin 2023 à plus de 2,6 applications en juin 2024. Le fait d’avoir si peu d’interdictions à l’échelle de l’organisation sur les applications genAI par rapport aux centaines d’applications genAI sur le marché indique la popularité d’autres contrôles plus nuancés, dont nous parlerons plus en détail plus loin dans ce rapport.

Les applications genAI les plus bloquées connaissent une certaine popularité, mais un bon nombre d’applications moins populaires sont les plus bloquées. Parmi les organisations qui bloquent les applications genAI, 28 % bloquent Beautifal.ai (ce qui en fait l’application genAI la plus souvent bloquée) et 19 % bloquent Perplexity AI, qui est la 10e application la plus fréquemment bloquée. Les blocages peuvent souvent être une mesure temporaire, car les nouvelles applications sont évaluées pour déterminer si elles servent des objectifs commerciaux légitimes et si elles sont sûres pour certains cas d’utilisation.

Les applications spécifiques qui sont bloquées varient en fonction de la politique de l’organisation, mais lorsque les pourcentages sont suffisamment élevés, comme dans la liste des 10 premières ci-dessus, il est utile pour toutes les organisations de vérifier si les applications spécifiques sont utilisées dans leur propre environnement, ainsi que d’ajuster les contrôles autour de la catégorie d’applications. Le tableau suivant montre que les applications les plus bloquées couvrent une variété de cas d’utilisation différents dans l’espace genAI.

Catégories d’applications GenAI les plus bloquées

Au fur et à mesure que les organisations dépassent les listes d’applications autorisées, elles ont tendance à commencer à mettre en place des contrôles plus précis autour de l’utilisation des applications autorisées. Sans surprise, les contrôles DLP (Prévention des pertes de données) gagnent en popularité en tant que contrôle des risques liés aux données genAI. La prévention des pertes de données est passée de 24 % en juin 2023 à plus de 42 % des organisations utilisant la DLP (Prévention des pertes de données) pour contrôler les types de données envoyées aux applications genAI en juin 2024, soit une croissance de plus de 75 % d’une année sur l’autre.

L’augmentation des contrôles DLP (Prévention des pertes de données) reflète une compréhension au sein des organisations de la manière d’atténuer efficacement les risques liés aux données dans le cadre de la tendance plus large et plus large de l’utilisation croissante des applications genAI. Dans le cadre des politiques DLP (Prévention des pertes de données), les organisations cherchent à contrôler des flux de données spécifiques, notamment pour bloquer les invites genAI contenant des informations sensibles ou confidentielles. Dans les organisations ayant des politiques de protection des données, le code source représente près de la moitié (46 %) de toutes les violations de DLP (Prévention des pertes de données), les données réglementées étant régies par les réglementations du secteur ou les exigences de conformité à 35 % et la propriété intellectuelle à 15 %. Les données réglementées ont été l’un des principaux domaines de violation avant la génération d’IA et renforcent les défis liés à la formation manuelle des utilisateurs au partage inapproprié des données réglementées.

La publication de données sensibles dans les applications genAI reflète non seulement les priorités actuelles des organisations, mais montre également l’utilité de diverses applications genAI. Par exemple, la popularité de GitHub Copilot, associée à la part de marché de Microsoft en tant que plate-forme de développement de logiciels, pourrait entraîner une utilisation accrue de genAI pour la génération de code à l’avenir.

Bien qu’il soit évident que les applications ou les activités malveillantes sont bien servies par des contrôles qui bloquent et alertent, le risque lié aux données est souvent plus une zone grise. Le coaching des contrôles peut être une technique très efficace pour traiter les zones grises, en particulier dans les premiers cycles technologiques rapides comme genAI. De plus, les organisations peuvent utiliser le coaching pour informer et affiner les contrôles de sécurité sans bloquer la productivité avec des faux positifs et des processus d’approbation lents.

Les commandes de coaching fournissent une boîte de dialogue d’avertissement à l’utilisateur lorsqu’il interagit avec les applications genAI, ce qui lui permet d’annuler ou de poursuivre ses actions. Il fonctionne comme des fonctionnalités de navigation sécurisée intégrées aux navigateurs. Les avantages sont qu’il offre une expérience plus conviviale à l’utilisateur, ne bloque pas son travail, mais informe et permet aux utilisateurs d’améliorer leur comportement.

En juin 2024, 31 % des organisations ayant mis en place des politiques visant à contrôler l’utilisation des applications genAI utilisaient des dialogues de coaching, contre 20 % en juin 2023, soit une augmentation de plus de 50 % de l’adoption.

Cela suit la sophistication croissante des organisations dans l’application de contrôles de coaching similaires d’autres domaines de sécurité à des domaines plus récents tels que le risque d’application genAI. Bien que la croissance se soit stabilisée, les contrôles de coaching sont relativement nouveaux par rapport aux blocages et alertes purs et simples basés sur la DLP (Prévention des pertes de données) ou l’application. Nous nous attendons à ce que l’adoption continue de croître à mesure que de plus en plus d’organisations comprennent comment utiliser le coaching pour gérer les risques plus gris associés aux données.

