MtoM Mag - Le journal de l'MtoM.

Nous apprenions en début de semaine que Almerys, acteur majeur du tiers payant en France, était victime d’une cyberattaque d’ampleur entraînant « l’exposition de données personnelles » de plusieurs bénéficiaires. S’il est trop tôt pour tirer des conclusions sur les causes, il s’agirait à ce stade de repenser notre approche de la cybersécurité.

Des attaques de plus en plus sophistiquées

Après les établissements de santé, les sites gouvernementaux, les clubs de vacances, c’est maintenant au tour des prestataires de tiers payant d’être la cible des attaques cyber. Doit-on en conclure que nos établissements sont vulnérables ?

Le raisonnement consisterait plutôt à soutenir que les cyberattaques évoluent au gré des avancées technologiques et qu’elles imposent de repenser la cybersécurité. En d’autres termes, les outils de protection ne sont pas moins robustes, mais les mécanismes permettant de pénétrer les systèmes d’informations ont connu une sophistication telle avec l’IA que, les organisations doivent adopter une nouvelle lecture de la cybersécurité.

Prenons le cas de l’IA Agentique. Si de nombreuses études s’accordent pour en vanter le taux d’adoption et les gains de productivité, peu en revanche pointent les bouleversements qu’elle entraîne pour la Gestion des Identités et des Accès (GIA) ou IAM (Identity & Access Management). L’IA agentique fonctionne à la vitesse des machines, de manière continue et autonome, tout en exécutant des actions à privilèges au sein de différents environnements ! Ces caractéristiques rendent, à elles seules, la gestion des accès beaucoup plus complexe et multidimensionnelle. Les organisations sont désormais aux prises avec une ambivalence : soucieuses de préserver un avantage concurrentiel, elles ne peuvent pas non plus ignorer les risques de gestion des accès de cette main-d’œuvre numérique.

Un changement de paradigme

Pour répondre à cette nouvelle zone de vulnérabilité, des solutions plus sécurisées peuvent être mises en œuvre afin de préserver les gains de productivité promis par les agents IA tout en leur permettant d’agir plus librement. Parmi les approches les plus avancées figurent la sécurité centrée sur l’identité et la supervision continue, reposant notamment sur : le principe du moindre privilège ; des accès « just-in-time » accordés uniquement lorsque cela est nécessaire ; des identifiants éphémères à durée de vie courte et expiration automatique ; ainsi que des mécanismes de décision en temps réel fondés sur des règles évaluant chaque action selon le contexte, les politiques internes et les signaux de risque. L’objectif consiste à maintenir un haut niveau de sécurité tout en bénéficiant des gains d’échelle et de rapidité offerts par cette nouvelle technologie...

La conformité en question...

En somme, les entreprises doivent abandonner les modèles d’accès statiques fondés sur les identifiants au profit d’une autorisation dynamique, centrée sur l’identité et opérée en temps réel. La cybersécurité doit presque être repensée en temps réel, au fil des avancées technologiques. Nous l’avons dit, s’il est encore trop tôt pour tirer des conclusions, ce qui interpelle cette attaque survient en dépit même de l’entrée en vigueur de DORA (Digital Operational Resilience Act). Le pilier 4 du règlement, sur la Gestion des risques liés aux prestataires TIC - longtemps débattu par les fédérations bancaires - impose en effet aux entités financières la mise en place de clauses spécifiques pour garantir la sécurité des services portés par des prestataires. La question est maintenant de savoir à quelle étape de la protection de la chaîne il y aurait pu avoir négligence.