Comment Phil Venables, responsable de la sécurité de l’information chez Google Cloud, se prépare aux cyberattaques alimentées par l’IA

Phil Venables, qui figure sur la liste Forbes « CIO Next 2024 », aide d’autres entreprises à protéger leurs systèmes sur le cloud de Google, agissant comme un « conseiller de confiance ».

Article de Richard Nieva pour Forbes US

Assis dans une salle de conférence aux murs de briques le jour de l’élection présidentielle américaine dans les bureaux de Google à Washington, Phil Venables, responsable de la sécurité de l’information chez Google Cloud, parcourt sa récente liste de tâches. Plus tôt dans la journée, il a rencontré des équipes de produits qui se préparaient à lancer de nouvelles fonctionnalités de sécurité destinées à protéger les entreprises clientes. Ensuite, il a travaillé sur une « mise à jour significative » de l’infrastructure technique plus large de Google, au-delà de son domaine habituel, le cloud. Aujourd’hui, il prépare une conférence sur la gestion des risques liés à l’adoption de l’IA dans les services financiers, qui sera donnée le lendemain au Fonds monétaire international (FMI).

Plus qu’un simple RSSI

Cependant, une autre tâche cruciale lui tenait à cœur : rencontrer les clients qui utilisent le service « cloud » de Google et qui essaient pour la première fois les outils d’IA du géant de la technologie. Phil Venables dirige le comité consultatif des clients de la division, où il travaille avec les responsables de la sécurité des systèmes d’information (RSSI) et les directeurs de systèmes d’information (DSI) d’autres entreprises pour protéger leurs opérations tout en utilisant les services de Google.

Cette année, Phil Venables figure sur la liste Forbes « CIO Next 2024 », qui met en lumière les meilleurs et les plus brillants cadres supérieurs dans le domaine de la technologie et de la sécurité de l’information. Il est aussi un peu plus que cela. En tant que RSSI de Google Cloud, Phil Venables est devenu une sorte de conseiller de l’IA et de la cybersécurité pour ses collègues occupant des fonctions similaires dans d’autres entreprises qui utilisent les services de Google. En d’autres termes, il est le RSSI des RSSI.

« J’aime à penser que mon rôle n’est pas seulement celui d’un RSSI pour Google Cloud », a déclaré Phil Venables à Forbes. « Je suis également une forme de conseiller de confiance pour des milliers d’autres entreprises. »

Sa clientèle potentielle est énorme et ne cesse de croître. Selon un rapport publié en mai par le géant du conseil McKinsey, près de deux tiers des entreprises déclarent utiliser l’IA dans au moins une fonction de l’entreprise, contre un tiers l’année dernière. Et 67 % d’entre elles s’attendent à ce que leur entreprise investisse encore plus dans l’IA au cours des trois prochaines années. Toutefois, le nombre croissant d’entreprises qui expérimentent l’IA sur le lieu de travail entraîne l’apparition de nouvelles menaces pour la sécurité. Les entreprises craignent que les modèles d’IA ne divulguent leurs données privées, ou que le système ne soit manipulé ou utilisé de manière abusive par des hackers.

« Notre marge d’opération est probablement plus large que n’importe quelle autre entreprise dans le monde. »

Phil Venables, RSSI, Google Cloud

La cybersécurité chez Google

Grâce à sa notoriété et à sa vaste portée, les enjeux sont encore plus importants pour Google Cloud. Sous la houlette de son PDG, Thomas Kurian, Google Cloud est le troisième fournisseur mondial de services en nuage, derrière Amazon Web Services et Microsoft Azure, selon le cabinet d’études Gartner. Au troisième trimestre, Google Cloud a généré un chiffre d’affaires de 11,4 milliards de dollars, en hausse de 35 % par rapport à l’année dernière. Sa liste de clients importants comprend Walmart, Uber, Major League Baseball et Mercedes-Benz. Google affirme que quelque 600 des 1 000 plus grandes entreprises du monde sont clientes du service Google Cloud.

Pour Phil Venables, travailler dans le domaine de la cybersécurité chez Google n’est en rien comparable avec n’importe quel autre secteur d’activité, car les produits de l’entreprise ont une portée considérable. Par exemple, Google Workspace, qui fournit des versions professionnelles et grand public des applications de productivité populaires de Google telles que Gmail et Drive, compte plus de trois milliards d’utilisateurs. « Notre marge d’opération est probablement plus large que celle de n’importe quelle autre entreprise dans le monde », a-t-il déclaré.

La plateforme de sécurité d’entreprise de Google Cloud, Google Threat Intelligence, est utilisée par des clients tels que la banque espagnole BBVA et le géant du conseil Deloitte pour détecter et prévenir les cyberattaques. Google ne divulgue pas le nombre de clients qui utilisent ce service, mais indique que son adoption a été multipliée par quatre au cours des six derniers trimestres. Selon Phil Venables, Google Cloud aide également les clients à résoudre des problèmes de sécurité de longue date, comme le renforcement de l’authentification ou la dissuasion des attaques par hameçonnage.

