IA Et Cybersécurité Bancaire : Nouveaux Défis
Imaginez un instant un adversaire capable d’enchaîner des dizaines de failles mineures en quelques minutes pour créer une brèche majeure. C’est exactement ce que l’intelligence artificielle permet aujourd’hui aux acteurs malveillants. Dans les salles de contrôle des grandes institutions financières, le rythme des alertes s’accélère et les anciennes priorités ne suffisent plus. Chez CIBC, l’une des principales banques canadiennes qui accompagne plus de quinze millions de clients, le responsable de la sécurité de l’information observe ce basculement au quotidien et en tire des leçons précieuses pour toute l’industrie.
L’intelligence artificielle redéfinit le paysage des menaces
Pendant longtemps, les équipes de cybersécurité pouvaient se concentrer sur les vulnérabilités jugées critiques. Les problèmes de moindre gravité restaient en bas de la liste. Cette logique s’effondre. L’IA excelle précisément à relier ces faiblesses secondaires pour générer un risque bien plus élevé. Joe LoBianco, Executive Vice-President et Chief Information Security Officer de CIBC, le résume sans détour : l’intelligence artificielle supercharge le rythme et la sophistication des attaques déjà en hausse depuis des années.
Les outils les plus avancés ne sont pas encore massivement tombés entre de mauvaises mains, mais les premières vagues d’attaques assistées par IA se multiplient. Elles permettent aux adversaires d’agir à une échelle et à une vitesse inédites. Pour une banque qui doit protéger à la fois ses systèmes critiques, les données de ses clients et l’ensemble de ses prestataires tiers, l’équation devient nettement plus complexe.
Nous avons constaté une accélération et une sophistication croissantes des menaces au fil du temps. Je dirais que l’IA les supercharge.
– Joe LoBianco, CIBC
Des points faibles qui s’enchaînent
La vraie nouveauté réside dans la capacité de l’IA à transformer un ensemble de défauts isolés en une chaîne d’attaque cohérente. Une configuration un peu trop permissive ici, une bibliothèque logicielle non mise à jour là, une identité mal gérée ailleurs : pris séparément, ces éléments semblent secondaires. Combinés par un système intelligent, ils ouvrent des portes que les défenses traditionnelles peinent à anticiper.
Cette réalité force les institutions à revoir entièrement leur façon de prioriser les correctifs. Il ne s’agit plus seulement de traiter les alertes rouges. Il faut aussi accélérer le traitement des alertes jaunes et même des alertes vertes, car elles peuvent devenir le maillon d’une attaque bien plus grave.
Comment les banques adaptent leurs défenses
Face à cette mutation, CIBC a choisi d’élargir son champ d’action. La banque ne se contente plus de surveiller les risques les plus élevés. Elle s’attaque désormais plus rapidement aux faiblesses de moindre criticité. Plusieurs axes prioritaires se dessinent clairement dans sa stratégie.
L’intégration de la sécurité dès la conception des nouveaux produits figure en tête de liste. Les équipes de développement ne peuvent plus considérer la cybersécurité comme une étape finale. Elle doit accompagner chaque phase du cycle de vie logiciel. L’automatisation des tests de sécurité progresse également à grands pas. Enfin, la gestion des risques liés aux prestataires tiers devient un chantier majeur, car l’écosystème d’une banque moderne s’étend bien au-delà de ses propres murs.
Parallèlement, CIBC utilise elle-même l’intelligence artificielle pour renforcer ses propres capacités de détection et de test. Les pratiques fondamentales – correctifs, gestion des identités, protection des données – restent essentielles, mais elles s’appuient désormais sur des outils plus intelligents et plus réactifs.
Anticiper plutôt que réagir
Les équipes de sécurité doivent aujourd’hui construire des défenses capables d’absorber les menaces de cette année et de l’année prochaine. Chez CIBC, cette anticipation passe par une veille active. Lorsque d’autres organisations subissent une attaque, les analystes examinent quels contrôles ont failli et se demandent comment leurs propres systèmes se comporteraient dans les mêmes conditions.
Ces enseignements nourrissent aussi les solutions développées en interne. Le rôle de l’équipe de sécurité n’est plus seulement de bloquer des menaces. Il consiste à aider l’ensemble de l’entreprise à gérer ses risques en proposant des alternatives concrètes et opérationnelles.
Le niveau d’exigence envers les éditeurs s’élève
Aucune banque ne peut tout résoudre seule. Les prestataires technologiques restent indispensables, que ce soit pour apporter une expertise pointue ou pour éviter de reconstruire ce qui existe déjà ailleurs. Pourtant, une solution techniquement brillante ne suffit plus. L’intégration dans les processus existants de la banque devient souvent le critère décisif.
