Tom Findling, Co-Fondateur et PDG de Conifers – Série d’entretiens

Tom Findling est un leader stratégique doté d’un parcours éprouvé dans le lancement de produits sur le marché (GTM), les produits et la science des données. Ayant occupé le poste de Chief Customer Officer chez IntSights (acquis par Rapid7) et ensuite celui de Senior Director of Product chez Rapid7, il apporte une combinaison unique de vision stratégique et d’exécution à la table en dirigeant des opérations à grande échelle. En outre, il a occupé des postes de GTM et de produits chez VMware et SUS.

Conifers propose une plate-forme CognitiveSOC alimentée par l’IA qui améliore les capacités des centres d’opérations de sécurité en s’intégrant aux outils existants, en ingérant le profil de données et de risque unique d’une organisation et en adaptant continuellement les flux de travail d’investigation. Elle répond aux défis courants tels que les volumes d’alertes excessifs, la visibilité limitée sur les performances du SOC et les systèmes génériques tout usage en permettant des investigations plus approfondies, en modélisant les connaissances institutionnelles et en utilisant des boucles de rétroaction pour affiner la précision et réduire le bruit. La plate-forme est conçue pour fournir des résultats mesurables, notamment un retour sur investissement triplé et une réduction de 87 % du temps d’investigation.

Vous avez une longue carrière dans la cybersécurité, de IntSights à Rapid7—quelles expériences vous ont finalement amené à co-fonder Conifers, et quel problème avez-vous cherché à résoudre?

Au cours de ma carrière, j’ai vu les équipes de sécurité des opérations lutter sous le poids de trop d’alertes, d’outils et de pression. Chez IntSights, j’ai observé à quel point il était difficile pour les humains d’agir sur les renseignements produits. Chez Rapid7, j’ai relevé le défi de mettre à l’échelle notre équipe avec moins de personnes pour soutenir une base de clients plus large en réaménageant la façon dont le travail était effectué et en mettant en œuvre la science des données pour gérer les tâches à haute volume. C’est alors que j’ai commencé à croire que faire fonctionner un centre d’opérations de sécurité (SOC) de la manière traditionnelle ne durerait pas. Conifers est né de nos efforts pour résoudre ce problème d’échelle. Nous voulions construire une solution capable de faire face aux volumes de menaces et de données toujours croissants sans brûler les gens. Nous avons donc créé CognitiveSOC, notre plate-forme d’agents SOC alimentée par l’IA.

Conifers se positionne comme un « multiplicateur de force SOC alimenté par l’IA ». Comment votre plate-forme CognitiveSOC diffère-t-elle des outils d’automatisation SOC traditionnels?

La plupart des outils d’automatisation dans le SOC ont été construits sur des carnets de commande statiques. Ils exécutent une série de pas prédéfinis mais échouent lorsque les attaquants se comportent de manière imprévisible ou lorsque l’environnement change. CognitiveSOC est une plate-forme d’IA agente qui peut apprendre et s’adapter à des environnements changeants. Elle corrèle les données, utilise les connaissances institutionnelles et tire des conclusions sans avoir à programmer chaque étape du processus. La plate-forme soutient les analystes plutôt que de les remplacer et devient continuellement plus forte grâce aux rétroactions et à l’apprentissage plutôt que de nécessiter une maintenance manuelle. Cette croissance continue des capacités est ce qui en fait un véritable multiplicateur de force.

Les équipes SOC se plaignent souvent de fatigue d’alerte et de burn-out. Comment Conifers répond à ce défi de manière pratique?

CognitiveSOC traite la fatigue d’alerte en réduisant le bruit avant qu’il n’atteigne un analyste. Il prend l’afflux constant d’alertes provenant d’outils divers et les consolide en investigations qui contiennent déjà le contexte pertinent. Au lieu qu’un analyste regarde un flot de signaux clignotants, il examine un ensemble beaucoup plus petit d’investigations qui incluent le contexte historique, les preuves et les causes probables. Les analystes peuvent alors digérer l’information et prendre des décisions au lieu de poursuivre des signaux bruts, ce qui aide à réduire la fatigue et le burn-out.

La confiance est cruciale dans la cybersécurité—comment votre approche de l’homme dans la boucle construit-elle la confiance dans la prise de décision alimentée par l’IA?