Le parcours de Phil Venables

Phil Venables est le premier RSSI de Google Cloud. Ce département a été créé lorsque Phil Venables a rejoint l’entreprise il y a quatre ans. Il est également le seul à porter le titre de RSSI chez Google, bien qu’il ait une poignée d’homologues au sein de l’entreprise qui s’occupent de la sécurité pour différentes parties du géant technologique, comme Parisa Tabriz, vice-présidente chargée de la sécurité de Chrome, ou Heather Adkins, vice-présidente chargée de l’ingénierie et membre fondateur des opérations de sécurité de l’entreprise. Né à Leeds, au Royaume-Uni, Phil Venables a passé vingt ans chez Goldman Sachs avant de rejoindre Google. Il a récemment dirigé les efforts de cybersécurité pour les entreprises du portefeuille de la banque et a siégé au conseil d’administration de Goldman Sachs jusqu’en 2020.

Pour étoffer son équipe, Phil Venables a fait appel à des vétérans du secteur de la sécurité, notamment Taylor Lehmann, qui a dirigé les équipes d’ingénierie de la sécurité pour les États-Unis chez Amazon Web Services, et MK Palmore, ancien agent du FBI et responsable de la sécurité sur le terrain chez Palo Alto Networks.

« Il est nécessaire d’avoir à bord des personnes qui comprennent le discours sur la sécurité et qui peuvent l’expliquer aux DSI et aux RSSI », a déclaré MK Palmore à Forbes. « Notre équipe est spécialisée dans ces conversations, ces ateliers et ces interactions directes avec les clients. » Par exemple, il a déclaré que le bureau du RSSI s’est mis en action pour aider les clients après la violation en 2020 de la société de réseautage SolarWinds, qui a touché des milliers d’organisations, y compris des parties du gouvernement fédéral comme le Trésor américain et la Sécurité intérieure.

Rendre l’expertise de Google en matière de cybersécurité largement disponible

Pour Google, il ne s’agit pas seulement de permettre à Phil Venables et à son équipe de conseiller personnellement les clients en matière de sécurité. Avec des milliers d’entreprises clientes (ayant des besoins différents et se trouvant parfois dans des espaces très réglementés), il veille à ce que tous les clients puissent obtenir de l’aide aussi rapidement que possible, qu’ils aient ou non la possibilité de rencontrer Phil Venables. « En général, un RSSI ne rencontre qu’un très petit nombre de ses clients », explique Charlie Winckless, directeur principal de l’équipe Digital Workplace Security de Gartner. « Mais la capacité de générer des conseils sur l’utilisation de Google Cloud à partir du bureau du RSSI, et de les rendre largement disponibles, est incroyablement importante. »

C’est précisément ce que Google s’efforce de faire. L’été dernier, Phil Venables a codirigé le développement du Secure AI Framework (SAIF) de Google, un ensemble de lignes directrices et de bonnes pratiques destinées aux professionnels de la sécurité pour protéger leurs projets en matière d’IA. Ce cadre repose sur six principes fondamentaux, dont celui de s’assurer que les entreprises disposent d’outils de défense automatisés pour faire face aux menaces de sécurité nouvelles et existantes, et celui de mettre en place des politiques qui permettent aux entreprises d’obtenir plus rapidement les commentaires des utilisateurs sur les outils d’IA nouvellement déployés.

Pour faire des principes du SAIF plus qu’un simple ensemble conceptuel de lignes directrices, Google a publié le mois dernier un outil d’évaluation des risques gratuit permettant aux entreprises d’évaluer leur situation en matière de sécurité. L’outil se présente sous la fortune d’une enquête qui interroge les entreprises sur leurs politiques et leurs processus de développement, par exemple sur la manière dont elles entraînent et affinent leurs modèles d’IA, ou sur les personnes qui ont accès aux données et les contrôlent. Le service crée ensuite un rapport personnalisé présentant les menaces potentielles et des suggestions sur la manière de les atténuer.

La rédaction des lignes directrices du SAIF a conduit Google à participer à la création de la Coalition For Secure AI, un groupe industriel qui partage des outils et des méthodologies pour développer et déployer l’IA en respectant des normes de sécurité strictes. OpenAI, Microsoft, Anthropic et Nvidia en sont membres. Plus généralement, en sa qualité de RSSI de Google, Phil Venables est membre depuis 2021 du Conseil des conseillers pour la science et la technologie du président Joe Biden. Cet organisme fait des suggestions au président sur la politique en matière de technologie et d’innovation. Son mandat prendra fin lorsque Joe Biden quittera ses fonctions.

Selon Phil Venables, de nouvelles menaces apparaîtront à mesure que de plus en plus de personnes commenceront à utiliser l’IA. Cependant, il est optimiste et pense que la technologie donnera naissance à de nouveaux moyens de se protéger contre les adversaires numériques. L’IA peut aider à analyser les logiciels malveillants ou à trouver et à corriger les vulnérabilités.

« Nous faisons preuve de réalisme quant à la manière dont les hackers vont utiliser l’IA », a déclaré Phil Venables. « Mais nous pensons que l’IA profite davantage aux défenseurs qu’aux hackers. »

Une traduction de Flora Lucas

À lire également : Comment le boom de l’IA a fait naître une nouvelle génération d’entreprises de cloud à plusieurs milliards de dollars