Ashley Rose, fondatrice et PDG de Living Security – Série d’entretiens

Ashley Rose, fondatrice et PDG de Living Security, est une entrepreneur en série et une innovatrice en cybersécurité qui se concentre sur la rédefinition de la manière dont les organisations abordent le risque humain en matière de sécurité. Depuis la fondation de l’entreprise en 2017, elle a dirigé le développement d’une approche de cybersécurité basée sur les données et axée sur le comportement, qui va au-delà de la formation traditionnelle à la sensibilisation pour atteindre une réduction mesurable du risque et un changement culturel. En tirant parti de son expérience en leadership de produit et en entrepreneurship, elle a aidé à faire croître Living Security en une plateforme SaaS à croissance rapide utilisée par des organisations d’entreprise, tout en contribuant à l’écosystème plus large de la cybersécurité en tant que mentor, conseiller et défenseur d’initiatives comme Women in CyberSecurity.

Living Security est une entreprise de cybersécurité SaaS qui se concentre sur la gestion des risques humains, aidant les organisations à identifier, mesurer et réduire les risques associés au comportement des employés. Sa plateforme agrège des données comportementales, d’identité et de menace pour identifier les utilisateurs à haut risque et fournir des formations et des interventions ciblées en temps réel conçues pour prévenir les violations de sécurité avant qu’elles ne se produisent. En combinant l’analyse, l’automatisation et des méthodes de formation engageantes telles que des simulations et des expériences de jeu, l’entreprise permet aux entreprises de passer d’une sécurité basée sur la conformité à une réduction du risque proactive et mesurable à travers leur main-d’œuvre.

Vous avez fondé Living Security en 2017 après avoir précédemment construit et développé une entreprise de produits de consommation et travaillé en tant que propriétaire de produit. Quel moment ou quelle réalisation spécifique vous a amené à vous concentrer sur la cybersécurité et le risque humain, et comment cette thèse originale a-t-elle résisté à l’intégration de l’IA dans la main-d’œuvre ?

En 2017, la plupart des organisations traitaient la formation à la sensibilisation à la sécurité comme un exercice de case à cocher, et cela ne changeait pas le comportement. Le point de rupture a été de réaliser que si le comportement humain était à l’origine des violations de sécurité, la réponse ne pouvait pas être une formation plus oubliable. Drew Rose, co-fondateur de Living Security, dirigeait lui-même des programmes de sécurité et a commencé à les rendre plus ludiques, en créant des prototypes de salles d’évasion de cybersécurité. Nous avons vu de visu que lorsque vous rendez la sécurité expérientielle, les gens s’engagent, apprennent et changent réellement de comportement. C’est devenu la fondation de Living Security.

En tant que co-fondateurs, Drew et moi avons rapidement réalisé que l’engagement n’était que le point de départ. À mesure que nous développons ces expériences en une plateforme, nous avons commencé à voir des modèles dans la façon dont les gens se comportaient, où ils luttent et où le risque est réellement concentré. Cela a mis en évidence un écart beaucoup plus important : les organisations n’avaient aucune visibilité réelle sur le risque humain ou sur la façon de le réduire de manière ciblée. Cette compréhension nous a amenés à être des pionniers dans la gestion des risques humains, qui consiste à identifier, mesurer et réduire le risque en fonction du comportement individuel, de l’accès et des menaces, et non seulement à fournir une formation. À mesure que l’IA s’intègre dans la main-d’œuvre, cette thèse originale n’a fait que s’étendre : le défi n’est plus seulement le comportement humain, mais la façon dont les humains et les systèmes d’IA opèrent ensemble. Les humains sont toujours au centre, maintenant en train de gérer et de déployer des agents d’IA, ce qui signifie que vous devez étendre la visibilité à ces agents et relier ce risque à l’individu. C’est ce qui pousse notre évolution vers la sécurité de la main-d’œuvre.

Vous avez soutenu que l’erreur humaine est une explication incomplète des violations de sécurité. Comment les organisations devraient-elles repenser le risque de la main-d’œuvre aujourd’hui, lorsque à la fois le comportement humain et les actions déclenchées par l’IA contribuent à la surface d’attaque ?

Encadrer les violations de sécurité comme « erreur humaine » simplifie à l’extrême le problème et occulte l’endroit d’où vient réellement le risque. Le risque humain n’est pas seulement une question d’erreurs, il est façonné par une combinaison de comportement, d’accès et d’exposition aux menaces. Certains employés ont un accès privilégié à des systèmes sensibles, certains sont ciblés plus fréquemment et certains présentent des comportements plus risqués, donc les risques de violation ne sont pas répartis uniformément. Pour vraiment comprendre le risque, les organisations ont besoin de visibilité sur l’endroit où ces facteurs se croisent et où le risque humain existe.

