Steve Tait, Chief Technology Officer di Skyhigh Security – Serie di Interviste

Steve Tait, Chief Technology Officer di Skyhigh Security, è un leader tecnologico esecutivo con oltre 25 anni di esperienza nei settori della sicurezza informatica, della difesa, dei servizi finanziari e della sanità. Ha aderito a Skyhigh nel agosto 2024 per guidare la visione tecnologica, l’architettura e la strategia di infrastruttura cloud della società per il Security Service Edge (SSE).

Skyhigh Security è una società di sicurezza informatica cloud-native di proprietà privata con sede a San Jose, California, che offre una piattaforma di Security Service Edge (SSE) completa. La piattaforma unisce soluzioni come CASB, Secure Web Gateway, Zero Trust Private Access, CNAPP, DLP e Remote Browser Isolation per proteggere i dati e garantire una collaborazione sicura attraverso web, cloud, email e applicazioni private. Con un focus sulla protezione dei dati in tempo reale, sulla prevenzione delle minacce e sulla conformità, Skyhigh Security serve oltre 3.000 clienti in tutto il mondo, tra cui molte aziende Fortune 500 e importanti istituzioni finanziarie, attraverso un’architettura scalabile e consapevole dei dati progettata per ambienti di lavoro ibridi moderni.

Ha iniziato la sua carriera nei dati mobili prima di salire attraverso ruoli di ingegneria e leadership in diversi settori—quale esperienza iniziale ha plasmato la sua passione per la sicurezza informatica e l’ha portato dove si trova oggi?

Quando mi sono unito a BAE systems, ho guadagnato una visione del lavoro delle incredibili squadre che decompilano i virus e malware più pericolosi per imparare come difendersi contro di loro. La scala e la professionalità organizzata dell’industria del cybercrimine sono state un vero e proprio occhio aperto. Ad esempio, il codice dietro le violazioni informatiche può a volte avere la sua eredità rintracciata a più attori statali e organizzazioni criminali. Non si tratta di teenager nelle loro camere da letto, ma di un business globale serio. Difendersi contro questo è un vero e proprio bene per la società, e volevo farne parte.

Ha affermato che “la trasformazione digitale è finita” e che stiamo entrando in un’era di trasformazione dell’AI—come distingue una fase dall’altra in termini di strategia aziendale e risultati?

La trasformazione digitale era incentrata sull’utilizzo della tecnologia per riorganizzare i processi aziendali per renderli più efficienti, efficaci e fornire una migliore esperienza al cliente. La trasformazione dell’AI, da un punto di vista aziendale, cerca di raggiungere lo stesso obiettivo. La differenza fondamentale, tuttavia, è che la trasformazione digitale raggiunge questo attraverso l’automazione dei processi, l’aggregazione dei dati e la visualizzazione avanzata dei dati, mentre la trasformazione dell’AI raggiunge questo attraverso la creazione di contenuti originali, l’analisi di accompagnamento e la presa di decisioni autonoma. La trasformazione digitale mirava a ottimizzare e razionalizzare i processi decisionali umani. La trasformazione dell’AI ha la capacità di eliminare molti di essi interamente!

Cosa considera la sfida organizzativa più grande che le aziende affrontano quando passano dalla classica automazione all’integrazione dell’AI generativa?

Il livello di trasformazione richiesto per trarre realmente vantaggio da questo è enorme. Le aziende potrebbero – e forse dovrebbero – apparire completamente diverse tra pochi anni. Ora, tuttavia, nonostante l’entusiasmo, siamo ancora ai primi giorni. Il più grande problema organizzativo oggi è in realtà la formazione. Molte aziende hanno distribuito il solito video di formazione aziendale di 20 minuti sull’AI, ma questo semplicemente non basta. I dipendenti devono imparare a sfruttare questa tecnologia, i rischi reali che presenta e capire, anche solo un po’, come funziona. In questo modo, i dipendenti a tutti i livelli possono aiutare l’azienda a trasformarsi con la tecnologia.

Nella rivista Security, ha evidenziato le iniezioni di prompt e le allucinazioni tra i principali rischi—quale vettore di minaccia lo preoccupa di più e come Skyhigh sta affrontando questo problema?

