HealthTech: Comment l'IA, en particulier l'IA agentique, complique-t-elle la gestion de l'identité pour les organisations?
Iyer: L'IA agentique, comme vous pouvez l'imaginer, introduit cette notion de robots autonomes et de charges de travail autonomes, l'idée étant que les charges de travail sont automatiquement étendues par ces robots. Cela fait que les stratégies IAM traditionnelles ne fonctionnent pas vraiment, car la plupart de ces robots sont essentiellement provisionnés de telle manière qu'ils sont autonomes.
Ils introduisent également cette notion de comportements qui sont motivés par ce qu'ils ont l'intention de faire, parfois motivé par des actions très connues et parfois par des actions qui ne sont pas du tout connues. Parfois, c'est complètement imprévisible. Cela présente des défis concernant les stratégies IAM. Les contrôles traditionnels de sécurité de l'identité que vous utilisez généralement pour régir et gérer la façon dont l'accès est motivé ne fonctionne pas vraiment pour ces agents autonomes. C'est ce que fait l'IA de l'IA.
HealthTech: Quelles autres menaces rendent la gestion de l'identité plus difficile et sont-elles importantes pour les organisations à laquelle faire attention?
Iyer: Lorsque vous parlez de ce que d'autres choses motivent et rendent l'identité plus difficile dans l'entreprise, je pense au phishing des informations d'identification ou à la gestion des informations d'identification, aux informations d'identification volées, aux contrôles de privilèges élevés. Tous cela rend la gestion de l'identité extrêmement difficile, en particulier avec l'IA dans le mélange.
Ce qui se passe vraiment, c'est que les agents de l'IA héritent généralement des contrôles et des aspects de gestion de l'accès de l'identité d'où il est appelé. Cela signifie que lorsque ces agents s'exécutent sur les actions, ils héritent souvent des privilèges. Cela rend les choses très difficiles, car nous sommes exagérés, ce qui augmente le risque que les références soient volées.
HealthTech: Comment les principes de la confiance zéro peuvent-ils aider les organisations à se protéger contre ces menaces?
Iyer: Les bases de Zero Trust sont «jamais la confiance, vérifiez toujours». Ainsi, il existe certains principes que les gens devraient considérer lorsqu'ils commencent à mettre en œuvre une architecture zéro-frust dans leur environnement. Pendant longtemps, les gens ont considéré Zero Trust comme une chose très centrée sur l'homme. Lorsqu'ils décident qu'ils vont mettre en œuvre une architecture zéro-frust, ils le examinent principalement dans une perspective humaine: à quoi le personnel d'information a accès et comment ils y ont accès, en s'assurant que l'organisation vérifie chaque fois qu'il y a une demande d'accès qui doit être gérée.
Cela change complètement lorsque vous pensez à l'IA, car dans le contexte de l'IA, même si nous disons la confiance, mais vérifiez, la partie de vérification devient difficile parce que vous ne pensez pas à la façon dont ces agents eux-mêmes se manifestent dans un environnement. Quels contrôles d'accès ont-ils? Que font-ils vraiment en termes d'accès aux données et à d'autres tâches?
Dans une architecture zéro-frust, vous devez toujours faire tout ce que vous faites pour les humains, mais une vue centrée sur la machine est également importante. Chez Cyberark, nous avons examiné bon nombre de nos clients et leurs données, et nous avons appris que le rapport entre les identités de la machine et des identités humaines est d'environ 82 à 1. Cela signifie pour chaque identité humaine, nous voyons plus de 80 identités de machines dans l'organisation.
Cela rend difficile la mise en œuvre d'une architecture zéro-frust, car vous devez penser non seulement à fournir un accès, mais aussi à vous assurer que ces agents ont un niveau de contrôle très granulaire. Ils devraient avoir le bon type de visibilité en termes de ce à quoi ils ont accès afin que nous ayons les bons sentiers d'audit et les mécanismes d'audit intégrés dans nos processus. Plus important encore, les organisations doivent évaluer en permanence comment et ce que ces identités de machine accédent et s'assurer qu'elles mettent en œuvre l'identité basée sur le comportement par opposition aux contrôles statiques que vous voyez généralement dans une organisation.