Par conséquent, les organisations doivent aller au-delà des modèles basés sur la sensibilisation et repenser le risque de la main-d’œuvre comme un défi opérationnel partagé, qui s’étend à la fois au risque humain et aux actions déclenchées par l’IA. Cela signifie se concentrer sur une visibilité continue sur la façon dont le travail est effectué, comprendre où le risque est concentré et appliquer des interventions ciblées et en temps réel à travers une main-d’œuvre hybride, plutôt que de traiter le risque comme des erreurs isolées d’utilisateurs.

Les outils d’IA rédigent maintenant du code, gèrent des flux de travail et prennent même des décisions. À quel moment les systèmes d’IA cessent-ils d’être des outils et commencent-ils à être traités comme faisant partie de la main-d’œuvre d’un point de vue sécurité ?

Les systèmes d’IA cessent d’être de simples outils et commencent à être considérés comme faisant partie de la main-d’œuvre au moment où ils prennent des actions à l’intérieur des environnements d’entreprise. À ce stade, ils introduisent des risques de la même manière que les employés : à travers les actions qu’ils effectuent, les autorisations dont ils disposent et les données qu’ils touchent. Le changement pour les organisations est de reconnaître que les agents d’IA ne sont pas seulement des couches de productivité – ils sont des participants opérationnels et ont besoin d’être gérés, surveillés et sécurisés aux côtés des utilisateurs humains dans un modèle de risque de main-d’œuvre unifié.

Comment les entreprises devraient-elles aborder la gouvernance lorsque le risque n’est plus limité aux employés, mais s’étend aux agents d’IA qui opèrent avec des niveaux d’autonomie et d’accès variables ?

Les entreprises doivent aller au-delà d’une gouvernance basée sur les politiques et la traiter comme un processus continu et basé sur le comportement qui s’applique à la fois aux humains et aux agents d’IA. La plupart des organisations ont déjà des politiques d’IA en place, mais le fossé se situe dans l’application et la visibilité, en particulier à mesure que les employés adoptent des outils au-delà des environnements approuvés et que les systèmes d’IA opèrent avec des niveaux d’accès variables.

Une gouvernance efficace commence par définir clairement l’utilisation acceptable en fonction du rôle et de l’accès aux données, mais elle nécessite également des conseils en temps réel intégrés dans les flux de travail et des mesures continues afin que les organisations puissent voir où le risque émerge et s’adapter. En fin de compte, la gouvernance doit refléter la façon dont le travail se déroule réellement aujourd’hui : à travers une main-d’œuvre hybride où les humains et les systèmes d’IA prennent des décisions, accèdent à des données et introduisent des risques.

Living Security s’est fortement concentrée sur les modèles de sécurité basés sur le comportement. Comment cette philosophie se traduit-elle lorsque certains comportements proviennent désormais de systèmes d’IA plutôt que d’humains ?

L’approche basée sur le comportement de Living Security s’étend naturellement à l’IA, car l’accent a toujours été mis non pas sur qui crée le risque, mais sur la façon dont le risque est introduit à travers les actions. Que ce soit une personne ou un système d’IA, le risque se manifeste dans les comportements, dans la façon dont les données sont accessibles, les actions prises et les décisions exécutées dans les flux de travail. À mesure que les systèmes d’IA prennent de plus grandes responsabilités opérationnelles, ce même modèle s’applique : les organisations ont besoin de visibilité sur ces comportements, ainsi que de la capacité de guider et d’intervenir en temps réel.

Voilà ce qui a conduit au développement de Livvy, l’intelligence d’IA qui alimente la plateforme Living Security – en appliquant l’intelligence prédictive et la surveillance continue à la fois sur l’activité humaine et d’IA. Au lieu de traiter l’IA comme un défi distinct, cela permet une approche plus unifiée où le comportement, humain ou machine, est continuellement mesuré, guidé et géré dans un modèle de risque de main-d’œuvre unique.

De nombreuses organisations s’appuient encore sur des formations périodiques à la sensibilisation à la sécurité. Pourquoi ce modèle se brise-t-il dans les environnements modernes, et à quoi ressemble une approche véritablement adaptative et basée sur les données ?

La formation périodique à la sensibilisation à la sécurité se brise parce qu’elle a été conçue pour un paysage de menaces statique et suppose que le risque peut être réduit par une éducation large. En réalité, la plupart des incidents proviennent de comportements opérationnels quotidiens, et non d’un manque de formation, et le risque est souvent concentré parmi un petit sous-ensemble d’utilisateurs. Une approche plus adaptative et basée sur les données se concentre sur l’identification continue de l’endroit où le risque existe réellement et fournit des conseils ciblés et en temps réel dans le flux de travail, plutôt que de se concentrer sur l’achèvement de la formation.

Votre plateforme met l’accent sur la quantification du risque humain à l’aide de données du monde réel. Quels sont les signaux les plus importants que les organisations devraient suivre aujourd’hui pour comprendre le risque de manière dynamique plutôt que rétrospective ?

