L'identité rencontre les données : définir la couche de confiance IA pour l'entreprise agentique

Cyera a officiellement finalisé l'acquisition d'Oasis Security. Il s'agit de l'une des décisions les plus marquantes de l'histoire de la cybersécurité. Elle rapproche deux disciplines, la sécurité des données et la sécurité des identités, qui ont évolué séparément pendant des décennies mais qu'il est aujourd'hui crucial d'unifier.

Il ne s'agit pas seulement d'une extension de la plateforme Cyera. Cela reflète un changement fondamental dans la manière dont les entreprises doivent concevoir la sécurité à l'ère de l'IA.

Pendant la majeure partie de l'histoire de la cybersécurité, l'acteur principal était une personne. Les systèmes d'identité ont été conçus pour gérer les employés, leurs rôles, leurs autorisations et leur cycle de vie, tandis que la sécurité des données se concentrait sur la découverte d'informations sensibles et la réduction de leur exposition. Ce modèle fonctionnait parce qu'un humain se trouvait entre l'identité et les données. Les individus apportaient du discernement, une certaine friction et une responsabilité à chaque interaction avec les informations de l'entreprise. Cette hypothèse est en train de disparaître.

Les entreprises automatisent rapidement leurs processus grâce à des logiciels agentiques, créant une population immense et croissante d'identités non humaines : comptes de service, charges de travail, clés API, jetons, identifiants et, désormais, agents IA. Les humains limitent naturellement les risques liés aux accès trop étendus. Une étude menée par Cyera et Oso sur 2,4 millions de travailleurs et 3,6 milliards d'autorisations a révélé que les employés n'utilisent que 4 % des autorisations dont ils disposent, laissant 96 % inutilisées. L'étude a également montré que les travailleurs n'interagissent qu'avec 9 % des données sensibles auxquelles ils ont accès, soulignant l'ampleur des accès existants au-delà de ce dont les employés ont réellement besoin pour accomplir leurs tâches. Les agents IA suppriment cette contrainte naturelle. Si un agent peut accéder à des données, il peut potentiellement utiliser l'intégralité de cet accès immédiatement et à la vitesse de la machine, en analysant les informations, en naviguant entre les applications, en invoquant des outils et en agissant de manière autonome. Ce qui était autrefois une exposition largement dormante peut se transformer en un risque de données actif en un instant.

C'est là que la combinaison de Cyera et d'Oasis devient si importante.

L'IA rend le modèle de confiance de sécurité statique insoutenable

Pendant des décennies, la sécurité a pu reposer sur une hypothèse fondamentale : l'acteur derrière une identité était un humain capable de faire preuve de discernement sur la manière et le moment d'utiliser les accès qui lui avaient été accordés. Cette hypothèse ne tient plus lorsque l'acteur est un système autonome héritant d'une identité et de privilèges humains.

Une autorisation accordée il y a des mois ne peut plus être considérée comme fiable simplement parce qu'elle était appropriée au moment de son attribution. Un agent IA peut utiliser cette autorisation de manière dynamique, en fonction de la tâche qui lui a été confiée et des informations qu'il rencontre en cours de route. La confiance doit donc devenir une décision prise au moment de l'action.

Cette décision nécessite du contexte. La sécurité doit comprendre l'identité qui demande l'accès, les données qu'elle tente d'atteindre, la sensibilité de ces données et ce que l'agent tente de faire. Ce n'est qu'à cette condition que l'accès peut être correctement adapté à la tâche, plutôt que d'être hérité d'une autorisation permanente.

Cyera et Oasis réunissent ces deux aspects. Associer les données et l'identité établit les bases d'une confiance dynamique : une compréhension unifiée de la relation entre chaque identité non humaine et les données auxquelles elle peut accéder. Cyera apporte une intelligence approfondie sur les données de l'entreprise — en comprenant où elles résident, ce qu'elles contiennent, leur niveau de sensibilité, leur exposition et le contexte métier qui les rend importantes. Oasis apporte l'intelligence nécessaire pour comprendre les identités, les identifiants, les charges de travail et les agents qui y accèdent. Ensemble, ce contexte peut éclairer la décision d'accès elle-même : cette identité doit-elle accéder à ces données, pour cette action, à ce moment précis ?

