Roy Akerman 00:00
Sree a consacré sa carrière à la conception et à la direction de programmes de cybersécurité au sein d'organisations parmi les plus exigeantes, telles que Warner Brothers et Capital One. Aujourd'hui, en tant que vice-président de la cybersécurité chez Interactive Brokers, il se concentre sur la sécurisation des systèmes où la vitesse, l'échelle et les risques convergent.
Sreenarayan Ashokkumar 00:16
On parle beaucoup de conception d'identité visuelle, et imaginez le nombre de systèmes qu'une entreprise du Fortune 500 possède ! Un collègue d'une banque du Fortune 10 m'a raconté qu'ils avaient intégré la connectivité Mythos dans un terminal au sein d'un noyau Linux. Malgré des correctifs complets, le modèle a continué à évoluer de lui-même et a fini par s'en échapper. Soyons réalistes : voilà la menace à laquelle nous sommes confrontés. L'époque des dirigeants peu techniques est révolue.
Rob Ainscough 00:41
Sree apporte une perspective très pragmatique, fruit de nombreuses années d'expérience sur le terrain, de la modélisation des menaces et des tests d'intrusion à la mise en place d'équipes internationales et de cadres de gouvernance. Dans cet épisode, nous abordons la manière dont les nouvelles technologies telles que l'IA et Mythos bouleversent le modèle traditionnel, et ce que signifie sécuriser des environnements de plus en plus complexes à l'ère des agents virtuels.
Sreenarayan Ashokkumar 00:59
Cette bataille ne peut être menée seul. Nous entrons dans une nouvelle ère de modèles fondamentaux. Le paysage des menaces évolue, et avec l'avènement de l'IA, la rapidité devient un atout majeur.
Roy Akerman 01:10
L'identité n'est pas seulement un problème opérationnel, c'est aussi un problème de sécurité, et la plupart des équipes le découvrent en temps réel.
Rob Ainscough 01:16
Bienvenue dans Identity Decoded, le podcast où nous décryptons la notion de sécurité d'identité, en partageant des conversations franches sur les personnes qui construisent, corrigent et repensent la sécurité d'identité de l'intérieur.
Roy Akerman 01:29
Je suis Roy Ackerman,
Rob Ainscough 01:29
Et je suis Rob Ainscough.
Roy Akerman 01:31
Plongeons dedans.
Rob Ainscough 01:32
Faisons le.
Rob Ainscough 01:38
Bienvenue, Sri.
Sreenarayan Ashokkumar 01:40
Merci de m'avoir invité. Je suis ravi d'avoir une discussion fructueuse sur la cybersécurité et le rôle de l'identité.
Roy Akerman 01:47
Votre parcours parle de lui-même, n'est-ce pas ? Vous avez occupé des postes importants à des moments clés, des studios d'enregistrement aux grandes institutions financières, jusqu'à votre poste actuel dans l'une des plus grandes entreprises de transactions financières. Pourriez-vous nous retracer brièvement votre parcours ?
Sreenarayan Ashokkumar 02:10
Je crois que c'est surtout la chance qui m'a permis d'être là où je suis. Une chance incroyable. Je suis toujours en quête de nouveaux défis. Tout au long de mon parcours, des startups à la cybersécurité, j'ai cherché à relever les défis qui me permettraient de progresser. À mon avis, nous entrons dans une nouvelle ère de modèles fondamentaux, et le paysage des menaces évolue. Avec le trading haute fréquence et les courtiers interactifs, c'est un nouveau domaine d'activité pour moi. L'arrivée de l'IA fait de la vitesse un atout majeur. La manière de se défendre sera cruciale, notamment en matière d'identité.
Roy Akerman 02:51
Ce qui est vraiment intéressant dans votre approche, c'est que malgré votre progression de niveau et votre ancienneté au fil des ans, vous restez très technique dans la conception de solutions, et pas seulement dans leur utilisation, sans parler de leur création. C'est bien ça ? Vous êtes toujours très impliqué auprès de grandes équipes.
