Tarun Thakur, Co-Fondateur et PDG de Veza – Série d’entretiens

Tarun Thakur, Co-Fondateur et PDG de Veza, est un ancien cadre de Data Domain, Veritas et IBM, apportant des décennies d’expérience dans la construction d’entreprises d’infrastructure. Il a co-fondé Veza pour répondre à la crise grandissante de la dispersion des identités, avec un focus sur la fourniture de clarté et de contrôle dans les architectures hybrides et cloud-native complexes.

Veza est une plateforme de sécurité d’identité conçue pour les environnements multi-cloud modernes, permettant aux organisations de gérer et de faire respecter les droits d’accès aux applications, aux plateformes cloud et aux systèmes de données avec une visibilité et une précision inégalées. Avec plus de 125 millions de dollars de financement, dont 110 millions de dollars en série C menés par Accel avec la participation de Sequoia Capital, GV et Norwest Venture Partners, Veza sert des entreprises de premier plan telles que Blackstone, Autodesk, SoFi, Wynn Resorts (WYNN ) et S&P Global pour prévenir les violations, atténuer les risques internes et assurer la conformité.

Vous avez réussi à co-fonder plusieurs entreprises d’infrastructure d’entreprise au fil des ans. Qu’est-ce qui vous a inspiré à lancer Veza, et comment vos expériences passées chez Datos IO, Data Domain et IBM Research ont-elles façonné votre vision pour la sécurité d’identité en premier ?

Chaque entreprise que j’ai construite a abordé un point aveugle fondamental dans l’infrastructure d’entreprise – la protection des données, la résilience, l’échelle. Mais l’identité était toujours le maillon manquant. Chez Datos IO, nous avons aidé à protéger les données critiques dans les applications cloud-native, mais nous nous sommes constamment heurtés à un problème plus profond : nous ne savions pas qui avait accès à quelles données, ou pourquoi. C’est un échec systémique – pas de stockage ou de calcul – mais de gouvernance d’accès.

J’ai fondé Veza parce que j’ai vu un avenir où l’identité serait la principale surface d’attaque. Et nous vivons dans cet avenir maintenant. L’industrie a passé 20 ans à faire semblant que l’IAM était un problème de case à cocher. Ce n’est pas le cas. C’est un plan de contrôle continu. C’est où la sécurité, la conformité et la productivité se rencontrent toutes. Notre mission est de rendre l’accès non seulement visible, mais également actionnable.

Regardez simplement l’acquisition de CyberArk par Palo Alto. C’est le signal le plus clair de l’industrie que l’identité n’est pas une fonction de back-office – c’est maintenant au cœur de la stratégie de sécurité de l’entreprise. Mais même avec cet accord, le marché manque encore de ce que les entreprises modernes ont le plus besoin : une visibilité en temps réel sur ce que les identités peuvent faire, sur chaque application, système et ensemble de données. C’est le fossé que Veza comble.

Nous entrons dans une nouvelle ère où les agents IA ne sont pas seulement des outils mais des acteurs – accédant de manière autonome aux systèmes, aux données et aux applications. Comment ce changement remet-il en question les paradigmes traditionnels de l’identité et de la gestion des accès (IAM) ?

L’IAM a été conçu pour les humains. L’IA agente brise complètement ce modèle. Ce sont des entités autonomes prenant des décisions, générant des sorties, enchaînant des flux de travail, déclenchant des accès en aval à une vitesse de machine. Pourtant, la plupart des outils IAM demandent toujours : « Quel groupe est cette identité dans ? » C’est risible.

Le changement de paradigme est le suivant : l’accès n’est plus provisionné manuellement – il est émergent, dynamique et contextuel. Vous ne pouvez pas le gérer avec des rôles statiques et des droits obsolètes. Vous avez besoin d’une intelligence d’accès en temps réel. Vous avez besoin de systèmes qui comprennent ce qu’un agent IA peut faire sur chaque système – et pas seulement ce qui lui est « autorisé » en théorie.

Veza a été vocal sur le risque croissant des identités non humaines – agents IA, comptes de service, robots. Comment différenciez-vous entre l’automatisation légitime et la sur-attribution de droits dans des environnements dynamiques comme DevOps ou la finance ?

