Sanjay Beri, Netskope : « fournir des services de sécurité par et pour le cloud »

Le marché de la sécurité du cloud est marqué par une forte activité de consolidation, depuis plusieurs années. McAfee, Symantec, Forcepoint, Oracle, Cisco, Proofpoint ou encore Palo Alto Networks ont ainsi multiplié les acquisitions pour construire ou au moins renforcer leur offre. Et Netskope n’est pas resté inactif, comme l’a montré son récent rachat de Sift Security. Son Pdg et fondateur Sanjay Beri détaille avec la rédaction du MagIT sa vision du marché.

LeMagIT : A grands renforts de rachats, McAfee et Symantec se sont hissés parmi les leaders des passerelles d’accès cloud sécurisé (CASB), à vos côtés ainsi que ceux de Bitglass. Mais quelle place reste-t-il véritablement pour les acteurs indépendants comme vous ?

Sanjay Beri : Notre but initial était de construire un cloud de sécurité complet. Et pour cela, nous allons au-delà du CASB. Nous avons construit une plateforme conçue pour le nouvel âge du trafic Internet, un trafic lié à la mobilité, aux API.

Il ne s’agit pas de poser une boîte en local comme avec un Blue Coat, mais de fournir des services de sécurité depuis le cloud, dans un véritable cloud. Tout cela était la base de notre plateforme, pour permettre à chacun de travailler comme il le veut. Et c’est effectivement ce que nous avons construit, en le proposant en priorité en mode SaaS, parce que personne n’avait à l’époque de solution pour cela.

De là est née notre offre de CASB. Depuis, nous avons lancé notre offre pour les infrastructures en mode service (IaaS), ainsi que Netskope for Web, pour sécuriser la navigation Web. Aujourd’hui, notre portefeuille couvre l’essentiel du trafic Internet – SaaS, IaaS, Web – à partir d’un cloud, d’une console.

Ce que recherchent aujourd’hui les entreprises est une nouvelle manière d’assurer la sécurité des données et du réseau. Et c’est ce que nous proposons. Le CASB en est un composant important, mais ce n’est pas le seul.

Au-delà de cela, si l’on regarde les entreprises que vous mentionnez, elles essaient en fait de prendre une boîte, de la poser dans le centre de calcul, et de l’appeler cloud. Certaines s’appuient sur des technologies conçues pour le monde tel qu’il était il y a cinq ou dix ans. Mais les limites sont importantes. Alors s’il reste de la place pour des indépendants, c’est parce que beaucoup s’y prennent, en quelque sorte… de la mauvaise manière.

LeMagIT : L’approche que vous décrivez là rappelle tout de même très fortement celle que revendique Jay Chaudry de Zscaler…

Sanjay Beri : Zscaler se concentre largement sur le Web et n’est pas présent sur le marché des CASB, ou le cloud public. Et il y a une bonne raison à cela : ils sont très centrés sur l’ancien langage d’Internet, le Web, http. Ils ne comprennent pas les API.

Par exemple, lorsque vous envoyez du trafic via Netskope, nous pouvons vous dire si quelqu’un envoie des informations médicales sur un canal Slack public. Via un proxy Web traditionnel, comme Zscaler ou Blue Coat, tout ce qui vous est dit, c’est : « il y a 300 ko envoyés sur AWS ». Parce qu’ils ne comprennent pas l’application.

La grosse différence, c’est que l’on fonctionne au niveau d'une couche supérieure à celle d’un proxy Web, pour dire exactement ce que font les utilisateurs. On ne se contente pas d’indiquer où vont les données. C’est un concept très différent.

LeMagIT : Un acteur comme Microsoft, qui est entré sur le marché du CASB par le passé avec le rachat d’Adallom, développe un très large éventail de fonctionnalités de sécurité pour les clients de ses services cloud, ne vous fait-il pas de l’ombre, notamment auprès des PME ?

Sanjay Beri : Nous nous concentrons surtout sur les entreprises de taille intermédiaire à grande, plus d’un millier d’employés. En dessous, ce n’est pas vraiment notre marché.

Mais prenons la question sous un autre angle. En moyenne, une entreprise en Europe utilise 700 applications SaaS, dont 99 % ne sont pas validées par l’IT. Pour l’IaaS, c’est plus de deux.

Un éditeur tel que Microsoft se concentre essentiellement sur ses produits, comme Office 365. Mais ce que cherchent les entreprises, c’est une plateforme qui couvre tout leur SaaS et leur IaaS et tout leur Web. Ils veulent centraliser cela pour avoir une sécurité cohérente sur l’ensemble de l’éventail. C’est cela que nous proposons. Parce que travailler application par application, c’est ingérable.

Mais les fournisseurs d’applications comme Microsoft et Google ont fait un très bon travail pour exposer des API permettant à des partenaires tels que nous d’accélérer l’adoption de leurs produits. Nous ne les voyons donc pas comme des concurrents, mais plutôt des partenaires.

LeMagIT : Vos multiples partenariats autour de l’EMM, de l’IAM, des SIEM, de l’UEBA s’expliquent aisément compte tenu de votre approche. Mais pourquoi également vous rapprocher de spécialistes de la protection et de la visibilité sur les hôtes de l’infrastructure, comme Cylance, SentinelOne, ou encore Carbon Black ?

Sanjay Beri : Nous ne sommes pas seulement une plateforme de sécurité pour l’âge du cloud. Nous sommes ouverts et nous savons que nos clients n’ont pas un unique fournisseur de sécurité. Et il y a de nombreux marchés où ne souhaitons pas aller et misons sur des partenariats.

Nous exposons ainsi des API pour le SSO, l’EDR, l’UEBA [User and Entity Behavior Analytics], etc. Contrairement à un Symantec qui vous vend un ELA, un enterprise lock-in agreement : ils vous présentent une ligne tarifaire, mais derrière, il y a six produits. Nous vous proposons une plateforme véritablement intégrée SaaS/IaaS/Web.

Et au-delà, vous utilisez ce que vous voulez et nous nous assurerons de la bonne intégration. Vous ne trouverez pas cela avec un Symantec, notamment, parce que ce n’est pas dans son intérêt. Son intérêt est de pousser ses propres produits.

Notre positionnement contribue également à la mise en œuvre d’approches zero-trust hautement granulaires où la connaissance de l’utilisateur et de son contexte permettent d’ajuster finement ses droits dans les ressources qu’il utilise.