Lorsque nous décomposons la réponse réelle de l’utilisateur aux alertes de dialogue de coaching qui ont eu lieu, nous constatons une mesure de l’efficacité. Pour tous les utilisateurs qui ont reçu des alertes de dialogue de coaching pour les applications genAI, dans 57 % de ces cas, les utilisateurs ont choisi d’arrêter l’action qu’ils effectuaient, ce qui a réduit le risque en évitant d’envoyer des données sensibles dans les invites de l’application genAI ou en évitant d’utiliser des applications genAI inconnues ou nouvelles. 57 % est suffisamment élevé pour renforcer l’argument selon lequel le coaching peut être un contrôle efficace pour compléter les blocages d’applications explicites et les politiques de DLP (Prévention des pertes de données). De plus, le coaching permet également un retour d’information. Lorsqu’elles décident de procéder, la plupart des organisations mettent en place des politiques qui obligent les utilisateurs à justifier leurs actions pendant l’interaction de coaching.

Cela ne veut pas dire que la prise de décision de l’utilisateur soit la base de la politique de sécurité. Cela indique plutôt que pour les organisations qui utilisent le coaching, environ la moitié de l’utilisation de l’application genAI qui n’est pas carrément bloquée peut être encore réduite par les décisions des utilisateurs. Tout aussi important, les décisions de l’utilisateur en réponse aux dialogues de coaching peuvent et doivent éclairer l’examen et l’ajustement de la politique de sécurité. Bien que les décisions des utilisateurs puissent être erronées et risquées, les deux catégorisations constituent la base d’un examen plus approfondi. Les applications qu’un utilisateur a décidé de ne pas utiliser sur la base d’une boîte de dialogue de coaching doivent être analysées pour une liste de blocage pure et simple. Les applications qu’un utilisateur a décidé d’utiliser doivent être examinées pour être placées sur une liste de normes d’entreprise autorisées ou peut-être bloquées s’il existe une application meilleure ou plus acceptable. Les réponses des utilisateurs aux invites de coaching pourraient également être utilisées pour affiner des politiques plus nuancées, comme les politiques DLP (Prévention des pertes de données), afin d’être plus ciblées dans leur application.

Nous observons des signes précoces de détections avancées de comportements suspects d’utilisateurs en ce qui concerne le mouvement de données qui ont été détectés par des moteurs de détection comportementale. Le déplacement suspect de données comprend souvent plusieurs indicateurs de comportement suspect ou inattendu d’un utilisateur par rapport à la base d’activité normale de l’utilisateur ou de l’organisation. Les indicateurs peuvent impliquer une activité de téléchargement ou de téléchargement anormale, des sources ou des cibles de données nouvelles ou suspectes, telles que de nouvelles applications genAI, ainsi que d’autres comportements suspects tels que l’utilisation d’une adresse IP ou d’un agent utilisateur inattendu ou obfusqué.

Un exemple d’alerte comportementale avancée détectée pour un mouvement de données suspect implique le déplacement de données d’une application gérée par l’organisation et téléchargées vers une application genAI personnelle non approuvée.

À l’instar du coaching, la liste des applications apparaissant dans ces alertes peut également être utilisée pour hiérarchiser les efforts de contrôle avec l’utilisation des applications genAI. Par exemple, deux applications couramment utilisées peuvent se chevaucher en termes de fonctionnalités, ce qui peut à lui seul donner la priorité aux efforts de réduction du nombre d’applications.

L’utilisation d’alertes comportementales montre la prise de conscience et l’adoption précoces par les organisations des menaces plus difficiles à détecter, ce qui inclut traditionnellement les informations d’identification compromises, les menaces internes, les mouvements latéraux et les activités d’exfiltration de données par des acteurs malveillants.

Lorsque nous examinons de plus près les mouvements de données sensibles, nous constatons que les principales applications d’où proviennent les données sensibles reflètent la popularité des applications cloud d’entreprise, avec OneDrive (34 %) et Google Drive (29 %) en tête, suivis de SharePoint (21 %), Outlook (8 %) et Gmail (6 %).

Les 3 principales applications sont toutes des applications de stockage et de collaboration dans le cloud et ont été la source des données sensibles 84 % du temps, tandis que les principales applications cloud de messagerie étaient la source 14 % du temps. En sachant quelles applications spécifiques sont les plus fréquemment impliquées dans les mouvements de données sensibles, les équipes de sécurité peuvent alors ajuster les contrôles de manière appropriée, par exemple en plaçant des contrôles DLP (Prévention des pertes de données) supplémentaires autour des applications de partage de fichiers. Les organisations doivent donner la priorité à l’évaluation des risques de sécurité et à la mise en œuvre du contrôle du mouvement des données entre les applications, en particulier le passage des applications gérées aux applications genAI non gérées, car cela devient de plus en plus courant et peut avoir un impact important sur les pertes de données.