Un seul fichier mal configuré est-il votre plus grand risque IA?

Que s'est-il réellement passé, et pourquoi cela vous concerne-t-il?

Selon les informations rapportées, l'un des laboratoires d'IA les plus avancés a exposé son propre code source à cause d'un seul fichier mal configuré. Le détail qui mérite votre attention n'est pas l'entreprise. C'est à quel point la défaillance était ordinaire. Ce n'était pas une attaque brillante venant à bout de défenses brillantes. C'était un paramètre laissé de travers, et le même paramètre existe dans la plupart des organisations qui n'ont jamais regardé.

Pourquoi les fondamentaux l'emportent-ils sans cesse sur le brillant?

Parce que l'incident courant n'est pas une faille zero-day. C'est un bucket public, une clé exposée, une dépendance que personne n'a revue, ou un fichier de configuration mis en production avec le mauvais flag. La sophistication de votre produit ne vous protège pas d'une case laissée non cochée dans votre infrastructure. L'organisation d'ingénierie la plus compétente d'un domaine peut tout de même perdre ses joyaux de la couronne à cause d'une erreur de configuration de routine, et c'est précisément là le point.

À quoi ressemble concrètement la discipline de configuration?

Elle est sans éclat et reproductible. La configuration est revue avant la mise en production, et non après un incident. Les accès suivent le moindre privilège, de sorte qu'une seule erreur expose peu de choses. Il existe un inventaire à jour de ce qui est public par rapport à ce qui est privé. Le contrôle des changements est réel, et une personne nommément désignée répond de ce qui sort. Rien de tout cela n'est passionnant. Tout cela fait la différence entre un trimestre tranquille et une violation que vous devez expliquer à votre conseil d'administration.

Par où une entreprise devrait-elle commencer?

Partez du principe que l'exposition existe déjà et allez la chercher. Auditez ce qui est accessible publiquement, qui peut modifier la configuration, et si quelqu'un assume réellement cette responsabilité. La plupart des organisations découvrent que la réponse à la dernière question est personne en particulier, et c'est là le vrai constat. Corrigez cela, et l'essentiel du risque suit. Ici, la discipline n'est pas un coût. C'est l'assurance la moins chère que vous achèterez jamais.

À lire ensuite: Quelle est la ligne la plus dangereuse de votre bilan ?  ·  Alphabet lève 80 milliards de dollars pour l'IA. C'est votre signal pour cesser de rivaliser sur l'infrastructure.