Global Security Mag : Quelle sera votre actualité lors de cette 26ème édition des Assises de la cybersécurité ?
Xavier Mathis : cette édition intervient à un moment où l’IA agentique passe progressivement de l’expérimentation à des usages opérationnels. Les agents IA deviennent de nouvelles identités numériques au sein des systèmes d’information, avec leurs propres accès, permissions et capacités d’action. Pour les entreprises, cela soulève un nouvel enjeu : pouvoir identifier ces agents, leur accorder les droits nécessaires à leur mission et s’assurer que ces droits comme leur activité restent maîtrisés dans le temps. Nous présenterons les dernières évolutions d’Okta for AI Agents, qui apportent une réponse à cet enjeu à deux niveaux : sécuriser les connexions des agents aux outils de l’entreprise et à d’autres agents au moment où ils agissent, tout en assurant une gouvernance continue de leurs accès.
Cette actualité s’inscrit également dans une évolution plus large de la sécurité des identités, avec l’acquisition désormais finalisée de Permiso Security. Okta étend ainsi ses capacités à la détection et à la réponse aux menaces liées aux identités, en s’appuyant notamment sur l’analyse comportementale et les signaux de risque pour identifier les activités suspectes et y répondre. Il ne s’agit donc plus seulement de gérer les accès, mais aussi de mieux comprendre l’activité associée aux identités et de détecter les comportements susceptibles de révéler une compromission.
Enfin, l’actualité récente d’Auth0 illustre une autre dimension de cette évolution : celle des nouveaux parcours numériques et du commerce pilotés par l’IA. Côté B2C, les nouvelles capacités d’Auth0 permettent à la fois d’optimiser les parcours utilisateurs et de sécuriser l’agentic commerce. Côté B2B, Auth0 répond à un autre enjeu de croissance : simplifier les environnements multi-tenant, accélérer l’onboarding de nouveaux clients et ajouter des capacités d’identité entreprise à des infrastructures existantes, sans imposer de migration complète des utilisateurs, des applications ou des tokens. À travers ces différentes évolutions, l’enjeu est de permettre aux entreprises d’adopter l’IA agentique et d’en exploiter les nouveaux usages, tout en conservant la maîtrise des identités, des accès et des interactions, avec une expérience fluide et un niveau de sécurité adapté, qu’il s’agisse d’un utilisateur humain ou d’un agent agissant pour son compte. Plus largement, nous voulons profiter des Assises pour échanger avec les RSSI et les équipes IT sur la manière dont l’identité doit évoluer pour accompagner cette nouvelle génération d’environnements numériques.
Global Security Mag : Quels sont les points forts des solutions que vous allez présenter à cette occasion ?
Xavier Mathis : Ce qui nous paraît particulièrement important, c’est de traiter l’agent comme une véritable identité, et pas simplement comme une extension technique d’un utilisateur ou d’une application. Prenons Agent Gateway. Lorsqu’un agent doit accéder à un outil de l’entreprise, la passerelle permet de vérifier son identité, celle de l’utilisateur à l’origine de l’action et les politiques applicables, avant de délivrer un identifiant temporaire au moment de l’exécution. L’objectif est notamment d’éviter que des agents reposent sur des identifiants statiques ou des accès trop larges. Avec Agent-to-Agent Connections, nous nous intéressons à un autre changement important : les agents peuvent désormais se déléguer des tâches et construire des workflows entre eux. Il faut donc pouvoir déterminer quelles interactions sont autorisées, limiter les privilèges associés et conserver une traçabilité de ces délégations. Enfin, Resource Access Certifications for AI Agents répond à une problématique de durée. Un accès qui était pertinent au moment où un agent a été déployé peut ne plus l’être quelques semaines ou quelques mois plus tard. La solution permet d’automatiser ces revues, d’identifier les connexions devenues inutiles et de révoquer les permissions qui ne sont plus justifiées.
Cette approche complète une autre dimension que nous voulons renforcer avec Permiso : une fois l’accès accordé, il faut aussi être capable de comprendre le comportement de l’identité et d’identifier ce qui peut constituer un signal de risque. Autrement dit, il ne s’agit plus seulement de contrôler les droits d’accès, mais d’avoir une vision plus complète de ce que fait réellement une identité dans l’environnement.
