Shrav Mehta, Fondateur et PDG de Secureframe – Série d’entretiens

Shrav Mehta, Fondateur et PDG de Secureframe, est un entrepreneur et un leader technologique axé sur la simplification de la cybersécurité et de la conformité réglementaire grâce à l’automatisation. Il a fondé Secureframe en 2020 après avoir acquis de l’expérience dans des rôles d’ingénierie et de croissance dans des startups à croissance rapide, notamment Pilot, Scale AI, Lob et Hired. Plus tôt dans sa carrière, il a fondé et développé un portefeuille d’applications Android et de jeux à succès qui ont atteint des millions d’utilisateurs. Sous sa direction, Secureframe est devenu l’une des principales plateformes d’automatisation de la conformité à la sécurité, aidant les organisations à rationaliser les processus de certification complexes tout en obtenant le soutien de grandes entreprises de capital-risque, notamment Kleiner Perkins, Accomplice, Gradient Ventures, Base10 Partners et d’autres.

Secureframe est une plateforme d’automatisation de la cybersécurité et de la conformité qui permet aux organisations d’obtenir et de maintenir en continu des certifications de sécurité et de confidentialité de niveau industriel avec beaucoup moins d’efforts manuels. La plateforme automatise la collecte de preuves, la surveillance continue, la formation à la sensibilisation à la sécurité, la gestion des risques des fournisseurs et la préparation des audits grâce à des centaines d’intégrations avec des fournisseurs de cloud, des plateformes d’identité, des outils de développement et des applications métier. En soutenant des cadres tels que SOC 2, ISO 27001, HIPAA, PCI DSS, NIST, CMMC, FedRAMP et GDPR, Secureframe aide les entreprises à renforcer leur posture de sécurité tout en accélérant les ventes d’entreprise en rendant la conformité plus rapide, plus évolutive et plus facile à maintenir tout au long de l’année.

Avant de fonder Secureframe, vous avez travaillé dans des rôles d’ingénierie, de marketing et de croissance dans des entreprises comme Pilot, Scale AI, Lob et Hired, et vous avez même développé des applications Android qui ont atteint des millions d’utilisateurs. Quelles expériences spécifiques vous ont convaincu que la conformité à la sécurité était suffisamment défectueuse pour justifier la création d’une entreprise pour la résoudre ?

Cela a vraiment commencé avec ma propre frustration. Tout au long de ma carrière, j’ai vu des équipes d’ingénieurs très compétentes s’arrêter net dès qu’un client d’entreprise leur a remis un questionnaire de sécurité ou exigé un rapport SOC 2. La conformité à la cybersécurité est devenue un obstacle à la croissance commerciale, au lieu de l’accélérer.

J’ai commencé à demander à des personnes dans mon réseau s’ils souhaitaient des outils pour automatiser cela. Beaucoup ont dit oui, mais je n’étais pas sûr de leur sérieux jusqu’à ce qu’une personne me rappelle un mois plus tard pour me demander où était le produit. J’ai quitté mon emploi cette semaine-là et ai officiellement lancé Secureframe. Lorsque nous avions un MVP, plus de 40 entreprises étaient sur notre liste d’attente.

Aujourd’hui, nous aidons des milliers d’entreprises à naviguer, à maintenir et à développer ce travail critique. C’est très gratifiant de voir comment notre plateforme supprime les obstacles, transformant un goulet d’étranglement historique en un accélérateur de compétitivité pour nos clients.

Votre récent sommet sur la cybersécurité a révélé que six professionnels de la sécurité sur dix estiment avoir des lacunes critiques en matière de renseignement sur les menaces. Pourquoi pensez-vous que de nombreuses organisations ont encore du mal à comprendre leur véritable exposition aux risques, malgré les sommes importantes dépensées en cybersécurité ?

Une chose que nous avons constamment constatée en travaillant avec des milliers d’organisations, c’est que la plupart des équipes de sécurité ne manquent pas de données, mais de contexte. Ils reçoivent des alertes de dizaines d’outils, mais ils ont toujours du mal à répondre à des questions de base comme l’emplacement des données sensibles, qui y a accès et quels sont les risques spécifiques. En fait, notre sondage a montré que même si 60 % consomment des flux gouvernementaux standard, seulement 29 % participent à un partage ISAC spécifique à l’industrie. Les alertes gouvernementales sont précieuses, mais dès qu’une alerte arrive dans votre boîte de réception, la menace a souvent déjà évolué.

