Pour assurer la sécurité d’une entreprise dans l’univers numérique d’aujourd’hui, il faut tout un village, plus précisément tous les employés de l’entreprise, qui doivent être sur leurs gardes à peu près tout le temps pour éviter le phishing, le bourrage de crédit et d’autres types de vecteurs et techniques d’attaque courants qui entraîner la compromission de leurs données et de celles de leurs entreprises. Une startup londonienne appelée Pousser la sécurité pense qu’il peut aider dans cet effort – non pas en bloquant l’activité en ligne et l’utilisation des applications, mais en surveillant lorsque les utilisateurs font des choix douteux avec des applications Web et en montrant comment les corriger. Aujourd’hui, il annonce un financement initial de 15 millions de dollars pour étendre cet effort.

La série A est dirigée par GV (google Ventures), avec Decibel et un certain nombre d’anges participants. (Les personnes incluent les co-fondateurs de Duo Security, Dug Song et Jon Oberheide.)

Le financement fait suite à un amorçage de 4 millions de dollars et à quelques signes notables de traction précoce. La startup affirme que depuis son lancement en juillet 2022, ses outils ont été adoptés par des « centaines » d’équipes et quelque 50 000 utilisateurs, avec des clients tels que Reachdesk, Upvest et Tray.io (dont le fondateur et PDG Rich Waldron est également un investisseur providentiel dans ce tour).

Adam Bateman, co-fondateur et PDG de Push Security, a déclaré qu’il avait eu l’idée de Push après des années de travail en tant que hacker éthique et en observant un grand nombre des erreurs et pratiques les plus courantes parmi les employés.

Une chose qui revenait à maintes reprises était le fait que peu importe la force des politiques de sécurité d’une entreprise – et peu importe combien elle a investi dans les pare-feu, les solutions de terminaux et le reste – les actions humaines autour de mauvais choix de mots de passe, en cliquant par inadvertance sur des liens douteux et partager sans le savoir des choses qu’ils ne sont pas censés partager s’est souvent avéré être la première faille de l’armure.

Le point de départ de Push est d’accepter que certains comportements seront une seconde nature pour les gens : à savoir, ils voudront utiliser des applications Web au travail qui les aideront à mieux travailler, même si ces outils n’ont pas été provisionnés par le service informatique. Cela a explosé en tant que tendance, en particulier au cours des deux dernières années, avec de plus en plus de personnes travaillant à distance et des architectures basées sur le cloud devenant la norme pour elles.

L’approche de Push suit plusieurs pistes différentes : il surveille la manière dont ces applications sont utilisées, puis « envoie » automatiquement des suggestions aux employés lorsqu’il les repère en train d’utiliser ces applications de manière moins sécurisée, par exemple en choisissant des mots de passe faciles à deviner ; il « pousse » des notifications aux équipes de sécurité et informatiques pour leur donner des résumés d’activité afin qu’ils soient tenus au courant ; et il ajoute ensuite l’application à un tableau de bord pour que ces équipes surveillent et signalent lorsque ces applications présentent un danger car elles peuvent elles-mêmes avoir des problèmes de sécurité et interdire celles qui pourraient être carrément louches.

Crédits image : Pousser la sécurité

La clé est que Push essaie d’être sans friction en n’interdisant pas l’activité, mais il permet de meilleures pratiques en poussant de meilleures suggestions à tout le monde.

Bateman compare son approche à celle de Grammarly. « Vous n’êtes pas obligé de le faire, mais cela peut vous empêcher de faire des erreurs », a-t-il déclaré lors d’une interview. « C’est pareil pour nous. Push vous protège. Une grande partie du travail que nous faisons au niveau humain ne consiste pas à être l’exécuteur, à être le garde-corps et non une porte.

Ainsi, bien qu’il existe des centaines d’entreprises sur le marché offrant la gestion des mots de passe, la gestion des applications, la gestion des ordinateurs de bureau, les pare-feu, les listes noires et les listes blanches, et plus encore, ce qui a attiré l’attention des investisseurs ici, c’est l’idée d’un outil qui permet aux gens de continuer à travailler tel quel. .

« La main-d’œuvre mondiale évolue vers une plus grande liberté et flexibilité avec les applications SaaS, ce qui introduit de nouvelles complexités et défis en matière de sécurité », déclare Karim Faris, associé général chez GV, dans un communiqué. « Cette tendance présente un besoin critique d’outils plus performants et plus simples qui engagent les employés et allègent le fardeau de l’informatique centralisée pour gérer la prolifération du SaaS. GV est ravi de s’associer à l’équipe Push, car ils aident les équipes de sécurité modernes à naviguer dans le paysage en constante évolution des menaces de cybersécurité. »

Tout cela fonctionne actuellement pour les employés qui utilisent déjà les e-mails Office 365 ou Google Workspace pour gérer leurs connexions aux applications qu’ils utilisent pour le travail, a déclaré Bateman. Si quelqu’un essaie de s’inscrire à une application professionnelle à l’aide d’un e-mail non professionnel, cela est également signalé.

Push Security est conçu uniquement pour fonctionner sur les ordinateurs de bureau et les ordinateurs portables, et non sur les appareils mobiles. En effet, la gestion des appareils mobiles, qui comprend généralement des applications et d’autres utilisations mobiles, est déjà un domaine très bien couvert. Plus obscurs sont les ordinateurs de bureau où les gens peuvent Télécharger très facilement du SaaS à partir d’Internet.

La croissance du SaaS a ouvert un nouveau monde de productivité pour les travailleurs, mais elle a également ouvert une boîte de vers de sécurité. Étant donné que de nombreuses applications demandent «d’accéder à vos contacts» et à d’autres données afin de travailler plus efficacement (c’est pourquoi tant de personnes se connectent avec leurs informations d’identification professionnelles en premier lieu), cela crée une fuite de données potentielle si ces comptes sont pas géré de manière responsable par la suite.

Dans les recherches de Push, il a été constaté que 23 % des intégrations Microsoft et 17 % des intégrations Google surveillées via sa plate-forme « accordaient l’accès à des actifs et des données à haut risque tels que les e-mails, le calendrier et les lecteurs partagés » et comme mesure du nombre d’endroits personnes utilisent ces informations d’identification, parmi les intégrations d’applications Microsoft, seulement un tiers ont été approuvées par le service informatique via OAuth. (Les deux autres tiers, a déclaré Push, ont été fournis « directement par des employés sans surveillance ni visibilité informatiques ».) Il n’a pas fourni de données correspondantes pour les intégrations d’applications basées sur Google.

Push affirme avoir ajouté près de 500 applications SaaS aux tableaux de bord informatiques depuis son lancement il y a moins d’un an. En d’autres termes, au-delà des applications les plus populaires ou approuvées utilisées par ses clients, il y en a eu 500 autres collectivement récupérées de manière organique par les employés de cette clientèle, ce qui représente un cauchemar potentiel de fuite.