Oui, vous pouvez mesurer l’efficacité de la cybersécurité

Je déteste faire cela, mais considérez l’exercice de réflexion suivant : Transportez-vous à l’automne 2020, alors que littéralement le monde entier attendait un vaccin COVID. Nous savions qu’il y avait quelques candidats (en fait, un vaccin à ARNm a été formulé fin janvier) et nous n’attendions que la preuve – les études d’efficacité. La majeure partie du monde était ravie de découvrir début décembre 2020 que les taux d’efficacité étaient de 95 %. Bien sûr, certaines personnes avaient besoin de savoir qu’un vaccin antigrippal typique offre une efficacité d’environ 60 %.

Considérez maintenant ce que vous auriez ressenti si, au lieu de mener des essais contrôlés randomisés qui testaient les résultats du vaccin, Pfizer et Moderna avaient affirmé que le vaccin fonctionnerait parce que les scientifiques qui l’ont créé avaient de solides références, l’environnement de laboratoire était correctement géré, les procédures ont été impeccablement suivis, et tous les papiers étaient en règle. Je ne suis pas sûr de vous, mais j’aurais été dévasté et probablement en colère.

Nous suivons régulièrement un modèle comme celui-ci en matière de cybersécurité. Je vous épargnerai l’ennui de l’audit de conformité.

Mesurer l’efficacité de la cybersécurité

Imaginez maintenant un monde de la cybersécurité où nous mesurons réellement l’efficacité de nos programmes. Où nous utilisons la puissance et l’évolutivité des ordinateurs pour effectuer les mêmes types de tests considérés comme une exigence minimale dans d’autres domaines. Où nous gérons nos environnements de contrôle et évaluons les résultats pour déterminer la force de nos programmes.

Une réaction courante à une proposition comme celle-ci est d’être sarcastique ou même méprisant, rappelant à l’instigateur (c’est ainsi que ceux d’entre nous qui proposent de telles choses sont souvent appelés) que les environnements informatiques sont incroyablement complexes et qu’une approche comme celle-ci serait impossible. Comme s’il était simple de séquencer les 3 milliards de paires de bases du génome humain et de les utiliser comme modèle de référence pour 7 milliards d’humains remplis de cellules qui se divisent, de neurones qui se déclenchent et de produits chimiques qui interagissent.

La vérité est que les environnements informatiques sont en fait plus faciles à mesurer. Le jury ne sait toujours pas quels sont les avantages de l’intelligence artificielle dans la cybersécurité (au moins au sens large). Cependant, un gain rapide est que pour tirer parti de l’IA, elle doit être capable d’ingérer les données qu’elle analyse. Une fois les données rendues disponibles, il est trivial pour les ordinateurs de dénombrer les instances et les éléments d’activité pertinents qui pourraient facilement être utilisés pour ce type d’objectif.