L’esfiltrazione di dati non intenzionale è di gran lunga la più grande minaccia aziendale per volume. Solo dai dati che tracciamo a Skyhigh, abbiamo visto un aumento del 80% dei dati caricati su LLM nel corso dell’ultimo anno. Molte interfacce operano come assistenti aziendali e incoraggiano a caricare sempre più informazioni. L’atto di condividere informazioni con un’altra persona – prendere un file e zipparlo per caricarlo in un luogo di analisi SFTP per un’analisi di terze parti – fa fermare e pensare a cosa si sta facendo e ai potenziali rischi. È solo un po’ di passaggi per farlo e si diventa molto consapevoli di starlo inviando a qualcun altro. Essere a metà di un’analisi che utilizza uno strumento di AI e semplicemente incollare un blocco di dati in un prompt per l’AI per ottenere una risposta rapida è un’azione di pochi secondi, eppure la domanda rimane: dove sono finiti quei dati e come sono stati utilizzati? A causa di questo, il focus principale di Skyhigh è sulla prevenzione della perdita di dati per le applicazioni di AI, in particolare per i copiloti.

Ha citato statistiche che mostrano che il 94% delle app di AI presenta un rischio di LLM e che l’11% dei file caricati su AI sono sensibili—quali tendenze vede nel modo in cui le aziende stanno rispondendo per affrontare questi problemi?

Le aziende stanno ancora utilizzando la “politica dell’utente” e il “blocco” come tecniche principali, ma molte aziende rimangono ignare della quantità di AI che viene utilizzata ogni giorno. Vediamo un grande interesse nell’aumentare la scoperta, la visibilità e l’estensione delle tecniche di prevenzione della perdita di dati alle AI, in particolare per le applicazioni di copilota principali.

I copiloti aziendali possono accedere a grandi quantità di dati proprietari—quali sono le strategie più efficaci per prevenire la perdita di dati non autorizzata o l’uso improprio di questi sistemi?

Come sempre, inizia con la politica e la formazione. Successivamente, una combinazione di etichettatura dei dati e tecniche di prevenzione della perdita di dati sono vitali. L’etichettatura AIP di Microsoft (MSFT ), ad esempio, può impedire che i dati confidenziali vengano indicizzati da MSFT Copilot. In combinazione con gli strumenti CASB e DLP, le etichette AIP possono essere aggiunte automaticamente in base alle classificazioni dei dati. La prevenzione della perdita di dati eseguita sui dati del documento e del prompt può garantire la prevenzione del caricamento non intenzionale di dati.

Ha sottolineato il rischio posto dagli sviluppatori di cittadini che creano le proprie applicazioni—come possono le aziende bilanciare l’innovazione e garantire lo sviluppo sicuro?

Si tratta sempre della formazione. Solo perché qualcuno è uno “sviluppatore di cittadini” non significa che possa esimersi dai fondamenti della sicurezza che fanno parte della formazione standard di un ingegnere. Non hanno bisogno di sapere tutto ciò che potrebbe sapere un ingegnere software esperto, naturalmente, ma concetti di base come l’accesso privilegiato e l’escalation orizzontale dei privilegi sono importanti quando si costruisce un’applicazione. Personalmente, consentirei l’accesso a tali strumenti solo dopo che la formazione appropriata sia stata completata. Quindi si tratta di implementare strumenti di sicurezza per catturare gli errori involontari, il che si traduce in tecniche come la prevenzione della perdita di dati.

Come CTO di Skyhigh Security, quale area di mitigazione del rischio di AI—copiloti, sviluppo di cittadini o infrastruttura di conformità—sta priorizzando per i prossimi 12-18 mesi?

La consapevolezza è vitale e Skyhigh già fornisce uno strumento di scoperta di Shadow AI completo. Microsoft Copilot e ChatGPT Enterprise sono il nostro focus principale nel 2025. Abbiamo già distribuito controlli su entrambi e stiamo estendendoli ulteriormente per il resto del 2025. Mentre ci avviciniamo al 2026, stiamo guardando a rivolgere la nostra attenzione più al controllo dei prompt per garantire la sicurezza contro i prompt malintenzionati, il jailbreaking e altri rischi chiave di LLM.

Qual è il passo avanti o il cambiamento che potrebbe completamente ridisegnare il modo in cui pensiamo alla sicurezza aziendale in un mondo guidato dall’AI?

Agentic AI. È solo all’inizio, ma l’impatto è potenzialmente enorme. Mentre sempre più agenti si concatenano, i vettori di attacco aumentano lungo la catena. Molto cybercrimine viene “rilevato” dagli esseri umani perché qualcosa non sembra giusto. In queste catene di agenti, capire come rilevare i segni di compromissione sarà una vera sfida.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Skyhigh Security.