Série d'entretiens avec Tom Findling, cofondateur et PDG de Conifers

Tom Findling Leader stratégique reconnu, il possède une solide expérience en matière de stratégie de commercialisation, de développement produit et de science des données. Ayant occupé le poste de directeur de la relation client chez IntSights (rachetée par Rapid7) puis celui de directeur produit senior chez Rapid7, il allie vision stratégique et sens pratique pour piloter des opérations d'envergure. Il a également occupé des postes à responsabilité en stratégie de commercialisation et en développement produit chez VMware et SUS.

Conifères Nous proposons une plateforme CognitiveSOC basée sur l'IA qui optimise les capacités des centres d'opérations de sécurité (SOC) en s'intégrant aux outils existants, en intégrant les données et le profil de risque spécifiques à chaque organisation et en adaptant en continu les flux de travail d'investigation. Elle répond aux problématiques courantes telles que le volume excessif d'alertes, la visibilité limitée sur les performances du SOC et les systèmes génériques standardisés, en permettant des investigations plus approfondies, en modélisant le savoir-faire institutionnel et en utilisant des boucles de rétroaction pour affiner la précision et réduire le bruit. La plateforme est conçue pour fournir des résultats mesurables, notamment un retour sur investissement multiplié par trois et une réduction de 87 % du temps d'investigation.

Vous avez mené une longue carrière dans la cybersécurité, d'IntSights à Rapid7 : quelles expériences vous ont finalement conduit à cofonder Conifers, et quel problème avez-vous cherché à résoudre ?

Tout au long de ma carrière, j'ai vu des équipes de sécurité opérationnelle peiner sous le poids d'un trop grand nombre d'alertes, d'outils et de pressions. Chez IntSights, j'ai constaté combien il était difficile pour les humains d'exploiter les renseignements produits. Chez Rapid7, j'ai relevé le défi d'adapter notre équipe, réduite en nombre, pour accompagner une clientèle plus nombreuse, en repensant nos méthodes de travail et en intégrant la science des données pour gérer les volumes importants de tâches. C'est à ce moment-là que j'ai commencé à penser que la gestion traditionnelle d'un centre d'opérations de sécurité (SOC) était vouée à l'échec. Conifers est né de nos efforts pour résoudre ce problème de mise à l'échelle. Nous souhaitions créer une solution capable d'évoluer pour gérer les volumes croissants de menaces et de données sans épuiser les équipes. Nous avons donc créé CognitiveSOC, notre plateforme d'agents SOC basée sur l'IA.

Conifers se positionne comme un « multiplicateur de puissance SOC basé sur l'IA ». En quoi votre plateforme CognitiveSOC diffère-t-elle des outils d'automatisation SOC traditionnels ?

La plupart des outils d'automatisation des SOC reposent sur des scénarios statiques. Ils exécutent une série d'étapes prédéfinies, mais échouent face à l'imprévisibilité des attaquants ou aux changements d'environnement. CognitiveSOC est une plateforme d'IA agentive capable d'apprendre et de s'adapter à ces environnements changeants. Elle met en corrélation les données, exploite les connaissances institutionnelles et tire des conclusions sans nécessiter de script pour chaque étape du processus. La plateforme assiste les analystes sans les remplacer et s'améliore continuellement grâce aux retours d'information et à l'apprentissage, sans intervention manuelle. Cette progression constante de ses capacités en fait un véritable multiplicateur de force.

Les équipes SOC se plaignent souvent de la lassitude face aux alertes et de l'épuisement professionnel. Comment Conifers relève-t-elle ce défi concrètement ?

CognitiveSOC lutte contre la surcharge d'alertes en réduisant le bruit avant même qu'il n'atteigne l'analyste. Il centralise le flux constant d'alertes provenant de divers outils dans des investigations contenant déjà le contexte pertinent. Au lieu d'être submergé par une multitude d'alarmes clignotantes, l'analyste examine un ensemble d'investigations beaucoup plus restreint, incluant l'historique, les preuves et les causes probables. Il peut ainsi analyser les informations et prendre des décisions au lieu de traquer des signaux bruts, ce qui contribue à réduire la fatigue et l'épuisement professionnel.

La confiance est essentielle en cybersécurité : comment votre approche centrée sur l’humain renforce-t-elle la confiance dans la prise de décision pilotée par l’IA ?