C’est la question à 10 milliards de dollars. La plupart des organisations ne peuvent même pas inventorer leurs identités non humaines, et encore moins les gérer. Veza inverse le modèle : nous ne partons pas de l’identité – nous partons de l’action. Qui ou quoi peut lire ce bucket S3 ? Qui peut supprimer des lignes dans cette base de données de production ?

Dans DevOps ou la finance, l’automatisation est essentielle. Mais la contrainte l’est également. Vous avez besoin d’une visibilité fine sur ce que ces identités peuvent faire en ce moment, et pas sur ce que quelque ticket IAM a dit il y a six mois. Et vous devez être en mesure de l’arrêter instantanément lorsque cet accès devient toxique. C’est le superpouvoir de Veza.

À mesure que les entreprises intègrent l’IA dans les flux de travail critiques, l’application en temps réel de l’accès avec les privilèges minimums devient essentielle. Pouvez-vous nous expliquer comment Veza permet ce niveau de granularité à travers les infrastructures hybrides et multi-cloud ?

La granularité sans automation est inutile. Veza se connecte directement au plan de contrôle – que ce soit AWS, Salesforce (CRM ), Snowflake ou SAP – et construit un graphique de chaque autorisation, chaque rôle, chaque action disponible pour une identité. Humaine ou machine. Sur site ou dans le cloud. C’est un tissu d’accès unifié.

Ensuite, nous ajoutons un contexte métier – qui possède l’application, quand a-t-elle été utilisée pour la dernière fois, fait-elle partie d’un processus critique. Cela vous permet de créer des politiques telles que : « Aucun agent IA ne peut accéder aux informations personnelles à moins qu’il ne soit explicitement approuvé et enregistré ». Et si quelque chose enfreint cette règle, Veza peut alerter, révoquer ou remédier en temps réel. C’est ainsi que vous appliquez les privilèges minimums à grande échelle.

Vous avez décrit Veza comme fournissant une « intelligence d’accès ». Qu’est-ce que cela signifie en termes pratiques, et comment diffère-t-il des solutions de contrôle d’accès traditionnelles ou des plateformes de gouvernance d’identité ?

L’intelligence d’accès signifie savoir, à tout moment, ce que chaque identité – humaine ou non humaine – peut faire, où et pourquoi. Les outils traditionnels vous disent ce que l’utilisateur a été donné. Nous vous disons ce qu’il peut réellement faire en ce moment, et si cela est sécurisé.

Les outils IGA font de la gouvernance à intervalles réguliers. Veza fait de la gouvernance en continu. Les outils PAM se concentrent sur un petit sous-ensemble de comptes privilégiés. Nous couvrons chaque identité, chaque application, chaque droit. Et nous le faisons avec le contexte pour prendre des décisions intelligentes – et pas seulement du bruit de journalisation.

En regardant l’avenir de l’IA agente, comment les architectures de sécurité devraient-elles évoluer pour suivre ? Quelles capacités les organisations devraient-elles commencer à investir aujourd’hui pour éviter les défaillances de conformité ou les violations internes de demain ?

Les équipes de sécurité doivent cesser de penser en termes d’utilisateurs et commencer à penser en termes d’actions. Les agents IA ne se connectent pas et ne se déconnectent pas. Ils ne remplissent pas de formulaires de demande d’accès. Ils se mettent en marche, agissent et disparaissent.

Vous avez besoin d’architectures qui sont conscientes de l’accès, en temps réel et adjacentes au plan de contrôle. Cela signifie :

• La surveillance continue des autorisations
• La normalisation du comportement de l’IA
• La révocation autonome de l’accès
• L’auditabilité à l’épreuve des manipulations sur toutes les interactions de l’IA

Ce n’est pas facultatif. Chaque agent IA est une menace interne potentielle – et les cadres de conformité rattrapent rapidement. Si vous ne pouvez pas expliquer qui a fait quoi et pourquoi, vous allez échouer aux audits, perdre la confiance ou pire.