Les organisations devraient se concentrer sur le comportement, l’identité et l’accès, ainsi que l’exposition aux menaces, des signaux qui reflètent la façon dont le risque est créé et où il se concentre à travers la main-d’œuvre. Cela s’étend désormais à l’IA, y compris les outils que les employés utilisent, l’accès dont ces systèmes disposent et la façon dont ils sont configurés ou sollicités. À eux seuls, ces signaux sont utiles, mais la véritable valeur réside dans la façon dont ils se combinent pour raconter une histoire sur le risque.

Par exemple, un directeur financier qui a accès à des systèmes financiers, n’utilise pas l’authentification multifacteur, utilise des outils d’IA connectés à des données sensibles et est activement ciblé par des campagnes de phishing représente un niveau de risque très différent de celui d’un représentant commercial avec un accès limité et une exposition moindre. Le risque n’est pas seulement dans ce que quelqu’un fait, mais dans ce à quoi il a accès, les systèmes qui agissent en son nom et la fréquence à laquelle il est ciblé. Lorsque vous pouvez voir ces facteurs ensemble, vous pouvez comprendre où une violation est la plus susceptible de se produire et prendre des mesures en temps réel, que ce soit en alertant l’individu, en resserrant les contrôles ou en donnant la priorité à l’intervention pour ce groupe.

L’IA crée de nouvelles vulnérabilités, mais elle est également utilisée de manière défensive. Où voyez-vous l’équilibre se déplacer, et allons-nous vers un impact de sécurité négatif net ou positif de l’IA ?

L’IA fait les deux, en élargissant la surface d’attaque tout en améliorant la façon dont les organisations détectent et répondent au risque. D’une part, elle permet des flux de travail plus complexes et des actions autonomes qui peuvent introduire de nouvelles vulnérabilités ; d’autre part, elle permet aux équipes de sécurité d’analyser le comportement à grande échelle et de réagir plus rapidement. L’équilibre dépend de la façon dont les organisations s’adaptent. Actuellement, de nombreuses organisations sont toujours en train de rattraper leur retard en termes de visibilité et de gouvernance, en particulier à mesure que l’IA est utilisée de manières qu’elles n’ont pas encore pleinement cartographiées. À long terme, cela peut être nettement positif, mais seulement si les organisations traitent l’IA comme faisant partie de la main-d’œuvre et appliquent le même niveau de surveillance, de guidance et de contrôle qu’elles le font pour le risque humain.

Non tous les employés ou les systèmes d’IA présentent un risque égal. Comment les organisations devraient-elles donner la priorité à l’intervention sans créer de friction ou de surveillance excessive ?

Non tous les risques sont égaux, et les traiter de la même manière crée de la friction. La clé est de se concentrer sur l’endroit où le risque est réellement concentré – puisque environ 10% des utilisateurs représentent 73% du risque – et d’appliquer des interventions ciblées à cet endroit plutôt que de les appliquer de manière large à l’ensemble de la main-d’œuvre. Cela signifie utiliser des données comportementales, d’accès et d’exposition pour donner la priorité à qui et à ce qui nécessite l’attention, et fournir des conseils dans le flux de travail plutôt que de superposer davantage de contrôles. Fait correctement, cela réduit la friction en rendant le chemin sécurisé le plus facile à suivre, plutôt qu’augmenter la surveillance sur tout le monde.

Si nous faisons un saut en avant de cinq ans, à quoi ressemblera la sécurité de la main-d’œuvre, et qu’est-ce que la plupart des organisations sous-estiment encore aujourd’hui ?

Si nous faisons un saut en avant de cinq ans, la sécurité de la main-d’œuvre sera définie par la façon dont les organisations peuvent comprendre et gérer le risque à la fois pour les humains et les agents d’IA qui opèrent ensemble. Ce ne sera plus une question de formation périodique ou de contrôles statiques, mais de visibilité continue, d’évaluation du risque en temps réel et de capacité à prendre des mesures dynamiquement à mesure que le comportement, l’accès et les menaces changent. Les humains seront toujours au centre, mais ils seront en train de gérer et de s’étendre à travers l’IA, ce qui signifie que la sécurité doit prendre en compte les deux.

Ce que la plupart des organisations sous-estiment, c’est qu’il y a déjà un fossé de visibilité dans le risque humain aujourd’hui, et que l’IA le renforce. Beaucoup pensent qu’elles ont une stratégie d’IA, mais en réalité, elles manquent de visibilité à la fois sur leurs personnes et les outils que ces personnes utilisent. L’étape un est de comprendre le risque humain, le comportement, l’accès et l’exposition aux menaces. L’étape deux est d’étendre cette visibilité aux agents d’IA que les employés utilisent, qui ne sont puissants et risqués que dans la mesure où les humains leur donnent accès et prennent des décisions. Sans cette fondation, les organisations ne sont pas seulement en retard sur l’IA, mais elles opèrent avec des angles morts croissants à travers leur main-d’œuvre entière.

Je vous remercie pour cette grande interview. Les lecteurs qui souhaitent en savoir plus peuvent visiter Living Security.