Zscaler a annoncé son intention d’acquérir Symmetry Systems, une entreprise spécialisée dans la cartographie des identités et l’accès aux données, afin de renforcer sa plateforme de sécurité à un moment où les entreprises commencent à déployer des agents d’intelligence artificielle avec une autonomie accrue. Les modalités financières de la transaction n’ont pas été rendues publiques. La société attend que les conditions habituelles de clôture soient remplies, espérant finaliser l’opération dans les prochains jours.

Cet achat cible l’un des défis majeurs auxquels sont confrontées les équipes de cybersécurité : comment contrôler l’activité des agents d’IA lorsqu’ils agissent au nom des utilisateurs, applications ou processus internes. Les outils traditionnels de gestion des identités, conçus pour des personnes, des groupes stables et des permissions définies, deviennent moins efficaces dans un contexte où interviennent des agents capables de consulter des données, d’appeler d’autres applications, de déclencher des workflows ou de communiquer avec d’autres agents sans intervention humaine continue.

Le nouveau défi : savoir qui accède à quelles données et pourquoi

La technologie de Symmetry Systems repose sur ce que l’entreprise appelle un « graphe d’accès ». Cet approche permet de représenter concrètement les relations entre identités humaines et non humaines, applications, systèmes et sources de données. Il ne se limite pas à afficher les permissions théoriques, mais cherche à identifier celles qui sont effectivement utilisées, les données consultées et le chemin par lequel circule l’information.

Selon Zscaler, le graphe d’accès de Symmetry Systems ingère des logs d’accès provenant d’applications SaaS, de services cloud publics, d’entrepôts de données et de systèmes d’IA, pour les corréler et visualiser quelles identités ont accédé à quelles données et comment. La société souhaite intégrer cette visibilité à sa plateforme Zero Trust Exchange, afin d’appliquer des politiques plus précises sur la communication entre agents IA, applications et données.

L’écart est notable. Dans une entreprise traditionnelle, un utilisateur ouvre une application, consulte une base de données ou télécharge un document. Dans une organisation utilisant déjà des agents IA, un assistant pourrait agir sur un CRM, interroger un dépôt documentaire, appeler une API interne ou fournir une réponse à un autre système. Si cet assistant hérite de permissions d’un utilisateur ou utilise des identités temporaires, revenir sur l’activité après un incident peut devenir extrêmement complexe.

Zscaler propose un exemple simple : lorsqu’un agent IA accède à un dossier client, la technologie de Symmetry Systems devrait permettre de savoir ce qui a déclenché cette action, quelle identité a été utilisée, ainsi que les systèmes mobilisés durant le processus. Si le comportement apparaît risqué, Zero Trust Exchange pourrait automatiser une réponse, en limitant l’accès ou en bloquant la communication.

Zero Trust dans un univers rempli d’identités non humaines

Cette acquisition s’inscrit dans l’évolution du marché de la cybersécurité vers des modèles davantage centrés sur les identités, les données et les flux d’informations. Pendant de nombreuses années, bon nombre de stratégies se sont construites autour du périmètre, des endpoints ou des applications. Ce modèle n’a pas disparu, mais perd en efficacité lorsque les entreprises évoluent avec des services distribués, des automatisations, des API, des bots internes et des agents IA opérant à plusieurs niveaux simultanément.

Jay Chaudhry, président-directeur général de Zscaler, affirme que le modèle classique d’accès basé sur les utilisateurs et les répertoires ne peut pas évoluer efficacement dans des environnements comptant des millions d’agents IA. Selon lui, les entreprises devront comprendre les relations entre identités, applications et sources de données pour appliquer des politiques de sécurité adaptées à l’ère de l’IA.

Symmetry Systems partage cette vision. Son directeur général, Mohit Tiwari, considère que identités et données deviennent le nouveau pilier de la sécurité d’entreprise, car l’IA réduit la dépendance aux frontières traditionnelles entre applications, endpoints et réseaux. La plateforme de Symmetry Systems se présente comme une solution de sécurité des données et de l’IA capable de découvrir, classifier, protéger et surveiller les informations sensibles dans les clouds publics, les applications SaaS, les systèmes locaux, les environnements hérités et isolés.