Global Security Mag : Cette 26ème édition des Assises de la cybersécurité aura pour thème « Osons ! » ; comment Okta répond à cet impératif ?
Xavier Mathis : Pour moi, « oser » ne signifie pas prendre davantage de risques. Cela signifie plutôt accepter d’aller vers de nouveaux usages tout en créant les conditions de confiance qui permettent de les déployer. Les entreprises vont continuer à expérimenter avec l’IA agentique. La question est donc moins de savoir s’il faut avancer que de déterminer dans quel cadre elles souhaitent le faire. Si la sécurité impose trop de contraintes, les utilisateurs chercheront naturellement leurs propres solutions et le risque de Shadow AI augmentera. Il faut au contraire donner aux équipes les moyens d’accompagner l’innovation. Cela passe par une visibilité sur les agents présents dans l’environnement, une capacité à leur attribuer une identité, à contrôler leurs connexions et à intervenir rapidement lorsqu’un comportement ou un accès pose problème. C’est d’ailleurs l’un des principes du Secure Agentic Enterprise Blueprint d’Okta, construit autour de trois questions très simples : où sont mes agents, à quoi peuvent-ils se connecter et que peuvent-ils faire ? À mes yeux, c’est cela, « oser » : ne pas attendre que tous les risques soient éliminés pour innover, mais construire les mécanismes de confiance qui permettent d’avancer de manière responsable.
Global Security Mag : Comment les technologies doivent-elles évoluer pour répondre aux problématiques cyber (IA, Quantique et Post-Quantique ?)
Xavier Mathis : Plus largement, nous devons passer d’une logique qui consiste à contrôler l’accès à une logique qui permet également de comprendre le comportement de l’identité une fois cet accès obtenu. Un compte compromis peut être correctement authentifié. Une identité machine peut disposer de droits légitimes et pourtant commencer à agir de manière anormale. Un agent peut lui aussi accéder à une ressource autorisée dans certaines circonstances, mais adopter ensuite un comportement qui révèle un risque.
C’est cette évolution que nous voulons accompagner : donner aux équipes de sécurité une vision beaucoup plus complète du cycle de vie de l’identité, depuis l’attribution des droits jusqu’à la détection d’un comportement à risque et à la réponse.
Global Security Mag : Quel message souhaitez-vous transmettre à nos lectrices et lecteurs, aux RSSI, CISO, DPO, DSI, Responsables Cyber ?
Xavier Mathis : Je leur dirais de ne pas attendre que les agents soient massivement déployés pour commencer à réfléchir à leur gouvernance. Les entreprises ont déjà investi dans l’IA et doivent maintenant être en mesure d’en tirer un véritable retour sur investissement. L’enjeu n’est donc plus seulement d’expérimenter, mais de pouvoir passer à l’échelle, avec suffisamment de confiance pour intégrer l’IA dans les processus critiques de l’entreprise.
C’est là que la sécurité et l’identité deviennent déterminantes. Nous avons déjà appris, avec les identités humaines, qu’un accès doit avoir un propriétaire, être limité à ce qui est nécessaire, traçable et pouvoir être révoqué. Nous devons désormais appliquer cette même discipline aux identités non humaines. Cette visibilité est également essentielle pour répondre aux nouvelles exigences réglementaires, notamment celles du l’IA Act, qui renforcent les attentes en matière de supervision humaine, de traçabilité et de gouvernance des systèmes d’IA à haut risque. On ne peut pas sécuriser, auditer ou responsabiliser ce que l’on ne peut pas identifier. Mais je pense qu’il faut surtout sortir d’une logique où la sécurité serait perçue comme le prix à payer pour innover. Le rôle des équipes cyber n’est pas d’empêcher l’entreprise d’utiliser l’IA. Il est de créer les conditions qui permettent de l’utiliser de manière fiable, maîtrisée et à grande échelle. Une gouvernance solide de l’identité permet justement de réduire les risques sans multiplier les contrôles manuels qui ralentiraient l’adoption. L’entreprise agentique est déjà en train de se construire. La priorité est donc de faire de l’identité et de la sécurité une infrastructure de confiance qui permette de transformer les investissements réalisés dans l’IA en valeur concrète.