Un outil peut générer d’excellentes alertes. Si ces alertes ne s’insèrent pas naturellement dans les workflows d’investigation et de remediation déjà en place, son intérêt diminue fortement. Les startups qui comprennent ces contraintes dès le départ gagnent un avantage considérable. Comme le souligne Joe LoBianco, il faut faire ses devoirs et réellement comprendre comment le client travaille au quotidien.
Si c’est difficile à intégrer dans nos pratiques de sécurité, alors peu importe qu’elle soit deux pour cent meilleure que l’autre solution. Notre délai de mise sur le marché en sera impacté.
– Joe LoBianco, CIBC
Sean Duffy, Managing Director chez CIBC Innovation Banking pour le Royaume-Uni et l’Europe, confirme cette réalité depuis le côté marché. Vendre une technologie à une grande institution financière peut prendre des années. Les décisions d’achat impliquent de nombreux interlocuteurs et une complexité bien supérieure à celle d’une PME. Les fondateurs doivent intégrer ces délais dans leur stratégie de financement et de go-to-market.
Ce que les banques attendent vraiment des startups
Au-delà de la performance pure, les acheteurs veulent savoir comment le produit évoluera avec l’intelligence artificielle, quels clients l’utilisent déjà et surtout à quel point l’intégration sera simple. Lorsque les données de la banque transitent vers les systèmes d’un prestataire, le niveau d’exigence grimpe encore. Il faut prouver que la protection restera à la hauteur tout au long de la relation.
Les délais de correction des vulnérabilités se raccourcissent également de façon spectaculaire. L’attente n’est plus de plusieurs jours ou semaines. Elle se rapproche désormais d’un délai de 24 heures, voire moins, pour les environnements sensibles. Cette capacité doit être démontrée dès le cycle de vente et rester crédible sur le long terme.
Malgré ces exigences accrues, les banques continuent de s’appuyer largement sur des partenaires externes. Construire chaque solution en interne serait ni réaliste ni rentable. Les entreprises nées pour répondre à des besoins clients spécifiques n’ont pas vocation à devenir des usines à logiciels. Leur focus reste ailleurs.
Vers davantage de co-développement
Le modèle évolue. Au lieu d’acheter purement des logiciels prêts à l’emploi, CIBC recherche de plus en plus des partenaires de conception et de développement. La relation devient plus collaborative. Les startups qui acceptent ce mode de travail et qui comprennent les contraintes réglementaires et opérationnelles des grandes banques se positionnent favorablement.
Joe LoBianco et Sean Duffy convergent sur les conseils à donner aux fondateurs. Il faut comprendre son client, résoudre un vrai problème, s’adapter à l’évolution de ses besoins et préparer plusieurs leviers de commercialisation. Un produit capable de s’adresser à d’autres secteurs ou à d’autres branches des services financiers ne doit pas négliger ces opportunités. Gagner un contrat avec une grande banque est excellent, mais le cycle peut s’étendre sur deux ou trois ans. La patience fait partie de la stratégie.
Cette patience est souvent récompensée. Obtenir la confiance d’une institution financière apporte une crédibilité qui dépasse largement le contrat initial. Les banques investissent beaucoup de temps et de ressources dans l’évaluation et l’intégration d’une nouvelle technologie. Une fois la relation établie, elle tend à durer. CIBC considère ses prestataires technologiques comme des partenaires de long terme plutôt que comme des fournisseurs interchangeables.
Pourquoi les startups ont encore toute leur place
Les grandes institutions financières gèrent des mandats complexes. Leur cœur de métier n’est pas le développement logiciel. Elles ont tout intérêt à s’appuyer sur des entreprises spécialisées capables d’innover rapidement. Pour les startups, le secteur bancaire offre une combinaison rare : une échelle de clients importante, une capacité de dépense significative et une demande de long terme.
Le chemin est exigeant. Il demande de la rigueur sur la sécurité, de la transparence sur les capacités d’intégration et une réelle capacité d’écoute. Mais pour celles qui acceptent de jouer le jeu sur la durée, les retours peuvent se mesurer en années de collaboration stable et en références de premier plan.
L’intelligence artificielle ne se contente pas d’accélérer les menaces. Elle transforme aussi les relations entre les banques et leurs partenaires technologiques. Les startups qui sauront allier excellence technique, facilité d’intégration et vision collaborative ont devant elles un terrain de jeu particulièrement stimulant. Dans un monde où les chaînes d’attaque se construisent en quelques minutes, la capacité à construire des défenses et des partenariats solides devient un avantage stratégique décisif.
Les institutions qui réussiront seront celles qui sauront combiner les forces de l’interne et de l’externe, tout en gardant une longueur d’avance sur des adversaires de plus en plus assistés par l’IA. Pour les fondateurs de startups, le message est clair : le marché bancaire reste ouvert, mais il demande désormais un niveau de maturité et de préparation supérieur. Ceux qui s’y préparent dès aujourd’hui se donneront les meilleures chances de réussir demain.
