Steve Tait, Chief Technology Officer di Skyhigh Security – Intervista alla serie

Steve Tait, Chief Technology Officer di Skyhigh Security, è un leader esecutivo tecnologico esperto con oltre 25 anni di esperienza in settori come la sicurezza informatica, la difesa, i servizi finanziari e l’assistenza sanitaria. Si è unito a Skyhigh nel agosto 2024 per guidare la visione tecnologica, l’architettura e la strategia di infrastruttura cloud della società per il Security Service Edge (SSE).

Skyhigh Security è una società di sicurezza informatica cloud-native di proprietà privata con sede a San Jose, California, che offre una piattaforma di Security Service Edge (SSE) completa. La piattaforma unisce soluzioni come CASB, Secure Web Gateway, Zero Trust Private Access, CNAPP, DLP e Remote Browser Isolation per proteggere i dati e garantire una collaborazione sicura su web, cloud, email e applicazioni private. Con un focus sulla protezione dei dati in tempo reale, sulla prevenzione delle minacce e sulla conformità, Skyhigh Security serve oltre 3.000 clienti in tutto il mondo, tra cui molte società Fortune 500 e importanti istituzioni finanziarie, attraverso un’architettura scalabile e consapevole dei dati progettata per ambienti di lavoro ibridi moderni.

Ha iniziato la sua carriera nei dati mobili prima di salire attraverso ruoli di ingegneria e leadership in diversi settori – quale esperienza precoce ha plasmato la sua passione per la sicurezza informatica e l’ha portato dove si trova oggi?

Quando mi sono unito a BAE systems, ho avuto un’idea del lavoro delle incredibili squadre che decompilano i virus e malware più pericolosi per imparare come difendersi contro di essi. La scala e la professionalità organizzata dell’industria del cybercrime sono state un vero e proprio occhio aperto. Ad esempio, il codice dietro le violazioni informatiche può talvolta avere la sua eredità rintracciata a più attori statali e organizzazioni criminali. Non si tratta di teenager nelle loro camere da letto, ma di un business globale serio. Difendersi contro questo è un bene genuino per la società, e volevo farne parte.

Ha affermato che “la trasformazione digitale è finita” e che ora stiamo entrando in un’era di trasformazione dell’IA – come distingue una fase dall’altra in termini di strategia aziendale e risultati?

La trasformazione digitale riguardava l’utilizzo della tecnologia per riorganizzare i processi aziendali per renderli più efficienti, efficaci e fornire una migliore esperienza al cliente. La trasformazione dell’IA da un punto di vista aziendale cerca di raggiungere lo stesso obiettivo. La differenza fondamentale, tuttavia, è che la trasformazione digitale raggiunge questo attraverso l’automazione dei processi, l’aggregazione dei dati e la visualizzazione dei dati avanzata, mentre la trasformazione dell’IA raggiunge questo attraverso la creazione di contenuti originali, l’analisi dei companion e la presa di decisioni autonoma. La trasformazione digitale mirava a ottimizzare e a razionalizzare i processi decisionali umani. La trasformazione dell’IA ha la capacità di eliminare molti di essi completamente!

Quali sono le più grandi sfide organizzative che le società affrontano quando passano dalla classica automazione all’integrazione dell’IA generativa?

Il livello di trasformazione richiesto per trarre realmente vantaggio da questo è enorme. Le aziende potrebbero – e forse dovrebbero – apparire completamente diverse tra pochi anni. Ora, tuttavia, nonostante l’euforia, è ancora ai primi giorni. Il più grande problema organizzativo oggi è in realtà la formazione. Molte società hanno diffuso i soliti video di formazione aziendale di 20 minuti sull’IA, ma questo semplicemente non basta. I dipendenti devono imparare a sfruttare questa tecnologia, i rischi reali che presenta e capire, anche solo un po’, come funziona. In questo modo, i dipendenti a tutti i livelli possono aiutare l’azienda a trasformarsi con la tecnologia.

Nella rivista Security, ha evidenziato le iniezioni di prompt e le allucinazioni tra i principali rischi – quale vettore di minaccia la preoccupa di più e come Skyhigh sta affrontando questo problema?