Sreenarayan Ashokkumar 03:14
Je suis convaincu que c'est un point crucial souvent mal compris : les erreurs des dirigeants. L'époque des dirigeants peu techniques est révolue, surtout dans les entreprises technologiques. On ne recherche plus un RSSI spécialisé en GRC, ni un RSSI membre du conseil d'administration ; on recherche avant tout une personne technique, possédant également d'autres compétences techniques. C'est le nouvel état d'esprit qu'exige ce leadership. Ces rôles sont exigeants aujourd'hui. On parle de RSSI « axés sur le produit », car si l'on ne comprend pas le métier et comment intégrer la technologie à l'activité, on ne peut pas déployer les fonctionnalités à temps auprès des clients. Le rôle de la cybersécurité ne se limite plus à cocher des cases ou à dire non ; il s'agit de trouver comment rendre ces fonctionnalités accessibles aux clients.
Rob Ainscough 04:08
Je pense que les exigences envers le CSO et les qualités requises pour réussir dans ce rôle ont considérablement évolué ces dernières années. Comme vous le dites, il s'agit de comprendre et de partager les préoccupations de l'entreprise, de la soutenir et d'expliquer des concepts techniques complexes, qu'il s'agisse de méthodes d'attaque ou de contrôles, de manière compréhensible pour les directeurs financiers, les PDG, les responsables marketing, etc. Ce n'est pas leur domaine de prédilection, et il est donc essentiel de combler ce fossé au niveau de la direction.
Roy Akerman 04:52
Oui, je suis tout à fait d'accord. J'imagine à quel point il est difficile de protéger des transactions. Des milliards d'opérations qui doivent être effectuées en une fraction de seconde, tout en garantissant une sécurité optimale sans aucune interruption de service. Je suis donc totalement convaincu que les dirigeants doivent être extrêmement compétents techniquement. Puis-je aborder un point qui nous a empêchés de nous réunir à l'heure à plusieurs reprises ? Il s'agissait du lancement imminent de Mythos par Anthropic. Nous devions nous rencontrer à plusieurs reprises, mais vous avez été convoqué par le PDG pour discuter des implications d'une possible sortie prochaine d'un nouveau modèle d'IA par Anthropic. Pouvez-vous nous en dire un peu plus à ce sujet et nous expliquer pourquoi cela vous a autant occupé ?
Sreenarayan Ashokkumar 05:43
Je pense que tout le monde y pense en ce moment. Vous tous qui écoutez le podcast, où en êtes-vous dans ce parcours de découverte du mythe et d'action ? Je suis dans le même bateau. Toutes les organisations se demandent si la menace est réelle. Vous appelez vos collègues de tout le secteur. Je faisais pareil. Les médias ont beaucoup spéculé, ce qui a empêché beaucoup de gens de dormir, y compris les responsables techniques et les dirigeants. Je suis sûr que vous aussi, vous y êtes confrontés. Vous l'étiez également au sein de votre organisation. Cette menace est-elle réelle ? Et vos clients vous appellent pour vous demander comment vous vous préparez à une telle situation, n'est-ce pas ? C'est l'un des principaux points qui m'a freiné, car j'essayais de rassembler les informations nécessaires pour rassurer mon équipe technique. Ensuite, une des mesures que j'ai prises et que d'autres devraient prendre est de parler à un contact connu qui a déjà été exposé au problème. Il y a 40 à 50 banques et organisations d'infrastructures critiques qui y ont accès. Lisez les articles publiés par des RSSI de confiance, comme ceux récemment publiés par JP Morgan et Anthropic. La première étape consiste à déterminer si la menace est réelle et comment chacun se prépare, du point de vue de la direction. Il est crucial de comprendre que, quelle que soit la stratégie adoptée, l'engagement de vos partenaires technologiques est indispensable. Ce combat ne peut être mené seul. Face à une telle menace, ou en cas de violation de données comme pour toute organisation, vous devez mobiliser vos partenaires technologiques et votre direction. Préparez une présentation claire et concise, à envoyer au PDG, expliquant les informations recueillies, la réalité de la menace et votre plan d'action à 30, 60 et 90 jours. J'ai participé à un podcast avec le RSSI de Palo Alto Networks, qui estimait que six mois, voire trois à six mois maximum, suffisent à l'ensemble du secteur pour se préparer. Il faut donc procéder par étapes et renforcer progressivement la confiance.
