L'annonce par la Virginie, le 23 octobre, de l'Executive Directive 6 inscrit la préparation aux cyberrisques liés à l'IA dans une démarche de planification à l'échelle de l'État. Pour les équipes publiques chargées de la sécurité et de la conformité, la question pratique est de savoir quelles preuves une réponse coordonnée exigera avant qu'un incident ne survienne. Cet article s'appuie sur le communiqué de la gouverneure, qui résume la directive.
StateScoop décrit indépendamment le plan à l'échelle de l'État et le Cyber Consortium. Il s'agit de mesures de coordination. Elles n'établissent pas que toute organisation privée doit acheter un outil de gouvernance de l'IA ou adopter un contrôle technique particulier. Les recommandations opérationnelles ci-dessous présentent l'analyse de Maetra sur les preuves utiles à ce type de coopération.
Partir d'un incident qui traverse plusieurs organisations
Imaginons qu'un agent accède à un service public, transmette un formulaire et déclenche un dossier automatisé. Le responsable du service voit la requête entrante. Un fournisseur technologique détient peut-être la trace d'exécution de l'agent. Une équipe de sécurité possède les journaux réseau. Chaque enregistrement explique une partie de l'événement, mais aucun ne suffit à établir toute la séquence.
Un plan de préparation doit préciser comment rapprocher ces éléments. Désignez une personne chargée de conserver la requête initiale, d'identifier le service concerné et de reconstituer la chronologie disponible. Indiquez quels faits ont été observés directement, lesquels proviennent d'un fournisseur et lesquels restent incertains. L'équipe destinataire pourra ainsi apprécier les éléments sans transformer une première allégation en violation confirmée.
Construire un inventaire utile aux intervenants
Un inventaire de l'IA devient utile pendant un incident lorsqu'il permet d'identifier les systèmes, leurs responsables et les actions possibles. Un nom de produit et une note de risque ne suffisent pas si personne ne sait quelle application peut transmettre une transaction ou modifier des accès.
Pour chaque processus aux conséquences importantes, consignez la finalité métier, le responsable, les outils connectés, les sources de données, les destinations externes et le mécanisme d'arrêt disponible. Ajoutez le fournisseur et la version déployée lorsqu'ils sont connus. Signalez explicitement les champs inconnus et confiez leur clarification à une personne. Un dossier compact et tenu à jour facilite davantage la transmission qu'un vaste inventaire constitué uniquement pour un questionnaire annuel.
La liste de contrôle de Maetra pour l'inventaire des agents fournit une structure de départ. Les équipes doivent l'adapter à leurs services et à leurs responsabilités en cas d'incident.
Répéter concrètement la transmission des preuves
Un consortium ou un groupe de travail peut relier des organisations, mais la transmission opérationnelle exige toujours un format pratique. Les équipes peuvent convenir à l'avance d'un dossier d'incident succinct :
- Une chronologie précisant le fuseau horaire et la source de chaque horodatage.
- Le service touché, son responsable et l'action suspectée.
- Les identifiants pertinents des requêtes, exécutions et décisions.
- Les effets confirmés, les effets non résolus et les mesures de confinement déjà prises.
- L'emplacement des preuves, les restrictions d'accès et un contact pour le suivi.
Conservez les originaux et travaillez sur des copies lorsque cela convient. Ne diffusez pas de données personnelles, d'identifiants de connexion ou de données clients sans rapport avec l'affaire simplement parce que plusieurs organisations enquêtent. Le dossier partagé doit indiquer les preuves supplémentaires disponibles et la manière dont un enquêteur autorisé peut les demander.
Distinguer les obligations des contrôles recommandés
Les équipes de conformité doivent rapprocher le texte effectif de la directive et ses éventuelles mesures d'application des organisations et responsabilités visées. Cet article ne formule pas de conclusion juridique sur une organisation particulière. Un communiqué de presse ne permet pas non plus d'établir tous les détails procéduraux d'une directive applicable.
Tenez un registre des sources avec le document officiel, sa date de publication, le responsable de l'interprétation et la prochaine date de réexamen. Lorsqu'une source change, réexaminez la correspondance concernée. Conservez les recommandations, les engagements internes et les exigences externes dans des champs distincts. Il devient alors plus facile d'expliquer pourquoi un contrôle existe et quelles preuves démontreraient son fonctionnement.
Pour le travail sur les référentiels, la liste de contrôle des preuves de conformité de Maetra aide à organiser la responsabilité des preuves et leur actualité. Une liste de contrôle facilite la préparation ; elle ne certifie pas la conformité au droit de Virginie.
Exercer un scénario précis avant d'élargir le plan
Choisissez un scénario délimité, par exemple un agent qui envoie une requête externe non autorisée. Demandez au responsable du service de la détecter, à l'équipe de sécurité de conserver les événements pertinents et au responsable du processus d'arrêter les actions suivantes. Vérifiez comment les intervenants identifient les enregistrements touchés et distinguent une action réussie d'une simple tentative.
Évaluez la transmission elle-même : les responsabilités étaient-elles claires, les preuves disponibles et les horodatages rapprochables ? Les questions ouvertes ont-elles atteint la bonne personne ? Consignez les lacunes et répétez l'exercice après les corrections nécessaires. Un exercice court aux résultats vérifiables apporte davantage qu'une affirmation générale de préparation.
L'annonce de la Virginie invite à réexaminer ces dispositions opérationnelles. La prochaine étape consiste à choisir un processus d'IA aux conséquences importantes et à associer ses contrôles, responsables des preuves et dates de réexamen aux référentiels pertinents pour votre organisation.