Ce dernier point est particulièrement significatif pour les secteurs réglementés. Toutes les organisations ne se limitent pas au cloud public ou SaaS. La banque, la défense, la santé, l’industrie et les administrations publiques maintiennent souvent des systèmes locaux ou des infrastructures segmentées pour des raisons de sécurité et de conformité. SiliconANGLE souligne également que la technologie de Symmetry Systems supporte les architectures sur site, les systèmes isolés (air-gapped), en plus de pouvoir classer les datasets selon leur sensibilité et surveiller les schémas d’accès anormaux.

Pourquoi cette acquisition a une portée plus large que Zscaler

Cette opération illustre une tendance plus large dans le secteur. Les fournisseurs de cybersécurité adaptent leurs plateformes à un contexte où il ne suffit plus de protéger uniquement les utilisateurs humains et les applications connues. Il faut désormais gouverner agents, modèles, prompts, connecteurs, outils internes, API et données sensibles qui circulent en quelques secondes entre différents systèmes.

Pour les équipes de sécurité, le principal défi n’est pas seulement de bloquer l’usage de l’IA, déjà en forte expansion dans de nombreux domaines : support client, traitement documentaire, développement, automatisation commerciale ou support interne. Il s’agit aussi d’intégrer ces systèmes sans créer une couche opaque d’automatisations excessivement permissionnées.

C’est là qu’intervient le principe du moindre privilège appliqué aux agents IA. Il ne s’agit pas uniquement de définir si un agent peut ou non accéder à une base de données, mais de comprendre les permissions strictement nécessaires, celles qui ont été effectivement utilisées, leur fréquence, au nom de qui elles ont été déclenchées, et sur quels types d’informations. Cette visibilité est essentielle pour les audits, investigations forensiques, conformité réglementaire et évaluation des risques en cas de compromission d’une identité ou d’un agent.

Zscaler a déjà renforcé ses capacités en sécurité pour l’IA avec des fonctions de détection, de contrôle en temps réel et de gouvernance des applications. Avec Symmetry Systems, l’objectif est d’ajouter une couche de compréhension des relations entre identités et données. Une pièce moins spectaculaire qu’un chatbot intégré, mais souvent plus cruciale lorsque l’entreprise doit prouver qu’elle contrôle ce qui se passe dans son environnement.

Cette acquisition confirme également que la sécurité de l’IA ne sera pas une catégorie autonome, mais qu’elle s’intégrera à d’autres domaines comme Zero Trust, la gestion des identités, la protection des données, la sécurité cloud, la conformité et la réponse aux incidents. Les entreprises qui déploieront des agents autonomes sans inventaire, sans traçabilité ni politiques claires risquent de se retrouver face à un problème difficile à expliquer : des systèmes agissant rapidement, mais dont l’activité échappe à toute compréhension jusqu’au moment où une erreur survient.

Questions fréquentes

Que vient d’acheter exactement Zscaler ?
Zscaler a annoncé son projet d’acquérir Symmetry Systems, une société spécialisée dans la cartographie des identités, l’accès aux données et la sécurité pour les environnements d’IA.

Qu’est-ce qu’un graphe d’accès ?
C’est une représentation de la façon dont les identités, applications et données sont connectées dans une organisation. Elle permet de visualiser qui accède à quoi, avec quelles permissions, et comment les données circulent entre systèmes.

Pourquoi les agents IA compliquent-ils la sécurité d’entreprise ?
Parce qu’ils peuvent agir de façon autonome, utiliser des identités temporaires, hériter de permissions et communiquer avec plusieurs applications ou sources de données sans intervention humaine directe à chaque étape.

Les détails financiers de la transaction sont-ils connus ?
Non. Zscaler n’a pas révélé les termes financiers de l’acquisition, précisant que l’opération reste soumise aux conditions habituelles de clôture.

Source : zscaler