Roy Akerman 07:47
Je voulais juste préciser qu'il y a eu un véritable séisme, pour ceux qui sont encore en train de comprendre. On parle d'Anthropic, qui s'adresse au monde entier et explique qu'ils ont créé un modèle, ou plutôt qu'ils étaient sur le point de publier un modèle si puissant que, lors de la phase de test, les chercheurs l'ont soumis à des tests de sécurité, comme des tests d'intrusion ou des missions de piratage, et ont partiellement relâché les garde-fous et les contrôles. Au final, ce modèle aurait pu contenir, ou contenait effectivement, de nombreuses vulnérabilités zero-day et exploits, même dans les environnements les plus protégés et les moins exploités, des systèmes Linux à d'autres. Toutes ces vulnérabilités, ou du moins la plupart, ont été vérifiées par d'autres. La crainte des dirigeants d'entreprise et des responsables techniques est donc que si ce modèle tombe entre de mauvaises mains, nous soyons tous en danger.
Rob Ainscough 08:46
Je crois que deux choses me viennent à l'esprit. Mythos, c'est comme un signal d'alarme pour le secteur, un avertissement de ce qui nous attend. C'est le signe que les choses évoluent. Et pour revenir à ce que vous disiez, Sri, l'important, c'est de se préparer à cette situation, à cet inconnu, à ses conséquences sur nos environnements. Cela exige un engagement, l'adhésion des entreprises, comme vous le dites. Mais surtout, c'est un travail d'équipe. La responsabilité de résoudre ce problème ne repose pas uniquement sur l'équipe de cybersécurité. C'est l'affaire de tous, car il y a tellement d'incertitudes. Mais une chose est claire : un modèle de niveau Mythos risque de tomber entre les mains des attaquants et des adversaires plus rapidement que des capacités équivalentes pour les défenseurs. Il y aura un vide, et nous devons le combler de toute urgence.
Roy Akerman 10:13
Je suis d'accord avec toi. Je pense qu'il serait très intéressant d'analyser cela en deux étapes.
Sreenarayan Ashokkumar 10:40
Je voudrais vous donner un exemple. Je pense que ça nous permettra de démarrer. Un de mes collègues, travaillant dans une banque du Fortune 10, m'a expliqué qu'ils avaient intégré la connectivité Mythos dans un terminal du noyau Linux, alors que le système était entièrement à jour. Tous les agents de sécurité étaient installés, et ils lui avaient simplement indiqué les adresses IP internes et externes, puis l'avaient laissé faire. Le modèle a continué à progresser et a réussi à s'échapper. Il n'y avait aucune trace de CVS, rien du tout. En fait, il a créé une faille de sécurité exploitable et s'est échappé via l'hyperviseur. Soyons clairs : c'est la menace à laquelle nous sommes confrontés. Il est crucial de bien la comprendre. Le modèle n'avait aucune protection. Il a contourné les agents, les protections, le confinement jusqu'à l'hyperviseur, et s'est échappé.
Roy Akerman 11:31
Le premier problème réside dans l'hypothèse que, même en cas de faille zero-day, nous pourrons corriger le tir à temps. C'est ce qui nous permet de réagir en quasi temps réel. Or, il se passe autre chose. Serait-il judicieux de supposer qu'une brèche se produira bientôt et, dans ce cas, de nous préparer à réagir rapidement, ou de réfléchir à la manière d'atténuer ce risque ?
Sreenarayan Ashokkumar 11:57
Mon avis sur la question, c'est qu'il faut miser sur une défense multicouche. On ne parlera plus d'une défense opposée à une autre, mais d'une défense à plusieurs niveaux. L'époque où une CVE se transformait en KM (Méthode des connaissances), et où l'on attendait passivement l'exploitation d'une faille, est révolue. N'importe quelle CVE peut désormais être exploitée en temps réel, l'agent cherchant à la contourner. Si je devais conseiller une stratégie, je dirais de commencer par trois piliers : la sécurité des données, la gestion de l'exposition et l'identité. Il faut donc déterminer comment sécuriser vos données en cas d'intrusion et de tentative d'extraction, en sécurisant d'abord l'exposition, puis en identifiant les vulnérabilités les plus faciles à corriger. Commençons par celles-ci, mais même des risques faibles, même minimes, peuvent s'enchaîner. C'est la spécialité de ce modèle : il permet d'exploiter plusieurs risques faibles en chaîne. Le troisième pilier est l'identité. Assurez-vous de contrôler les accès, d'autoriser les utilisateurs et de consigner toutes les identités, qu'il s'agisse du système ou de l'utilisateur, afin de pouvoir effectuer un suivi, être surveillé et alerté en cas de dépassement du périmètre.