Le problème plus profond est que les réseaux s’étendent plus vite que l’inventaire de ce qui se trouve dessus. Si vous n’avez pas une image claire et à jour de l’emplacement de vos données sensibles et de qui les touche, l’ajout d’un autre outil de sécurité ne vous sauvera pas.

Vous avez décrit un avenir où la cybersécurité devient une forme de “guerre d’IA symétrique”, les attaquants et les défenseurs utilisant des systèmes de plus en plus autonomes. Comment cela change-t-il fondamentalement la façon dont les équipes de sécurité des entreprises doivent opérer ?

Lorsque l’IA peut exécuter la plupart d’une opération de manière autonome, la reconnaissance, l’exploitation et le mouvement latéral avec une implication humaine minimale, un analyste qui ouvre un ticket à 9 heures pour une alerte envoyée à 2 heures a déjà perdu la bataille.

Le rôle du professionnel de la sécurité passe de celui d’un intervenant actif à celui d’un orchestrateur : définir les politiques, valider l’intégrité des systèmes de défense et éliminer les angles morts plutôt que de trier une file d’attente interminable d’alertes de bas niveau.

Lors de notre sommet, l’ancien directeur de la cybersécurité de la NSA, Rob Joyce, l’a dit clairement : “Il n’y a pas de retour au modèle de menace pré-IA. Les décisions que vous prenez concernant votre défense sont des décisions sur la nouvelle norme. Nous ne nous préparons pas à un avenir possible.”

Si l’IA permet aux attaquants de réduire les temps de rupture de quelques heures à quelques secondes, quels sont les plus grands points faibles des modèles de sécurité et de conformité traditionnels qui rendent les organisations vulnérables ?

Le plus grand point faible est la validation statique, manuelle ou ponctuelle. La conformité traditionnelle repose sur la compilation de la documentation une fois par an pour prouver qu’un contrôle fonctionnait à une date spécifique. Ce modèle s’effondre lorsque les logiciels sont générés, itérés et déployés en continu. Un instantané pris le trimestre dernier ne vous dira peut-être pas grand-chose sur votre posture de sécurité aujourd’hui. C’est pourquoi des cadres comme FedRAMP passent à une validation automatisée et persistante.

Un deuxième point faible majeur est le fait que de nombreux réseaux d’entreprise sont encore plats. Lorsque des systèmes opérationnels sensibles se trouvent sur le même réseau que des outils d’entreprise courants, un compte compromis peut devenir un problème beaucoup plus important très rapidement.

De nombreuses organisations traitent encore la conformité comme un exercice d’audit périodique. Pourquoi pensez-vous que cette mentalité devient dangereuse à une époque où les menaces évoluent en continu ?

Parce que les adversaires n’attaquent pas selon votre calendrier d’audit. Ils exploitent l’écart entre la façon dont vos systèmes se présentaient lors d’une évaluation et la façon dont ils sont réellement configurés trois mois plus tard. Les configurations dérivent, les employés arrivent et partent, de nouveaux logiciels sont intégrés ; tout cela crée une exposition que l’examen annuel ne détectera jamais.

Les cadres de conformité comme SOC 2 ou CMMC sont censés définir un plancher opérationnel, et non une ligne d’arrivée. Traiter cela comme un projet périodique, c’est ainsi que les entreprises se retrouvent dans l’embarras lors de réévaluations ou, pire encore, lors d’incidents de sécurité entre les cycles d’évaluation.

Quelle est la forme qu’une protection continue à base d’IA prend-elle dans la pratique, et comment diffère-t-elle des centres d’opérations de sécurité sur lesquels la plupart des entreprises s’appuient aujourd’hui ?

Aujourd’hui, les équipes de sécurité passent la majorité de leur temps à trier manuellement une marée d’alertes, à enquêter sur des incidents un par un et à collecter des preuves pour les audits par le biais de captures d’écran, de tableurs et de documentation ponctuelle.

Un modèle à base d’IA inverse cela. Au lieu que les analystes poursuivent les alertes, des systèmes automatisés surveillent en continu les modèles de comportement à travers les données, les identités et les infrastructures. Lorsque quelque chose s’écarte d’une ligne de base établie, des flux de travail automatisés comblent immédiatement l’écart au lieu d’attendre qu’un humain le remarque et agisse.

L’IA peut également reprendre entièrement la charge de documentation, générant et maintenant des évaluations de risques, des preuves de contrôle et des dossiers de conformité en fonction de l’état réel de l’environnement et non d’un instantané pris avant un audit. L’équipe de sécurité passe de cette tâche à la supervision des systèmes qui la réalisent.

