Steve Tait, Directeur des technologies de l’information chez Skyhigh Security – Série d’entretiens

Steve Tait, Directeur des technologies de l’information chez Skyhigh Security, est un dirigeant expérimenté dans le domaine de la technologie, avec plus de 25 ans d’expérience dans les secteurs de la cybersécurité, de la défense, des services financiers et de la santé. Il a rejoint Skyhigh en août 2024 pour diriger la vision technologique, l’architecture et la stratégie d’infrastructure cloud de la société en matière de Security Service Edge (SSE).

Skyhigh Security est une société de cybersécurité cloud-native privée, dont le siège social est situé à San Jose, en Californie, et qui propose une plateforme de Security Service Edge (SSE) complète. La plateforme unifie des solutions telles que CASB, Secure Web Gateway, Zero Trust Private Access, CNAPP, DLP et Remote Browser Isolation pour protéger les données et assurer une collaboration sécurisée sur le Web, le cloud, les e-mails et les applications privées. Avec un accent sur la protection des données en temps réel, la prévention des menaces et la conformité, Skyhigh Security sert plus de 3 000 clients dans le monde, dont de nombreuses entreprises du Fortune 500 et des institutions financières majeures, grâce à une architecture évolutivité et sensible aux données, conçue pour les environnements de travail hybrides modernes.

Vous avez commencé votre carrière dans les données mobiles avant de gravir les échelons dans des rôles d’ingénierie et de direction dans différents secteurs – quelle expérience précoce a façonné votre passion pour la cybersécurité et vous a mené où vous êtes aujourd’hui ?

Lorsque j’ai rejoint BAE Systems, j’ai acquis une compréhension du travail des équipes incroyables qui décompilent les virus et les logiciels malveillants les plus nuisibles pour apprendre à se défendre contre eux. L’échelle et le professionnalisme organisé de l’industrie du cybercrime étaient un véritable révélateur. Par exemple, le code derrière les failles de sécurité peut parfois avoir son héritage retracé jusqu’à plusieurs acteurs étatiques et organisations criminelles. Ce n’est pas des adolescents dans leurs chambres, c’est un business mondial sérieux. Se défendre contre cela est un véritable bien pour la société, et je voulais en faire partie.

Vous avez déclaré que « la transformation numérique est terminée » et que nous entrons maintenant dans une ère de transformation par l’IA – comment distinguez-vous une phase de l’autre en termes de stratégie d’entreprise et de résultats ?

La transformation numérique consistait à utiliser la technologie pour réingénier les processus métier pour les rendre plus efficaces, plus efficaces et offrir une meilleure expérience au client. La transformation par l’IA, du point de vue de l’entreprise, cherche à atteindre le même objectif. La différence fondamentale, cependant, est que la transformation numérique atteint cela grâce à l’automatisation des processus, à l’agrégation des données et à la visualisation avancée des données, tandis que la transformation par l’IA atteint cela grâce à la création de contenu original, à l’analyse de compagnon et à la prise de décision autonome. La transformation numérique visait à optimiser et à rationaliser les processus de prise de décision humaine. La transformation par l’IA a la capacité d’éliminer beaucoup d’entre eux entièrement !

Quels sont les plus grands défis organisationnels auxquels les entreprises sont confrontées lorsqu’elles passent de l’automatisation classique à l’intégration de l’IA générative ?

Le niveau de transformation requis pour vraiment profiter de cela est énorme. Les entreprises pourraient – et peut-être devraient – avoir l’air complètement différentes dans quelques années. Maintenant, cependant, malgré l’hype, c’est encore dans ses premiers jours. Le plus grand problème organisationnel aujourd’hui est en fait la formation. Beaucoup d’entreprises ont diffusé les vidéos de formation d’entreprise habituelles de 20 minutes sur l’IA, mais cela ne suffit pas. Les employés doivent apprendre à exploiter cette technologie, les risques réels qu’elle présente et comprendre, même un peu, comment elle fonctionne. De cette façon, les employés à tous les niveaux peuvent aider l’entreprise à se transformer avec la technologie.

Dans Security Magazine, vous avez souligné les injections de invites et les hallucinations parmi les principaux risques – quel vecteur de menace vous inquiète le plus, et comment Skyhigh l’aborde ?