Rob Ainscough 13:11
Je m'intéresse à la notion de gestion de l'exposition et de gestion des vulnérabilités. Chacun l'envisage et l'appelle différemment, mais mon expérience dans l'industrie, bien avant cela, était déjà un véritable combat pour suivre le rythme des vulnérabilités non corrigées au sein de l'organisation. À peine en corrigeait-on une que d'autres apparaissaient. On avait du mal à survivre face à l'ampleur des vulnérabilités. Le modèle était donc déjà fragile. Aujourd'hui, on franchit une nouvelle étape : le risque d'être touché par une faille non répertoriée, une vulnérabilité zero-day, jamais enregistrée ni détectée, est bien plus élevé. Face à ce défi, la question se pose : faut-il encore se fier à la gestion de l'exposition et à la gestion des vulnérabilités dans ce contexte ? Vous l'avez mentionné comme l'un de vos piliers fondamentaux, mais l'hypothèse la plus sûre n'est-elle pas que tout ce que je gère est exposé, que je le sache ou non ?
Roy Akerman 14:19
Je vais peut-être essayer de rendre ça un peu plus ludique. Imaginons que je sois l'agent, que je vienne de trouver une machine Linux et que je sois connecté. J'ai découvert une faille zero-day incroyable, je m'y suis introduit, j'ai sécurisé le canal de sortie et je commence mes opérations pour prendre le contrôle de votre organisation. Comment, en tant qu'humains, pouvons-nous utiliser au mieux les technologies à notre disposition pour gagner ? On parle aujourd'hui de gestion des privilèges, mais on part du principe qu'à tout moment, une identité hautement privilégiée ou une présence hautement privilégiée d'un acteur malveillant infiltré dans notre organisation sera compromise. D'accord, et la seule façon de comprendre comment contrer cette attaque est d'essayer a) de comprendre son prochain mouvement et b) de suivre tous ses mouvements. Comme vous l'avez dit, il s'agit des connexions SSH et SMB, des tentatives d'accès au cloud, de la persistance, de toute la chaîne d'attaque, mais ici, à une échelle bien plus importante. Nous devons être capables de prédire et de détecter ces attaques, puis de jouer notre jeu. Je pense que ce jeu est un jeu de gestion des identités et des accès (IAM). Le but est de savoir comment autoriser les chemins que l'on sait pouvoir contrôler et sécuriser, et faire en sorte que cet agent les priorise ou les considère comme les plus utiles. Parfois, on peut même tromper l'agent, mais il faut s'assurer que ces chemins sont protégés par des contrôles de sécurité, des filtres ou tout autre dispositif susceptible de les ralentir, et non pas simplement par un blocage binaire. Au final, tout le monde dira qu'il faut créer un agent pour combattre un autre agent, n'est-ce pas ? Nous n'en sommes pas encore là. Je pense que nous devons y arriver.
Sreenarayan Ashokkumar 16:02
Comment voyez-vous l'évolution de ce secteur du point de vue de la réactivité ? Anticipez-vous une automatisation croissante ? L'arrivée d'agents IA ? Et comment instaurer la confiance sans perturber l'activité ?
Rob Ainscough 16:15
Je pense que la première chose à dire, c'est que la meilleure solution dont nous disposons actuellement pour ce type de problème consiste à appliquer des contrôles par politique dès l'authentification, directement au niveau de l'identité. Le problème, comme vous l'avez dit, c'est que cette approche est manuelle. Elle est certes comprise grâce à l'analyse comportementale et à la télémétrie, mais elle reste manuelle et obtenir une couverture complète est extrêmement difficile. Je suis convaincu que l'IA a un rôle essentiel à jouer pour nous aider à définir nos défenses et leur structure grâce à l'identité, et à appliquer ces politiques de manière beaucoup plus dynamique qu'auparavant avec des ensembles de règles et des politiques statiques, qui constituaient jusqu'à présent la référence.