L’esfiltrazione di dati non intenzionale è di gran lunga la più grande minaccia aziendale per volume. Solo dai dati che tracciamo a Skyhigh, abbiamo visto un aumento dei dati caricati su LLM del 80% nell’ultimo anno. Molte interfacce funzionano come assistenti aziendali e incoraggiano a caricare sempre più informazioni. L’atto di condividere informazioni con un’altra persona – prendere un file e zipparlo per caricarlo in un luogo di analisi di terze parti – fa fermare e pensare a cosa si sta facendo e ai potenziali rischi. È solo un po’ di passaggi per farlo e si diventa molto consapevoli di stare inviando qualcosa a qualcuno. Essere a metà di un’analisi utilizzando uno strumento di IA e semplicemente incollare un blocco di dati in un prompt per IA per ottenere una risposta rapida è un impegno di pochi secondi, e tuttavia la domanda rimane: dove sono finiti quei dati e come sono stati utilizzati? A causa di ciò, il focus principale di Skyhigh è sulla prevenzione della perdita di dati per le applicazioni di IA, in particolare per i copiloti.

Ha citato statistiche che mostrano che il 94% delle app di IA presenta rischi di LLM e che l’11% dei file caricati su IA sono sensibili – quali tendenze vede nel modo in cui le aziende stanno rispondendo per affrontare questi problemi?

Le aziende stanno ancora utilizzando la “politica dell’utente” e il “blocco” come tecniche principali, ma molte aziende rimangono ignare della quantità di IA utilizzata ogni giorno. Vediamo molto interesse nell’aumentare la scoperta, la visibilità e l’estensione delle tecniche di prevenzione della perdita di dati alle applicazioni di IA, in particolare per le applicazioni di copiloti importanti.

I copiloti aziendali possono accedere a vasti quantità di dati proprietari – quali sono le strategie più efficaci per prevenire la perdita di dati non autorizzata o l’uso improprio di questi sistemi?

Come sempre, inizia con la politica e la formazione. Segue una combinazione di tecniche di etichettatura dei dati e di prevenzione della perdita di dati. Ad esempio, l’etichettatura AIP di Microsoft può impedire che i dati confidenziali vengano indicizzati da MSFT Copilot. In combinazione con gli strumenti CASB e DLP, le etichette AIP possono essere aggiunte automaticamente in base alle classificazioni dei dati. La prevenzione della perdita di dati eseguita sui dati del documento e del prompt può garantire la prevenzione del caricamento non intenzionale di dati.

Ha sottolineato il rischio posto dagli sviluppatori di cittadini che creano le proprie applicazioni – come possono le aziende trovare un equilibrio tra la promozione dell’innovazione e la garanzia di uno sviluppo sicuro?

Si tratta sempre di formazione. Solo perché qualcuno è uno “sviluppatore di cittadini” non significa che possa optare out dalle fondamenta della sicurezza che fanno parte della formazione standard di un ingegnere. Non hanno bisogno di sapere tutto ciò che un ingegnere software esperto potrebbe sapere, naturalmente, ma i concetti di base di accesso privilegiato e di escalation orizzontale dei privilegi sono importanti concetti quando si costruisce un’applicazione. Personalmente, consentirei l’accesso a tali strumenti solo dopo che la formazione appropriata sia stata completata. Quindi si tratta di implementare strumenti di sicurezza per catturare gli errori involontari, il che torna a tecniche come la prevenzione della perdita di dati.

Come CTO di Skyhigh Security, quale area di mitigazione del rischio di IA – copiloti, sviluppo di cittadini o infrastruttura di conformità – sta priorizzando per i prossimi 12-18 mesi?

La consapevolezza è vitale e Skyhigh già fornisce uno strumento di discovery di Shadow AI completo. Microsoft Copilot e ChatGPT Enterprise sono il nostro focus principale nel 2025. Abbiamo già implementato controlli su entrambi e stiamo estendendoli ulteriormente per il resto del 2025. Mentre ci muoviamo verso il 2026, stiamo cercando di rivolgere la nostra attenzione più al controllo dei prompt per garantire la sicurezza contro i prompt malintenzionati, il jailbreaking e altri rischi di LLM chiave.

Qual è il passo avanti o il cambiamento che prevede potrebbe completamente ridisegnare il modo in cui pensiamo alla sicurezza aziendale in un mondo guidato dall’IA?

L’IA agente. È solo all’inizio, ma l’impatto potrebbe essere enorme. Man mano che sempre più di questi agenti si uniscono, i vettori di attacco aumentano lungo la catena. Molto del cybercrime è “individuato” dagli esseri umani perché qualcosa non sembra giusto. In queste catene di agenti, capire come individuare i segni di compromissione sarà una vera sfida.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Skyhigh Security.