Sciences de l'Homme et Société/Sciences de l'information et de la communication

Théophile Mandon

► To cite this version:

Théophile Mandon. Sciences de l'Homme et Société/Sciences de l'information et de la communication. Collection numérique de l'AMUE, Agence de mutualisation des universités et établissements d'enseignement supérieur, 2024, Sécurité des SI : La cybersécurité au cœur de la stratégie de l'ESRI (Saison 2). hal-04793550

HAL Id: hal-04793550

https://hal.science/hal-04793550v1

Submitted on 20 Nov 2024

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_1.png" /></figure>

Distributed under a Creative Commons Attribution - ShareAlike 4.0 International License
la collection
numérique

de l'Agence de mutualisation
des universités et établissements
d'enseignement supérieur ou
de recherche et de support
à l'enseignement supérieur
ou à la recherche

<figure><img src="image_2.png" /></figure>

février
2024

Sécurité des SI : saison 2
La cybersécurité au cœur
de la stratégie de l'ESRI

<figure><img src="image_3.png" /></figure>

<figure><img src="image_4.png" /></figure>
<figure><img src="image_5.png" /></figure>

<figure><img src="image_6.png" /></figure>

recherche

<figure><img src="image_7.png" /></figure>

auteur
**Théophile Mandon,**
Data scientist chez Acelys
Services Numériques &
doctorant avec le Laboratoire
d'Informatique, de Robotique
et de Microélectronique
de Montpellier (lirmm)

# IA & cybersécurité

Reglys, l'outil de
diagnostic sécurité
enrichi avec l'IA, pour
faciliter la conformité
aux réglementations

<figure><img src="image_8.png" /></figure>

<figure><img src="image_9.png" /></figure>

<figure><img src="image_10.png" /></figure>

<figure><img src="image_11.png" /></figure>

<figure><img src="image_12.png" /></figure>

<figure><img src="image_13.png" /></figure>

<figure><img src="image_14.png" /></figure>

<figure><img src="image_15.png" /></figure>
SAVOIR DÉMÊLER LA TECHNIQUE
DU JURIDIQUE POUR ASSURER
SA CYBERSÉCURITÉ

La sécurisation des systèmes d'information doit faire face à de nombreux défis. D'une part, il est nécessaire de mettre en place des solutions adaptées au contexte des entreprises et qui permettent notamment de résister à des attaques potentielles. D'autre part, ces systèmes doivent respecter les différents textes de lois existants (e.g. Le Règlement Général sur la Protection des Données personnelles - RGPD). Toutes les organisations, quelle que soit leur taille, doivent se conformer à ces exigences, ce qui représente une complexité relativement élevée pour les petites et moyennes entreprises qui disposent rarement à la fois de services informatiques et juridiques.

Les entreprises du secteur public sont, par exemple, régulièrement victimes d'attaques, malgré la mise en œuvre de solutions techniques de cybersécurité, en effet, ces solutions sont souvent mal adaptées au contexte métier de l'entreprise. Les PME sont également affectées par des attaques qui peuvent entraîner des interruptions d'activité de l'entreprise, malgré l'investissement dans des solutions techniques de sécurité coûteuses, si celles-ci ont été mises en place sans une réelle analyse des risques et de leur contexte.

Une solution automatisée permettant de mettre en évidence la bonne cohérence entre les exigences légales, réglementaires et normatives de l'organisation avec l'implémentation de mesures techniques, contribuerait à optimiser l'efficacité des mesures choisis et améliorer le niveau de sécurité réel. C'est l'objectif de la solution REGLYS proposée par Acelys Services Numériques, une ESN montpelliaine indépendante qui mène des travaux dans ce sens en collaboration avec le LIRMM (Laboratoire d'Informatique, de Robotique et de Microélectronique de Montpellier).

CONFORMITÉ RÉGLEMENTAIRE
ET REVUE D'IMPLÉMENTATION

La gouvernance et la cybersécurité des entreprises reposent sur des textes qui définissent les exigences ou les bonnes pratiques nécessaires pour assurer la sécurité des systèmes d'information. Ces réglementations établissent les exigences à respecter pour garantir la conformité et ainsi améliorer le niveau de cybersécurité et de gouvernance des données. Pour valider la conformité aux exigences, les experts en cybersécurité peuvent étudier les documents internes de l'organisation (Politiques de Sécurité des Systèmes d'Information-PSSI, chartes informatiques, etc...) afin de vérifier si l'organisation a décrit des mesures, une organisation ou des processus permettant de répondre aux exigences concernées. Cette activité, longue et fastidieuse, est connue sous le nom de revue d'implémentation de conformité. Un des objectifs de REGLYS est de semi-automatiser ce travail en utilisant une recherche automatique de passages similaires, suivie d'une classification permettant de déterminer si ces passages sont conformes ou non à l'exigence donnée. Les passages identifiés et les estimations de conformité devront, par la suite, être validés par un expert.

L'INTELLIGENCE
ARTIFICIELLE AU SERVICE
DE LA REVUE
D'IMPLÉMENTATION

Afin de mettre en lien les exigences avec les mesures décrites dans le corpus documentaire de l'entreprise, il est nécessaire de comparer ces textes. La sémantique et le style rédactionnel des réglementations peuvent être très différents de ceux utilisés dans les documents de l'entreprise, en effet, ces deux textes n'ont pas la même finalité et style varie d'un rédacteur à l'autre. De ce fait, nous utilisons une approche de type « plongements sémantiques de phrase » afin de pouvoir comparer le sens sémantique des phrases plutôt que le texte. Ces plongements représentent des phrases sous la forme de vecteurs de nombre réels. Cette représentation permet la comparaison, par exemple en calculant la similarité cosinus entre deux vecteurs.

Ces plongements sémantiques sont calculés grâce à des modèles d'intelligence artificielle entrainés et optimisés pour des bonnes performances en comparaison de textes. Ces modèles sont ensuite ré-entrainés sur un corpus de textes spécifiques à la cybersécurité et au vocabulaire juridique pour être mieux adaptés à l'utilisation dans le cadre de REGLYS.

Cette recherche augmentée par l'intelligence artificielle n'est pas la seule utilisation prévue de l'intelligence artificielle dans ce projet. Par exemple, il est aussi programmé d'utiliser de l'intelligence artificielle générale pour compléter et écrire automatiquement la documentation lorsque des modifications des mesures de sécurités sont envisagées et notées dans la revue d'implémentation. Il est aussi prévu d'utiliser l'ap preventissage actif, une technique qui permet à l'utilisateur d'apprendre au modèle d'intelligence artificielle quasiment en temps réel pour permettre aux entreprises d'avoir des modèles d'intelligence artificielle plus performants et adaptés à leurs besoins.
février
2024

<figure><img src="image_16.png" /></figure>

<figure><img src="image_17.png" /></figure>

<figure><img src="image_18.png" /></figure>

amue.fr

### prochain numéro

Le numéro d'avril 2024 sera consacré aux stratégies du numérique universitaire.

À suivre dans les prochains numéros: formes de mutualisation dans d'autres pays, Usages saison 6

<figure><img src="image_19.png" /></figure>

Ces sujets vous intéressent, vous avez une expérience, un point de vue à partager, vous avez une proposition de thème pour un prochain numéro: contactez l'équipe numérique de l'Amue qui est à votre écoute: numerique@amue.fr

2 rue Albert Einstein + 75013 Paris

Nos réseaux sociaux: @Amue_com

<figure><img src="image_20.png" /></figure>

<figure><img src="image_21.png" /></figure>

<figure><img src="image_22.png" /></figure>