Roy Akerman 17:05
Oui, je vais vous poser cette question dans un instant, alors préparez-vous, car vous êtes l'une des plus grandes organisations à s'être remise d'une cyberattaque majeure, n'est-ce pas ? Et nous venons d'évoquer les nombreux projets que vous avez dû mener à bien. Je pense que nos systèmes de contrôle devraient être bien plus performants. Vous devez probablement repenser les points de contrôle pour vous assurer que ce flux rapide d'activités d'IA ne se limite pas à la simple surveillance. Par « surveillance », j'entends la surveillance du raisonnement, de la mémoire et des interactions d'un agent, notamment pour faciliter sa communication. Au final, notre objectif n'est pas de simplement savoir ce qui se passe, mais de développer un instinct de sécurité. Qu’essayiez-vous d’accomplir, et comment y êtes-vous parvenu lorsque vous avez intégré l’une des autres organisations pour lesquelles vous aviez déjà dirigé la sécurité après une cyberattaque et une violation de données majeures ? Et comment cela change-t-il si c’est un agent d’IA qui est à l’origine de cela, ou si c’est quelqu’un qui a simplement abusé d’une clé ?
Sreenarayan Ashokkumar 18:12
Si vous avez une fortune de cinq cents ou de centaines, et que vous subissez ensuite une brèche majeure à fort impact, n'est-ce pas ? Le plus gros problème, c'est le chaos. Les organismes de réglementation débarquent de partout, commencent à frapper à la porte, les clients paniquent. Votre procédure de réponse aux incidents est votre meilleur allié, et vous devez vous assurer de collaborer avec des organisations de grande envergure et d'obtenir autant d'aide que possible. Il arrive parfois, dans le secteur d'activité actuel, de ne même pas disposer d'une grande équipe ; il faut donc élaborer un plan. Tous vos partenaires technologiques et vos dirigeants attendent de vous des réponses, c'est donc une position très difficile à gérer et il est compliqué de trouver une solution. Je vous recommande donc de procéder comme suit : commencez par identifier et définir comment vous souhaitez aborder le problème réglementaire et le problème externe, rassurez d’abord vos clients, immédiatement, puis adressez-vous aux organismes de réglementation et commencez à traiter ces questions avec une équipe spécialisée et hautement qualifiée. Ensuite, vous vous adressez à vos partenaires technologiques et vous définissez 100 à 1000 initiatives pour sécuriser votre écosystème, ce qui donnera à votre conseil d'administration et aux dirigeants technologiques la confiance dont ils ont besoin en tant que partenaires pour investir en vous et faire confiance à votre programme, puis vous mettez en place une structure de mise en œuvre qui vous aide à prioriser. Oui, si je vois un scénario similaire se produire aujourd'hui avec l'IA. Je ne sais pas combien de portes je dois verrouiller, vous savez. Même sans intelligence artificielle, il y a tellement de portes qui doivent être verrouillées. Les priorités basses deviennent soudainement des priorités moyennes. Les priorités moyennes deviennent élevées, les priorités élevées deviennent critiques. Il y en a beaucoup plus. Pour revenir aux fondamentaux, à chaque fois qu'un employé entre ou sort de l'entreprise, assurez-vous d'avoir un cycle de vie de base très solide, et cela suffira. La première initiative, la prochaine sera d'analyser toutes les identités afin de définir un accès segmenté approprié. On ne peut pas avoir une politique d'étoiles ouvertes, n'est-ce pas ? Cela ne fera qu'attirer des ennuis. Vous ne saurez même pas quel rôle ils ont joué. Je souhaite revenir sur la réponse. Bien, comment et que contient-on ? J'ai l'impression que si le même scénario se reproduisait aujourd'hui, comme vous l'avez souligné, nous n'aurions pas beaucoup de temps, n'est-ce pas ? Si l'on regarde certaines banques célèbres qui ont subi des piratages, on constate que la même banque a subi des piratages continus à chaque fois, tous les trois mois. Il s'agissait d'attaquants qui avaient le temps, maintenant ils ont des agents, maintenant ils ont des modèles capables de pénétrer plus profondément. Imaginez maintenant la quantité de munitions supplémentaires dont ils disposent, et comment ils vont vous prendre pour cible de manière exponentielle. Ces mois vont donc se transformer en heures ou en jours, n'est-ce pas ? C'est donc là, Roy, comme vous le soulignez, que les options de réponse sont très limitées. Je n'ai pas – je ne sais pas s'il existe un outil d'identité unique ou un mécanisme de réponse capable de contenir une faille d'identité, de la neutraliser ou d'y répondre immédiatement par détection naturelle, même si je dispose d'une automatisation SOC pour détecter un élément qui se connecte et envoie un signal à un outil de confinement, l'identité peut-elle être contenue ? Nous pouvons l'éliminer, mais pouvons-nous le contenir ? Et est-ce la bonne décision ?
