Sagentix Cybersécurité et IA
Une politique énonce des principes.
Un programme les rend contraignants.
La plupart des organisations qui « ont une gouvernance de l’IA » ont une politique — et rien en aval n’a changé. Nous bâtissons l’aval : les instruments qui transforment des principes en obligations dont quelqu’un répond.
Bâtis selon les cadres qui lient réellement, superposés au processus de risque que vous exploitez déjà, plutôt qu’à un processus parallèle qui lui fait concurrence.
Ce qui change une fois le programme en place
Le test est simple : après le travail, un système d’IA peut-il échouer à une porte ? Si rien ne peut échouer, rien n’est gouverné.
Une politique qui énonce des principes
Une directive qui crée des obligations — des rôles nommés, des activités obligatoires et des jalons de conformité dont quelqu’un répond
Des lignes directrices qui n’engagent personne
Une norme de sécurité des TI aux exigences techniques vérifiables, pour qu’une évaluation puisse réussir ou échouer à son égard
Un processus IA distinct, à côté du vrai
Une surcouche de risque à l’intérieur du cadre d’évaluation que vous exploitez déjà, pour qu’un système d’IA ne puisse pas le contourner
Des instruments antérieurs à l’IA qui n’en parlent jamais
Des modifications qui atteignent les normes déjà en vigueur, plutôt qu’une pile parallèle qui leur fait concurrence
De quoi le programme est fait
Six instruments qui se composent. Chacun est utilisable seul ; ensemble, ils bouclent la boucle du principe à l’exigence exécutoire.
Directive de programme de gouvernance
L'instrument qui crée les obligations : structure de gouvernance, rôles et responsabilités, activités obligatoires que traverse chaque système d'IA, et jalons de conformité selon lesquels le programme est mesuré.
Norme de sécurité des TI pour l’IA
Exigences techniques obligatoires pour l'usage et le développement sécurisés de l'IA — traitement des données, journalisation, évaluation et exercices d'équipe rouge avant déploiement, contraintes des systèmes agentiques, cryptographie et mise hors service.
Modifications aux normes existantes
Plutôt qu'une pile parallèle, des modifications ciblées aux normes déjà en vigueur — gestion des accès, identité, infonuagique, sécurité applicative, journalisation, gestion des menaces et des vulnérabilités — pour que les obligations liées à l'IA se trouvent là où les praticiens regardent déjà.
La surcouche de risque
Une surcouche de sensibilité et d'incidence propre à l'IA sur le cadre d'évaluation des risques que l'organisation exploite déjà, produisant un score cohérent et défendable ainsi qu'un niveau d'assurance qui module la profondeur de ce qui suit.
Contrôles de conception sécurisée
Des contrôles organisés par patron de déploiement plutôt que par produit, avec une étape de cadrage qui indique à une équipe quel sous-ensemble s'applique à ce qu'elle construit réellement — et des architectures de référence qui les composent.
Politique et détection de l’IA non sanctionnée
Une classification sanctionné, toléré, interdit ; un programme de détection couvrant les contrôles d'accès infonuagiques, la prévention des pertes de données, les dépôts de code, les notes de frais et les sondages ; des règles d'utilisation acceptable ; et les clauses d'approvisionnement qui empêchent le problème de revenir.
Bâtis selon ce qui lie
Pas selon les normes qui font une belle diapositive. Selon celles qu’un vérificateur, un organisme de réglementation ou un dirigeant imputable vous opposera réellement.
- Cadre de gestion des risques liés à l’IA du NIST, version 1.0
- NIST AI 600-1 — profil de l’IA générative
- ISO/IEC 42001 — systèmes de management de l’IA
- OWASP Top 10 pour les applications de grands modèles de langage
- MITRE ATLAS — paysage des menaces adverses visant les systèmes d’IA
- ISO/IEC 27001 et la pile d’instruments de sécurité existante
- ITSG-33 et le catalogue de contrôles canadien, lorsque l’organisation est fédérale
Livré
Bâti et en exploitation dans une grande institution fédérale canadienne du secteur financier, en tant qu’opérationnalisation, en architecture de cybersécurité, de la politique de cette organisation sur l’information, les données et l’intelligence artificielle — la directive, la norme technique, les modifications intégrées à la pile de normes existante, la surcouche de risque dans le cadre d’évaluation en place, les contrôles organisés par patron de déploiement, les architectures de référence qui les composent, ainsi que la politique et le programme de détection de l’IA non sanctionnée.
Livré parallèlement à un programme de migration postquantique, avec une composition explicite entre les deux pour que les modifications liées à l’IA se superposent proprement à celles portant sur la cryptographie plutôt que d’entrer en collision avec elles.
Aucun client n’est nommé. Les mandats sont décrits au niveau de la méthode ; des références nommées sont disponibles sur demande, sous réserve du consentement du client.
Un système d’IA peut-il échouer à une porte aujourd’hui ?
Trente minutes. Nous établissons ce que vos instruments actuels obligent réellement, par où un système d’IA les contourne, et à quoi ressemble le plus court chemin vers un programme exécutoire à partir de là où vous êtes déjà.