Pourquoi se soucier de la qualité des exigences en cybersécurité ?
Parce qu’elles sont écrites en langage naturel ! Elles sont donc sources d’ambiguïtés et de mauvaises interprétations, avec en conséquence des risques de sécurité. Il est donc très important que la qualité rédactionnelle soit de très haut niveau pour éviter des malentendus entre les différents acteurs de la chaîne de sécurité.
Nous avons travaillé avec des CISO et RSSI de grandes sociétés et analysé des exigences produites par l’ANSSI ou l’ENISA ou spécifiques à ces sociétés. Nous avons ainsi détecté nombre d’anomalies sémantiques qui, si elles ne sont pas corrigées, peuvent amener des incompréhensions et créer des vulnérabilités qui seront exploitées par les attaquants.
Comment l’IA peut-elle apporter une solution ?
L’IA, et plus particulièrement le traitement du langage naturel, accélère considérablement l’analyse des exigences. Mais attention à la tentation de faire faire ces analyses par une IA de type ChatGPT : d’abord cela dévoile sur internet le jeu d’exigences donc la politique de sécurité de l’organisme concerné. Ensuite cela donne des résultats inégaux, qu’on ne sait pas toujours expliquer et qui peuvent varier dans le temps, ce qui pose problème dans une démarche de réduction des risques.
Il est préférable d’utiliser une IA qui soit :
- Isolée d’internet pour assurer la confidentialité des informations traitées et plus généralement sécurisée
- Spécialisée dans l’analyse des exigences de systèmes complexes, en particulier basée sur des normes validées pour ce domaine (ISO, IEEE, INCOSE…)
- Explicable, pour tous les résultats d’analyse
- Reproductible, les mêmes entrées produisant les mêmes résultats.
Et maintenant, que faire concrètement ?
Constatez par vous-même : évaluez sans attendre la qualité de vos exigences cyber, avec un outil comme SEMIOS. Cela vous donnera un point de départ sur l’étendue des améliorations à réaliser, et vous aidera à mettre en place un plan d’action double : correction des documents et montée en compétence rédactionnelle.
-> Contactez-nous