Rob Ainscough 21:33
C'est quelque chose auquel je pense beaucoup, et ce depuis plusieurs années. Je pense que nous commençons à y arriver en termes de technologie, mais j'ai commencé à considérer l'identité comme un pont-levis que l'on peut lever en cas de stress, et on peut le lever complètement ou partiellement. Le mode de fonctionnement que l'on peut décrire à son entreprise à mesure que l'on passe par ces différents niveaux de levée du pont-levis est différent, mais on peut l'expliquer, et on dira, par exemple, que notre fonctionnement normal consiste à introduire cette contrainte si nous commençons à constater ce stress dans l'environnement. Ces signaux, quelle que soit leur origine (l'identité du terminal réseau en elle-même, peu importe), pourraient bien arriver à un point où nous commencerons à lever automatiquement ce pont-levis, faute de temps pour faire autrement. Nous voudrons prendre de moins en moins de risques et imposer de plus en plus de coûts à notre entreprise. L'idéal serait que ce pont-levis soit disponible partout où nous en avons besoin et qu'il s'applique automatiquement. Ainsi, nous n'aurons plus besoin de prendre de décision humaine pour le lever. Je sais que c'est une approche très conceptuelle, mais c'est pour moi le problème le plus urgent en matière d'identité.
Sreenarayan Ashokkumar 22:56
Comment voyez-vous le fonctionnement de ce pont-levis ? Pourriez-vous nous expliquer les différentes options et conceptions de pont-levis actuelles, ou celles que vous envisagez pour l’avenir ?
Rob Ainscough 23:07
Oui, exactement. Je vais vous donner des exemples très simples, sans fondement, juste des exemples, mais par défaut, on a moins confiance dans les tiers et leur identité que dans celle des employés, n'est-ce pas ? On peut faire des choses pour renforcer cette confiance, mais il y a toujours une marge de sécurité concernant les tiers. C'est une approche courante, mais face à ces premiers inconvénients, on peut se dire : « Pour l'instant, on n'autorise pas l'authentification par des tiers. » Ce n'est peut-être pas la solution de départ, mais c'est peut-être le point de départ, car on réduit progressivement les risques d'introduction de ces informations dans notre environnement. Se trouver dans cette situation d'incertitude est un problème majeur, n'est-ce pas ? En réduisant les risques, par exemple, si l'on détecte une utilisation anormale d'un compte non humain, on l'interdit tout simplement. Normalement, j'en aurais peut-être parlé au SOC, mais vu le niveau de stress actuel, je ne le ferai pas. Je dirai simplement non, ça n'arrivera pas.
Roy Akerman 24:13
Je pense que c'est précisément le point sur lequel nous continuons de discuter avec notre invité : la convergence de la sécurité et du contrôle d'accès. C'est la réalité à laquelle nous sommes confrontés.
Sreenarayan Ashokkumar 24:23
J'aime bien votre analogie. Revenons en 2015, au moment où le cloud a connu un essor fulgurant. Nous avons alors tenté de migrer tous les outils de nos centres de données vers le cloud, mais nous n'avons jamais réussi à corriger les erreurs de configuration à temps, ni à assurer une sécurité optimale. C'est alors qu'ont émergé les solutions CSPMS et CNAPS. Je pense que la gestion des identités a désormais besoin d'un espace dédié, comme la gestion de la posture de sécurité des identités, qui offre visibilité, prévention et un paramétrage fin automatisé, permettant ainsi une réaction immédiate en cas de détection d'un problème.