Veza compte des marques majeures comme Autodesk, Blackstone et S&P Global parmi ses clients. Quels sont les modèles ou les erreurs courants que vous voyez même dans les organisations les plus matures lorsqu’il s’agit de la gouvernance des identités ?

L’erreur la plus courante ? Supposer que quelqu’un d’autre en est responsable. L’IAM est souvent orphelin entre la sécurité, l’informatique, la conformité et l’ingénierie. Cette fragmentation tue la responsabilité.

Un autre problème est la prolifération des rôles – en particulier dans les organisations matures. Au fil du temps, personne n’enlève l’accès parce que c’est risqué. Donc, au lieu des privilèges minimums, vous obtenez une exposition maximale.

Et enfin, la plupart des organisations pensent que les examens d’accès sont un contrôle. Ils ne le sont pas. Ce sont des pansements. Le véritable contrôle est de prévenir l’accès toxique dès le départ. Veza aide les équipes à passer de la détection à la prévention.

L’entreprise a levé plus de 125 millions de dollars avec le soutien d’Accel, Sequoia et GV. Qu’est-ce que ce niveau de soutien des investisseurs dit sur l’urgence de résoudre le problème de l’identité à l’ère de l’IA – et comment prévoyez-vous utiliser cet élan pour amplifier l’impact de Veza ?

Cela signifie que nous résolvons un problème générationnel – et que nous le faisons exactement au bon moment. L’identité est maintenant la porte d’entrée, le pare-feu et le maillon faible tout à la fois. Et l’IA vient de pousser cette porte grande ouverte.

Nos investisseurs comprennent que Veza n’est pas simplement un autre outil IAM. Nous construisons le plan de contrôle pour l’accès à l’ère de l’IA. Nous utilisons cet élan pour accélérer l’expansion de la plateforme, approfondir nos intégrations d’écosystème et élargir notre présence à l’échelle mondiale – en particulier dans les secteurs réglementés comme les services financiers, les soins de santé et le gouvernement.

Vous détenez 18 brevets dans le domaine de la sécurité des données, du stockage et de la gestion. Y a-t-il des domaines d’innovation au sein de Veza que vous pensez établir de nouvelles normes pour la façon dont l’industrie aborde la gouvernance des accès au cours de la prochaine décennie ?

Oui – deux en particulier.

Premièrement, notre Graphique d’accès : c’est un modèle universel qui mappe les identités aux autorisations aux actions à travers tout système, en temps réel. C’est fondamental pour les privilèges minimums, la gouvernance de l’IA et la détection des menaces internes.

Deuxièmement, la remédiation autonome. Nous investissons massivement dans les environnements d’accès auto-réparateurs – où les violations sont détectées, contextualisées et corrigées sans intervention humaine. C’est ainsi que vous gérez l’IA avec l’IA.

Au cours de la prochaine décennie, la gouvernance des accès passera d’une approche réactive à une approche autonome. Veza sera le moteur qui entraînera ce changement.

Enfin, vous avez dit « le talent n’a pas de frontières ». Quels conseils donneriez-vous aux fondateurs techniques ou aux ingénieurs qui construisent des entreprises de sécurité ou d’infrastructure d’IA de prochaine génération aujourd’hui ?

Construisez pour les cas de bordure, et non pour le chemin heureux. Le futur est désordonné – multi-cloud, multi-agent, multi-polaire. Votre architecture doit supposer le chaos.

Deuxièmement, n’ayez pas peur de remettre en question les vaches sacrées. L’industrie de la sécurité est remplie d’hypothèses héritées – « l’accès juste-à-temps suffit », « les humains sont le problème », « l’audit signifie Excel ». Brisez ces modèles.

Enfin, embauchez des personnes qui sont obsédées par les principes fondamentaux. Les outils changent. Les paradigmes changent. Mais la clarté de pensée et de mission gagne chaque fois.

Et oui – le talent n’a pas de frontières. Construisez à l’échelle mondiale, construisez de manière diverse et construisez pour l’impact.

Merci pour cette grande interview, les lecteurs qui souhaitent en savoir plus peuvent visiter Veza.