De la visibilité à l'action

La valeur de ce nouveau contexte ne réside pas simplement dans une meilleure visibilité. Elle change ce que les équipes de sécurité peuvent faire face aux risques.

Aujourd'hui, les organisations découvrent souvent des autorisations excessives en examinant séparément la posture d'identité ou l'exposition des données. Cela peut générer des milliers de résultats sans une compréhension claire de ceux qui comptent le plus. Connecter l'identité aux données change la donne. Un identifiant surprivilégié pouvant accéder à un environnement de développement vide est fondamentalement différent de celui pouvant accéder à des millions d'enregistrements sensibles. La sensibilité et l'importance métier des données fournissent le contexte nécessaire pour hiérarchiser les risques et déterminer la réponse appropriée.

Cette réponse peut également devenir plus précise. Au lieu de traiter l'accès comme une décision binaire (accordé ou révoqué), les équipes de sécurité peuvent ajuster les autorisations, faire pivoter ou révoquer les identifiants et, de plus en plus, appliquer l'accès en fonction des données impliquées et de la tâche effectuée. L'objectif n'est pas d'éliminer l'accès. Il est de garantir que chaque identité non humaine ne dispose que de l'accès dont elle a besoin, au moment où elle en a besoin, et rien de plus.

Cela crée un parcours continu de la découverte à l'action : comprendre les identités présentes dans l'environnement, identifier les données auxquelles elles ont accès, déterminer où se situent les risques d'exposition et agir pour les réduire.

Sécuriser l'entreprise agentique à grande échelle

L'importance de cette architecture dépasse le cadre des agents IA actuels. Les entreprises dépendent de plus en plus de logiciels agissant pour le compte de leurs utilisateurs, qu'il s'agisse de charges de travail cloud, de comptes de service, de flux de travail automatisés, d'intégrations d'applications ou d'agents autonomes.

Ces acteurs vont continuer à se multiplier, à changer de propriétaire, à acquérir de nouvelles capacités et privilèges, et à interagir avec de nouvelles sources de données. La sécurité ne peut reposer sur une révision manuelle de chaque identité ou sur l'anticipation de chaque mode de fonctionnement d'un agent. Elle doit évoluer avec l'environnement et s'adapter en permanence aux changements d'identités, de données et d'activités.

C'est l'opportunité créée par le rapprochement de Cyera et Oasis : faire de l'intégration entre identité et données un levier de sécurité de premier plan, plutôt que de laisser les organisations assembler ce contexte à partir de systèmes disparates.

Le résultat est un modèle de sécurité conçu pour une entreprise où le logiciel ne se contente plus d'exécuter des instructions prédéfinies. Il prend de plus en plus de décisions autonomes, accède à des informations et agit au nom de l'entreprise.

Définir la couche de confiance IA

La prochaine génération de sécurité d'entreprise ne sera pas définie par un énième contrôle isolé. Elle sera définie par la capacité à établir une confiance autour de l'action autonome.

Cela nécessite de savoir ce qui est consulté, qui ou quoi y accède, pourquoi cet accès a lieu et si cet accès est approprié à ce moment précis. À mesure que l'IA devient plus performante et plus profondément intégrée aux processus métier, ces décisions deviendront fondamentales pour la gouvernance technologique des organisations.

Cyera et Oasis s'unissent pour bâtir cette fondation. En unifiant l'intelligence des données et celle des identités non humaines, Cyera aide les organisations à passer d'une simple visibilité sur les accès de leurs systèmes IA à un contrôle continu de ce qu'ils sont autorisés à consulter et à faire.

C'est le début d'une nouvelle architecture de sécurité pour l'entreprise agentique, conçue autour de la réalité que l'identité et les données ne sont plus des éléments distincts dans la prise de décision en matière de sécurité.

Une plateforme unique pour sécuriser l'entreprise agentique.

‍