La transparence et le contrôle sont essentiels à la confiance. Les analystes restent maîtres du système et reçoivent des recommandations et des explications qu'ils peuvent confirmer ou infirmer, et auxquelles ils peuvent attribuer une note. Au fil du temps, constatant la justesse des décisions du système, ils peuvent lui confier davantage d'actions automatisées. Cette approche permet aux équipes de tester et de corriger le système tout en conservant le contrôle humain. Nous favorisons la confiance et l'adoption en considérant l'IA comme un partenaire qui apprend des analystes, et non comme une boîte noire aux décisions inexpliquées.

Votre cadre de mise en œuvre par étapes permet une adoption progressive. Pourquoi l'avez-vous conçu ainsi, et comment aide-t-il les organisations à surmonter les réticences face à l'IA ?

Nous savions dès le départ que le principal frein à l'adoption de l'IA serait la confiance. Si vous vous présentez dans un SOC et demandez à une équipe de confier ses opérations à un système d'IA, la réponse sera négative. En décomposant l'adoption en étapes, nous permettons aux organisations de commencer modestement avec un nombre limité de cas d'usage et de les étendre progressivement. Chaque étape démontre la valeur ajoutée et renforce la confiance, facilitant ainsi l'acceptation de l'étape suivante. Ce cheminement progressif instaure la confiance, remplace les hésitations par des preuves et garantit aux équipes un sentiment de maîtrise.

Les indicateurs sont essentiels pour démontrer la valeur ajoutée en matière de sécurité. Quels KPI les organisations doivent-elles suivre pour mesurer leurs progrès vers un SOC autonome ?

Les indicateurs les plus importants sont la rapidité de détection, de réponse et de résolution des problèmes, ainsi que la qualité et le ratio des alertes brutes par rapport aux investigations contextuelles pertinentes. Un autre indicateur est la capacité du système à gérer une charge de travail sans intervention humaine. Ces indicateurs permettent de déterminer si le SOC gagne en efficacité, si les analystes sont habilités à se concentrer sur des tâches à plus forte valeur ajoutée et si l'organisation se rapproche d'un modèle où l'IA prend en charge les tâches les plus complexes. Le suivi de ces indicateurs apporte une preuve tangible des progrès accomplis.

Conifers met l'accent sur l'intégration avec les systèmes de gestion des incidents existants. Pourquoi la non-interruption de service était-elle un principe de conception si fondamental ?

Les équipes de sécurité ont investi massivement dans leurs outils et processus. La plupart des technologies existantes obligent les équipes SOC à changer d'outil pour examiner et résoudre les alertes. Nous éliminons ce problème en nous intégrant directement aux outils que les analystes utilisent déjà.

Quelle est selon vous l'évolution progressive des SOC semi-automatisés d'aujourd'hui vers un avenir où les agents d'IA exerceront une autorité accrue sur les outils et les données ?

Le chemin vers un SOC autonome commence par l'augmentation des capacités, où l'IA analyse et examine les alertes sous supervision humaine. Ensuite, les organisations passent à la délégation, permettant au système de gérer de plus en plus de cas d'usage de manière autonome. L'étape finale est l'autonomie complète, lorsque les agents d'IA sont chargés de la détection et de la réponse dans différents environnements, tandis que les humains définissent la stratégie et gèrent les situations uniques. Aujourd'hui, la plupart des équipes en sont encore à l'augmentation des capacités, avec une délégation initiale, mais la prise en charge des scénarios de routine progresse rapidement et jettera les bases de l'autonomie complète.

Dans les cinq prochaines années, comment prévoyez-vous l'évolution des opérations SOC à mesure que l'IA mûrit, tant sur le plan technologique que sur celui du rôle de l'analyste ?

D'ici cinq ans, les SOC fonctionneront sur des systèmes ressemblant davantage à des agents autonomes qu'à des tableaux de bord. Ces agents détecteront les nouvelles menaces, y répondront et s'y adapteront, tout en ajustant les politiques et en partageant les connaissances entre les organisations en temps réel. À mesure que cette capacité se développera, le rôle de l'analyste évoluera vers la supervision, la stratégie et les enquêtes complexes. Il s'agira moins de traiter des alertes interminables et davantage de mettre l'expertise au service des situations les plus critiques. Le résultat sera un SOC qui ressemblera moins à un centre d'appels et plus à une véritable salle de contrôle.

Merci pour cette excellente interview, les lecteurs qui souhaitent en savoir plus devraient visiter Conifères.