Intelligence artificielle pour le responsable de la sécurité des systèmes d'information.
Pour le RSSI, l'IA introduit une surface d'attaque nouvelle : injection de prompt, exfiltration de données par inversion de modèle, empoisonnement, contournement par requêtes adversariales. Notre approche couvre la sécurité dès la conception, le filtrage des sorties, la traçabilité signée et la coopération avec votre SOC. NIS2 et le Règlement européen sur l'IA convergent sur la robustesse ; le dossier de preuves est conçu pour les deux régimes.
Cinq préoccupations que nous traitons par défaut
- Robustesse adversariale. Tests d'injection de prompt, contournement de filtres, attaques par jailbreak documentées sur jeu d'évaluation versionné.
- Filtrage des sorties. Détection PII, fuite de secrets, sortie hors politique. Filtres versionnés et explicables.
- Visibilité sur la chaîne d'approvisionnement. Registre des sous-traitants, dépendances modèles, données d'entraînement, mise à jour suivie.
- Chaîne de preuves. Journaux d'inférence chaînés, signés, exportables. Le SOC peut corréler avec ses outils existants.
- Réponse à incident. Plan d'intervention couvrant compromission de modèle, fuite via inférence, manipulation de la sortie. Délais de notification NIS2 préparés.
Le pilier TRACE qui sert votre rôle : Confiance
Sur TRACE, la lettre T correspond à la confiance. Pour un RSSI, c'est le pilier central. Les données restent en Union européenne, les pistes d'audit sont prêtes, les obligations cyber du Règlement IA et de NIS2 sont intégrées avant la première ligne de code. Le système n'est livré que lorsqu'il est défendable. Lire la méthodologie TRACE complète.
Cadres de référence que nous suivons
- OWASP LLM Top 10 et OWASP ML Top 10 pour la couverture menace.
- NIST AI Risk Management Framework, fonctions Measure et Manage, en complément du Règlement IA.
- Règlement européen sur l'IA, article 15 (précision, robustesse, cybersécurité).
- Directive NIS2, article 21 (mesures techniques) et article 23 (signalement d'incidents).
- ISO 27001 (audit prévu en 2026) et ISO 42001 pour la gouvernance.
Livrables que nous produisons pour le RSSI
- Modèle de menace IA spécifique au cas d'usage.
- Suite de tests adversariaux versionnée et rejouable.
- Architecture de filtrage des sorties documentée.
- Procédure de réponse à incident IA, alignée délais NIS2.
- Registre des sous-traitants et inventaire des dépendances modèle.
- Journal d'inférence signé, intégrable à votre SIEM.
Questions fréquentes
Comment couvrez-vous l'injection de prompt ?
Par défense en profondeur : filtrage en entrée, instructions système robustes, sortie filtrée, supervision humaine effective sur les actions sensibles. Les tests sont rejouables et documentés.
Travaillez-vous avec notre SOC ?
Oui. Les journaux sont conçus pour ingestion SIEM avec champs normalisés. Les playbooks de réponse à incident IA sont co-écrits avec votre équipe SOC.
Une certification ISO 27001 est-elle prévue ?
L'audit est prévu en 2026. Nous opérons aujourd'hui selon des contrôles alignés ISO 27001 et ISO 42001, en attente de certification formelle.