Les menaces cybernétiques des États sont de plus en plus sophistiquées et mieux financées. Quelles capacités les entreprises doivent-elles développer au cours des trois prochaines années pour rester résilientes face à ce type d’adversaires ?

La délimitation précise des données, la vérification automatisée de la chaîne d’approvisionnement et les architectures de sécurité basées sur le comportement.

Les acteurs des États sont excellents pour se fondre dans le paysage en utilisant des informations d’identification volées et des outils de système légitimes pour se déplacer dans les réseaux sans déclencher d’alertes conventionnelles. Détecter ce type d’activité nécessite de surveiller les modèles de comportement, et non de scanner uniquement les signatures de logiciels malveillants connus.

En ce qui concerne la chaîne d’approvisionnement, nos données de sondage ont montré que 58 % des praticiens de la sécurité citent le risque des fournisseurs tiers comme leur plus grand écart non résolu. Examiner manuellement les tableurs des fournisseurs une fois par an tandis que des acteurs sophistiqués ciblent vos fournisseurs n’est pas une défense réelle.

Enfin, limiter l’isolement des environnements sensibles du reste du réseau d’entreprise réduit considérablement l’exposition. Les organisations qui ont contrôlé le mieux leurs coûts de conformité l’ont fait en limitant la propagation de leurs données sensibles en premier lieu.

À mesure que l’IA devient plus capable, pensez-vous que le fossé des compétences en cybersécurité s’élargira ou se réduira ? Quels rôles de sécurité sont susceptibles de devenir plus importants, et lesquels pourraient devenir de plus en plus automatisés ?

Je pense que le fossé des compétences en cybersécurité s’élargira en complexité mais se réduira en volume. L’IA gérera le travail répétitif et routinier qui a historiquement consommé les analystes juniors, comme les examens de journaux, la documentation de base et la mise à jour simple. Cela libère des capacités, mais cela augmente également la barre pour ce que les praticiens qualifiés doivent savoir.

Les rôles qui importeront le plus à l’avenir sont ceux axés sur l’architecture et la gouvernance : les professionnels qui peuvent concevoir des systèmes résilients, évaluer la sécurité des pipelines d’IA eux-mêmes et interpréter un environnement réglementaire en évolution rapide.

Secureframe s’est étendu de l’automatisation de la conformité à une surveillance de sécurité plus large et à une remédiation à base d’IA. Où voyez-vous la frontière entre la gouvernance, la gestion des risques, la conformité et la défense active contre les cybermenaces commencer à s’estomper ?

Ces fonctions étaient toujours artificiellement séparées. Dans la pratique, elles sont toutes des expressions de la même question : pouvez-vous démontrer que vos systèmes font ce que vous dites qu’ils font ?

Lorsqu’un système automatisé ferme une faille de sécurité en temps réel, il met simultanément à jour sa posture de risque, enregistre un événement de gouvernance et génère des preuves de conformité. Le changement que nous voyons est celui d’une conformité ponctuelle à une confiance continue, et l’IA est de plus en plus la façon dont cette confiance est validée. Pas seulement maintenue.

En regardant vers l’avenir, pensez-vous que nous nous dirigeons vers un point où les systèmes d’IA seront responsables de la défense des infrastructures critiques avec une intervention humaine minimale, ou l’arbitrage humain restera-t-il l’ultime sauvegarde contre les attaques cybernétiques à grande échelle ?

Cela nécessitera toujours les deux, et la culture de leadership déterminera à quel point chaque élément fonctionne.

L’ancien CIO de la CISA, Bob Costello, a fait ce point lors de notre sommet lorsqu’il a décrit comment SolarWinds a changé la conversation fédérale : passant de la conformité en tant qu’exercice de case à cocher à une véritable compréhension de la posture de risque en temps réel de l’ensemble de l’environnement. Ce changement de mentalité est ce qui sépare les organisations résilientes de celles qui sont vulnérables.

Les entreprises qui s’en sortent mieux savent où se trouvent leurs données sensibles avant que quiconque ne le demande, ont remplacé la collecte manuelle de preuves par des systèmes automatisés et ont construit une culture dans laquelle les comportements de sécurité sont intégrés dans le travail quotidien et non réservés à la formation annuelle. Pour ceux qui opèrent dans des environnements réglementés ou à enjeux élevés, la fenêtre de modernisation progressive se ferme.

Je vous remercie pour cette grande interview. Les lecteurs qui souhaitent en savoir plus peuvent visiter Secureframe.