Rob Ainscough 25:02
Si je comprends bien, l'identité doit connaître une véritable révolution numérique. Elle doit évoluer. Sri, que diriez-vous ? Imaginez que les gens écoutent cela et qu'ils arrivent lundi matin : quelles seront leurs nouvelles habitudes ? À quoi devraient-ils réfléchir différemment ? Quels enseignements peuvent-ils en tirer et appliquer concrètement à leur travail ?
Sreenarayan Ashokkumar 25:20
J'apprécie une idée que vous avez soulevée concernant la diversité des styles de réponse. C'était un exercice pédagogique essentiel, qui permet de rompre avec les habitudes. Je peux certes affirmer que la journalisation des activités liées à l'identité et la segmentation des identités sont cruciales, mais on entend souvent parler de réponses d'identité qui servent de coupe-circuit. Or, il est important d'avoir des politiques de gestion des accès finement paramétrées pour différents types d'identités, et de savoir comment réagir en fonction du type d'accès : système SaaS, système d'administration interne, application ou compte système ? Définir des politiques différentes est fondamental. En tant qu'auditeur, vous devriez y réfléchir attentivement, car cela vous permettra d'apporter la réponse adéquate sans perturber constamment l'activité. Cela offre également la possibilité d'une conception dynamique grâce à l'IA : un modèle pourrait concevoir ces réponses en définissant des limites, puis en les laissant faire. L'idée de construire un pont-levis est un point essentiel que j'encourage chacun à explorer.
Rob Ainscough 26:28
Je suis d'accord, et je pense qu'il s'agit d'être prêt à échouer, n'est-ce pas ? Ce n'est pas l'idée la plus optimiste, certes, mais je pense qu'un aspect important, vous savez, que nous avons constaté ces dernières années, dans le domaine de la cybersécurité en général, est une réelle focalisation sur la résilience, sur le fait de se préparer au pire et sur ce qui va se passer quant à la manière dont nous allons réagir et nous rétablir.
Sreenarayan Ashokkumar 26:50
Et j'ai un dernier conseil à vous donner, pour que nous puissions tous… Je recommanderais à tous les auditeurs de se constituer un arsenal de tests, afin de se soumettre à des tests de résistance en utilisant les modèles existants auxquels ils ont accès aujourd'hui, même Opus. La grande différence entre Opus et Mythios est que Mythios continue de se perfectionner, donc votre humain dans les boucles peut également faire progresser Opus et révéler des systèmes.
Roy Akerman 27:16
Il est important, premièrement, de tester des modèles comme Opus, Sunette ou tout autre, pas forcément Anthropic, sur votre propre système. Effectuez des tests d'intrusion IA en continu et découvrez les failles d'accès et les chaînes de confiance vulnérables avant qu'un autre modèle ne vous cible. Nous arrivons presque à la fin, et nous avons pour tradition dans cette émission de réaliser des tests rapides, que nous appelons…
Rob Ainscough 27:47
Oui, des questions à la volée, des questions rapides,
Roy Akerman 27:49
Oui. Et Rob est vraiment doué pour ça, alors je lui laisse carte blanche.
Rob Ainscough 27:53
Bien joué. Bon, on va les passer en revue. Alors, premier : qu'est-ce qu'un mythe identitaire ? Un mythe identitaire.
Rob Ainscough 28:03
Ah, voilà la question épineuse. Le plus grand mythe, selon moi, c'est que l'authentification multifacteur (MFA) va résoudre la faim dans le monde. C'est faux. Même si vous utilisez Face ID en ce moment, par exemple, cela déverrouille votre mot de passe, pas votre clé d'accès, sauf si vous le souhaitez.
Rob Ainscough 28:23
Question suivante : quelle est l'erreur la plus fréquente des dirigeants ?
Sreenarayan Ashokkumar 28:27
Ils ne tiennent pas compte de l'ensemble du sujet et sont moins techniques. Je pense que cela rejoint les débuts du podcast. On observe une augmentation du nombre de responsables GRC et de membres de conseils d'administration, tandis que les autres acteurs du secteur technologique, les autres dirigeants impliqués, acquièrent progressivement des compétences techniques. Revenons en arrière, d'accord ?