La clé de la confiance est la transparence et le contrôle. Les analystes restent chargés du système et se voient présenter des recommandations et des explications qu’ils peuvent confirmer ou outrepasser et noter. Au fil du temps, à mesure qu’ils voient le système prendre des décisions précises, ils peuvent lui permettre de gérer davantage d’actions de manière automatique. Cette approche permet aux équipes de tester et de corriger le système tout en gardant l’autorité entre les mains humaines. Nous construisons la confiance et l’adoption en traitant l’IA comme un partenaire qui apprend des analystes plutôt que comme une boîte noire qui prend des décisions non expliquées.

Votre cadre de mise en œuvre échelonnée permet une adoption progressive. Pourquoi l’avez-vous conçu ainsi, et comment aide-t-il les organisations à surmonter la résistance à l’IA?

Nous savions dès le départ que le plus grand obstacle à l’adoption serait la confiance dans l’adoption de l’IA. Si vous entrez dans un SOC et demandez à l’équipe de confier ses opérations à un système d’IA, la réponse sera non. En cassant l’adoption en étapes, nous permettons aux organisations de commencer petit avec un nombre limité de cas d’utilisation et de les mettre à l’échelle au fil du temps. Chaque étape démontre la valeur et construit la confiance, ce qui rend l’étape suivante plus facile à accepter. Ce chemin progressif construit la confiance, remplace l’hésitation par des preuves et garantit que les équipes se sentent en contrôle.

Les indicateurs de performance clés (KPI) sont une grande partie de la démonstration de la valeur dans la sécurité. Quels KPI les organisations devraient-elles suivre pour mesurer les progrès vers un SOC autonome?

Les mesures les plus importantes sont la vitesse de détection, de réponse et de correction, ainsi que la qualité et le rapport des alertes brutes aux investigations contextuelles significatives. Une autre mesure est la charge de travail que le système peut prendre en charge sans implication humaine. Ces indicateurs montrent si le SOC devient plus efficace, si les analystes sont habilités à se concentrer sur des tâches à plus forte valeur et si l’organisation se rapproche d’un modèle dans lequel l’IA prend en charge les tâches lourdes. Le suivi de ces chiffres fournit une preuve claire de progrès.

Conifers met en avant l’intégration avec les systèmes de gestion des incidents existants. Pourquoi le principe de non-perturbation a-t-il été un principe de conception essentiel?

Les équipes de sécurité ont investi lourdement dans leurs outils et processus. La plupart des technologies existantes obligent les équipes SOC à « basculer de contexte » et à passer à un autre outil pour examiner et résoudre les alertes. Nous supprimons cette friction en rencontrant les analystes là où ils sont, intégrés dans les outils avec lesquels ils travaillent déjà.

Quel est le chemin échelonné que vous voyez des SOC semi-automatisés d’aujourd’hui à un avenir où les agents d’IA détiendront plus d’autorité sur les outils et les données?

Le chemin vers un SOC autonome commence par l’augmentation, où l’IA analyse et investigate les alertes avec une surveillance humaine. À partir de là, les organisations passent à la délégation, permettant au système de gérer davantage de cas d’utilisation de manière autonome. La dernière étape est l’autonomie totale, lorsque les agents d’IA sont considérés comme fiables pour gérer la détection et la réponse à travers les environnements tandis que les humains guident la stratégie et gèrent les situations uniques. Aujourd’hui, la plupart des équipes sont encore en phase d’augmentation avec une délégation précoce, mais le confort avec la délégation de scénarios routiniers augmente rapidement et jettera les bases de l’autonomie totale.

En regardant cinq ans à l’avance, comment vous attendez-vous que les opérations du SOC évoluent à mesure que l’IA mûrit—tant en termes de technologie que de rôle d’analyste?

Dans cinq ans, les SOC fonctionneront sur des systèmes qui ressembleront plus à des agents autonomes qu’à des tableaux de bord. Ces agents détecteront, répondront et s’adapteront à de nouvelles menaces, et ils partageront également des politiques et des connaissances entre les organisations en temps réel. À mesure que cette capacité mûrit, le rôle de l’analyste se déplacera vers la supervision, la stratégie et les investigations complexes. Le travail sera moins axé sur la résolution d’alertes incessantes et plus sur l’application de l’expertise là où elle a le plus d’impact. Le résultat sera un SOC qui ressemble moins à un centre d’appels et plus à une salle de contrôle de mission.

Merci pour cette grande interview, les lecteurs qui souhaitent en savoir plus peuvent visiter Conifers.