Formation cybersécurité et intelligence artificielle

Jour 1

1. Ce que l’IA a changé pour les attaquants

• Pourquoi le coût de production d’une attaque crédible s’est effondré.
• Hameçonnage sans faute de français, ciblé et contextualisé.
• Imitation de voix et de visage : ce qui est aujourd’hui à la portée de tous.
• Ce qui n’a pas changé : les vulnérabilités humaines et organisationnelles visées.
• Pratique : analyse de cas réels documentés, sans reproduction des techniques.

2. La fin de la détection à l’œil

• Les indices qui servaient hier, et pourquoi ils ne servent plus.
• Les outils de détection de contenus générés et leurs limites réelles.
• Le marquage des contenus : ce que la réglementation prévoit, ce qu’on peut en attendre.
• Pratique : exercice de reconnaissance, et constat collectif de ses limites.

3. Des procédures qui résistent

• Le principe : ne plus faire reposer la vérification sur la reconnaissance d’une personne.
• Double validation, canal distinct, mot de passage, seuils de déclenchement.
• Les demandes urgentes et confidentielles : le schéma classique et sa parade.
• Sensibiliser sans effrayer, et faire vivre la procédure dans le temps.
• Pratique : rédaction de la procédure de validation des demandes sensibles.

4. Sensibiliser ses équipes

• Ce que les collaborateurs doivent savoir, en dix minutes et en une heure.
• Construire un message de sensibilisation qui ne soit pas oublié en deux semaines.
• Le rôle des dirigeants et des fonctions exposées.
• Pratique : support de sensibilisation destiné à son organisation.

Jour 2

5. Les risques des outils d’IA déployés chez vous

• Ce qui sort de l’entreprise quand un salarié colle un document dans un outil grand public.
• L’injection de consignes : quand un contenu lu par un assistant lui donne des ordres.
• Un assistant branché sur vos données voit ce que vos droits d’accès lui laissent voir.
• Les extensions et connecteurs installés sans contrôle.
• Pratique : évaluation du risque sur trois outils utilisés dans son organisation.

6. L’IA non déclarée

• Mesurer l’ampleur réelle des usages installés sans décision centrale.
• Pourquoi l’interdiction pure et simple aggrave le problème.
• Offrir une alternative encadrée plutôt que fermer la porte.
• Les questions à poser à un éditeur avant d’autoriser un outil.
• Pratique : inventaire et qualification des usages de son organisation.

7. L’IA du côté de la défense

• Ce qu’elle apporte réellement à l’analyse de journaux et à la détection d’anomalies.
• Aide à la rédaction de procédures, de politiques et de communications de crise.
• Les promesses commerciales à examiner avec méfiance.
• Ce que cela ne dispense pas de faire : les bases restent les bases.

8. Gouvernance et plan d’action

• Articuler sécurité, RGPD et règlement européen sur l’IA.
• Qui décide, qui autorise un outil, qui alerte en cas d’incident.
• Intégrer l’IA dans le plan de réponse à incident existant.
• Hiérarchiser : ce qui est urgent, ce qui attend, ce qui doit être arrêté.
• Pratique : plan de réduction du risque écrit, revue croisée entre participants.
• Questions ouvertes et échanges avec le formateur.