Roy Akerman 28:47
Ouais,
Sreenarayan Ashokkumar 28:48
Dans les années 1990, tout le monde apprenait les langages de haut niveau. Aujourd'hui, tout le monde apprend l'IA, sait l'utiliser et créer des produits, mais les fondamentaux des systèmes restent les mêmes. Si, en tant que dirigeant, vous ne maîtrisez pas ce langage, comment garantir la sécurité des produits sur lesquels un chef de produit expérimente et réalise des prototypes ?
Rob Ainscough 29:04
Alors, la prochaine, une vérité difficile à accepter. Quelle est cette vérité difficile à accepter ?
Sreenarayan Ashokkumar 29:08
Je reviendrais à ma réponse précédente. L'histoire se répète. Il faut établir un parallèle entre la transition des programmeurs des langages bas niveau aux langages de haut niveau et la généralisation du développement d'outils. Souvenez-vous, dans les années 80 et 90, les jeux et les logiciels ont commencé à apparaître. Tout le monde s'est mis à créer des outils, mais avant cela, seuls les ingénieurs en microprocesseurs développaient des instructions, n'est-ce pas ? Ils construisaient des calculatrices, des ordinateurs occupant des pièces entières. Je pense donc que l'histoire se répète. Si j'étais à la place de l'auditeur, je remonterais le temps et j'analyserais ce qui s'est passé dans les années 90, lorsque les langages de haut niveau sont devenus populaires et que tout le monde s'est mis à développer.
Roy Akerman 29:51
Une dernière question vraiment intéressante : quel terme ou tendance vous semble surmédiatisé ?
Sreenarayan Ashokkumar 29:57
Je suis fermement convaincu que l'IA ne peut pas résoudre le problème de la faim dans le monde. C'est impossible. Pourtant, beaucoup y croient dur comme fer. Je m'appuie sur les principes fondamentaux, et j'enseigne la même chose à mes dirigeants. Ils me demandent : « Comment utiliser l'IA ? Peut-elle résoudre ce problème complexe ? » Et je leur réponds : « Non. » Je leur dis respectueusement : « Imaginez avoir accès à 100 stagiaires aux compétences similaires. Quel problème leur confieriez-vous ? » Voilà ce que les modèles d'IA peuvent résoudre aujourd'hui.
Roy Akerman 30:29
Oui, donc en gros, vous ne capitulez pas face à l'IA. Vous affirmez toujours que l'humain possède certaines capacités pour accomplir des choses que l'IA ne peut pas, et qu'il existe des limites. Et oui, il faut arrêter de se lamenter et peut-être même se défouler un peu.
Rob Ainscough 30:45
Il faudra te réinviter dans un an et voir où ça en est, ouais,
Roy Akerman 30:49
Oui, c'était un plaisir. Je pense qu'il faut beaucoup de courage pour aborder ces points de rupture, ces sujets qui nécessitent une refonte complète. Cela suscite forcément des craintes et des inquiétudes, mais je crois sincèrement que cette journée au bureau du PDG et ces discussions nous mènent vers une étape importante de notre époque, une étape que nous allons probablement franchir. Nous ne sommes pas encore dans l'ère Terminator, et je tiens à vous remercier chaleureusement d'avoir pris le temps de nous rencontrer. Je sais que vous êtes très occupé. Merci infiniment de nous avoir éclairés sur ce point. Sur ce, je vous souhaite une excellente journée.
Sreenarayan Ashokkumar 31:29
J'apprécie vraiment cette opportunité et le fait de partager cette table avec R et R Identity.
Roy Akerman 31:36
Nous changeons d'image.
Rob Ainscough 31:37
Merci beaucoup, Sree. C'est très gentil de votre part. C'est tout pour cet épisode d'Identity Decoded.
Roy Akerman 31:43
Si cette conversation a changé quoi que ce soit dans votre façon de penser à la sécurité de l'identité, partagez-la avec quelqu'un qui rencontre les mêmes difficultés, et n'oubliez pas de suivre l'émission.
Rob Ainscough 31:50
Pour ne rien manquer de la suite.