L’exfiltration de données non intentionnelle est de loin la plus grande menace corporative en termes de volume. D’après les données que nous suivons chez Skyhigh, nous avons constaté une augmentation de 80 % des données téléchargées vers les LLM au cours de la dernière année. De nombreuses interfaces fonctionnent comme des assistants d’entreprise et encouragent à télécharger de plus en plus d’informations. L’acte de partager des informations avec une autre personne – prendre un fichier et le zipper pour le télécharger vers un emplacement SFTP pour une analyse de tiers – fait réfléchir un employé à ce qu’il fait et aux risques potentiels. C’est juste quelques étapes pour le faire et vous devenez très conscient que vous l’envoyez à quelqu’un. Être à mi-chemin d’une analyse en utilisant un outil d’IA et simplement coller un bloc de données dans une invite pour que l’IA fournisse une réponse rapide est une question de secondes, mais la question demeure : où sont allées ces données et comment ont-elles été utilisées ? À cause de cela, la principale concentration de Skyhigh est la prévention de la perte de données pour les applications d’IA, en particulier les copilotes.

Vous avez cité des statistiques montrant que 94 % des applications d’IA comportent un risque de LLM et que 11 % des fichiers téléchargés vers l’IA sont sensibles – quels sont les tendances que vous voyez dans la façon dont les entreprises réagissent pour résoudre ces problèmes ?

Les entreprises utilisent toujours « la politique de l’utilisateur » et le « blocage » comme techniques principales, mais beaucoup d’entreprises restent aveugles à la quantité d’IA qui est utilisée chaque jour. Nous voyons un grand intérêt pour accroître la découverte, la visibilité et l’extension des techniques de prévention de la perte de données à l’IA, en particulier pour les applications de copilote majeures.

Les copilotes d’entreprise peuvent accéder à d’énormes quantités de données propriétaires – quelles sont les stratégies les plus efficaces pour prévenir la fuite de données non autorisée ou leur mauvaise utilisation via ces systèmes ?

Cela commence toujours par la politique et la formation. Ensuite, une combinaison d’étiquetage de données et de techniques de prévention de la perte de données sont essentielles. L’étiquetage AIP de Microsoft (MSFT ), par exemple, peut empêcher les données confidentielles d’être indexées par MSFT Copilot. En combinaison avec les outils CASB et DLP, les étiquettes AIP peuvent être ajoutées automatiquement en fonction des classifications de données. La prévention de la perte de données effectuée sur les données de document et d’invite peut garantir la prévention du téléchargement non intentionnel de données.

Vous avez souligné le risque posé par les développeurs citoyens créant leurs propres applications – comment les entreprises peuvent-elles équilibrer l’innovation et la sécurité de développement ?

Cela revient toujours à la formation. Simplement parce que quelqu’un est un « développeur citoyen » ne signifie pas qu’il peut opter pour les fondamentaux de la sécurité qui feraient partie d’une formation d’ingénieur standard. Ils n’ont pas besoin de savoir tout ce qu’un ingénieur logiciel qualifié peut savoir, bien sûr, mais les concepts de base d’accès privilégié et d’escalade de privilège horizontal sont des concepts importants lors de la construction d’une application. Personnellement, je ne permettrais l’accès à ces outils qu’après avoir suivi une formation appropriée. Ensuite, il s’agit de mettre en œuvre des outils de sécurité pour piéger les erreurs involontaires, ce qui revient à des techniques telles que la prévention de la perte de données.

En tant que Directeur des technologies de l’information de Skyhigh Security, quel domaine de l’atténuation des risques liés à l’IA – copilotes, développeurs citoyens ou infrastructure de conformité – donnez-vous la priorité pour les 12 à 18 prochains mois ?

La sensibilisation est essentielle et Skyhigh propose déjà un outil de découverte de Shadow AI complet. Microsoft Copilot et ChatGPT Enterprise sont notre principal objectif en 2025. Nous avons déjà déployé des contrôles sur les deux et nous les étendons davantage pour le reste de 2025. À mesure que nous entrerons dans 2026, nous allons nous concentrer davantage sur le contrôle des invites pour sécuriser contre les invites malveillantes, le jailbreak et d’autres risques LLM clés.

Quelle est la percée ou le changement que vous prévoyez qui pourrait complètement remodeler la façon dont nous pensons la sécurité des entreprises dans un monde où l’IA est première ?

L’IA agente. C’est juste le début, mais l’impact est potentiellement énorme. À mesure que de plus en plus de ces agents s’enchaînent, les vecteurs d’attaque augmentent le long de la chaîne. Beaucoup de cybercrime est « repéré » par les humains parce que quelque chose n’a pas l’air juste. Dans ces chaînes d’agents, savoir repérer les signes de compromis sera un véritable défi.

Merci pour cette grande interview, les lecteurs qui souhaitent en savoir plus peuvent visiter Skyhigh Security.