Plus intelligent à grande échelle : pourquoi les techniques de classification natives de l'IA sont plus performantes que l'analyse exhaustive

Conseils pour les RSSI, les responsables de la sécurité et les DPO opérant à l'échelle du monde réel
Le point de vue des laboratoires de recherche Cyera

• La numérisation exhaustive ne fonctionne plus. À une échelle de plusieurs pétaoctets, il fournit des résultats périmés, réduit le budget et ne vous permet de couvrir qu'une petite partie de votre environnement.
  
• La représentation intelligente est la seule approche qui fonctionne actuellement. Il offre une visibilité granulaire et de haute précision en quelques semaines, pas en années, et fournit des preuves que vous pouvez soutenir.
  
• Il s'agit d'une gouvernance disciplinée, et non d'une approche tranchante. L'assurance est obtenue grâce à des méthodes documentées et à l'auditabilité-pas en lisant chaque octet.
  

Ce que nous entendons par « représentation intelligente »

Représentation intelligente est une méthode disciplinée de modélisation de grandes populations de données répétitives en utilisant des méthodes vérifiables représentant des preuves afin que vous puissiez déduire le contenu et les risques au niveau de la famille/de la colonne à l'aide de critères documentés, d'erreurs limitées et d'un chemin régi vers des lectures approfondies en cas de besoin.

Au lieu de lire chaque octet, la représentation intelligente regroupe les données similaires en familles et inspecte entièrement un petit ensemble significatif de représentants. Si ces représentants sont d'accord, généralisez le résultat à la famille (ou aux colonnes du tableau), enregistrez pourquoi cela était suffisant, et revérifiez selon un calendrier ou lorsqu'une dérive est détectée. Lorsqu'une question étroite et à enjeux élevés se pose, nous effectuons une lecture approfondie ciblée, à titre exceptionnel.

Où la représentation s'applique et où elle ne l'est pas

Appliquez-le là où vous le souhaitez. Utilisez une représentation intelligente pour les données répétitives générées par des machines dans les lacs de données et les magasins d'objets dans le cloud et pour une compréhension au niveau des colonnes dans les magasins structurés/tabulaires. La modélisation de familles et l'inspection de lignes représentatives fournissent le même signal de risque en un rien de temps et à moindre coût.

Ne le forcez pas là où il ne rentre pas. Pour les contenus SaaS non structurés et sur site (documents, slides, e-mails, chats), l'inspection directe des fichiers est la bonne méthode. La variabilité et le contexte générés par l'homme exigent des lectures complètes.

Le schéma gagnant est hybride. Représentation de l'échelle là où la répétition existe ; inspection complète des fichiers lorsque la variabilité et le contexte sont importants.

Pourquoi « tout scanner » échoue dans la pratique

• Dérive temporelle : Les grands balayages prennent des semaines ; une fois terminés, les schémas et les voies d'accès ont évolué.
  
• Couverture fine : Les restrictions et les coûts vous obligent à effectuer des « scans complets » de zones étroites alors que les tableaux de bord semblent toujours « complets ».
  
• Signal faible : Des entrées uniformes produisent des résultats dupliqués ; les valeurs aberrantes apparaissent tardivement.
  
• Confidentialité et dépenses : Les lectures de contenu inutiles augmentent la visibilité et les factures sans améliorer les décisions.
  

Le résultat est une magnifique carte d'antan, sans toucher au risque réel.

Une gouvernance qui permet de rester défendable

• Normes d'assurance propres au programme. Définissez et documentez les objectifs de confiance en matière de détection au niveau du programme de sécurité. Rendez-les basés sur les risques et révisables, et non pas délégués à des « curseurs » d'outils ou à des paramètres utilisateur ad hoc.
  
• Revérification planifiée. Maintenez la couverture sur une cadence définie (et lors d'événements de changement). La représentation accélère la classification initiale ; la fraîcheur provient de revérifications périodiques et de contrôles déclenchés par dérive, et non de nouvelles analyses continues et inutiles.
  
• Auditabilité de bout en bout. Consignez ce qui a été inspecté, pourquoi les preuves étaient suffisantes et où des exceptions ont été faites. Les définitions des familles, la logique de sélection, les seuils de généralisation et les décisions d'exception doivent tous être traçables afin que les auditeurs et les régulateurs puissent suivre la piste.

L'objection inévitable (et la vraie réponse)

« Qu'en est-il de la clé secrète d'une personne sur un million ? »

Lorsque la question est binaire et à portée étroite, exécutez une lecture approfondie ciblée sur cette surface (en tant qu'exception régie par une politique), et non dans un mode de fonctionnement par défaut. Cette approche permet de prendre plus de risques réels par unité de temps et de coût tout en garantissant la précision lorsque celle-ci est requise.
Pensez à la recherche d'un détecteur de métaux sur une plage.

Scan complet = un détecteur, un pied à la fois.

Représentation intelligente = des centaines de détecteurs concentrés là où les signaux sont probables, avec des règles claires indiquant quand effectuer une recherche sur la grille d'un patch spécifique.
‍
Choisissez la représentation ou choisissez la stagnation.
‍
À l'échelle moderne, « tout scanner » garantit le retard, le bruit et les angles morts. Représentez les endroits où la répétition existe ; inspectez en profondeur les enjeux et l'ampleur qui l'exigent.
‍
Arrêtez de tout scanner. Représentez ce qui compte, prouvez-le et agissez.

Il ne s'agit pas d'un appel à la nuance, mais d'un appel à ne plus perdre de temps.

Arrêtez de tout scanner. Représentez ce qui compte, prouvez-le et agissez.