5 leçons de leadership en cybersécurité tirées de la carrière de plus de 30 ans de Carl Froggett, ancien RSSI de Citi

Certains épisodes de The Segment nous touchent de plus près que d'autres. Celle-ci est personnelle.

Il y a plus de 21 ans, Carl Froggett m'a fait passer un entretien d'embauche au 10e étage de Citigroup à Londres. Je doute que l'un ou l'autre d'entre nous ait imaginé que, deux décennies plus tard, nous serions assis de part et d'autre du micro, en train de réfléchir à sa remarquable carrière.

Carl a travaillé chez Citi pendant près de 25 ans. Aujourd'hui, il est directeur de l'information chez Deep Instinct, la première entreprise à appliquer l'apprentissage profond de bout en bout à la cybersécurité. Son parcours, depuis le tirage de câbles sous les planchers des centres de données jusqu'à la direction de la défense de l'infrastructure mondiale chez Citi, et aujourd'hui à la tête de l'innovation en matière d'IA, est une leçon magistrale de réinvention.  

Chaque chapitre du voyage de Carl montre comment l'écoute, l'apprentissage et la conduite du changement peuvent transformer une carrière et l'état d'esprit de toute une organisation.

Voici cinq aspects de son incroyable carrière que j'ai retenus de notre discussion dans le récent épisode du podcast The Segment.

1. La cybersécurité doit alimenter l'entreprise, et non la bloquer

Les débuts de Carl dans la technologie étaient loin d'être prestigieux.

Après avoir obtenu son diplôme à l'université de Loughborough, où il a été capitaine de l'équipe de billard de l'université, il a décroché son premier emploi important à la banque d'investissement Salomon Brothers.  

"Je me souviens d'avoir été en costume-cravate, d'avoir rampé sous les planchers des centres de données, d'avoir tiré des câbles", a-t-il déclaré. Je me suis dit : "J'ai fait des études d'informatique pour ça ?".

Mais ces premières expériences professionnelles ont façonné son approche à une époque où la cybersécurité était encore considérée comme un inconvénient.  

Il raconte qu'à ses débuts dans la cybernétique, son équipe n'avait pratiquement pas de budget, car elle était considérée comme un mal nécessaire : "La sécurité existait parce que les auditeurs l'exigeaient", a-t-il déclaré.

Cet état d'esprit l'a obligé à communiquer en termes commerciaux. Il a expliqué aux chefs d'entreprise que les banques prennent des risques tous les jours.  

"La cybersécurité doit soutenir ce modèle de risque, et non l'entraver", a-t-il expliqué. "Vous ne pouvez pas compter sur des tactiques d'intimidation. Vous devez apporter de la clarté. Si vous ne le faites pas, vous risquez de perdre votre capacité à commercer".

C'est une leçon qui reste valable pour les RSSI d'aujourd'hui : la cybersécurité doit permettre aux entreprises de fonctionner, et non les bloquer.

Je me souviens d'avoir été en costume-cravate, d'avoir rampé sous les planchers des centres de données, d'avoir tiré des câbles. Je me suis dit : "J'ai fait des études d'informatique pour ça ?"

2. L'innovation en matière de cybersécurité commence par l'écoute

De l'introduction des pare-feu CheckPoint à l'évaluation de Palo Alto Networks à ses débuts, l'expérience de Carl en matière de repérage des technologies transformatrices n'est pas le fruit d'un battage médiatique. Il voulait simplement résoudre les problèmes de sécurité qui comptaient.

Il se souvient que l'argumentaire initial d'un fournisseur n'avait pas trouvé d'écho jusqu'à ce qu'il le recadre pour l'équipe opérationnelle : moins de faux positifs signifiait une plus grande efficacité.

"Ils ne se souciaient pas des spécifications", a déclaré Carl. "Ils se sont souciés de ce que cela leur apportait.

Ce constat a guidé son travail chez Deep Instinct, où il s'est rendu compte que les traders accordaient autant d'importance à la fiabilité qu'à la protection. "La faible latence a été le facteur de différenciation", a-t-il déclaré. Il ne s'agissait pas d'une protection contre les attaques de type "zero-day". Il s'agissait d'une performance à laquelle vous pouviez faire confiance".

Cet état d'esprit est devenu le superpouvoir de Carl : traduire l'innovation technique en valeur réelle. En écoutant d'abord, il a découvert ce dont les gens avaient réellement besoin, et pas seulement ce que la technologie pouvait faire.  

Cela nous rappelle que la véritable innovation ne commence pas toujours par l'invention, mais par l'empathie.

3. Une culture d'entreprise forte est l'ultime catalyseur

Carl attribue une grande partie de sa croissance à la culture mise en place chez Citi.  

"Si vous êtes honnête et préparé, l'échec n'est pas un problème tant que vous avez un plan", a-t-il déclaré. Cette culture de l'échec rapide permet de prendre des risques intelligents, d'apprendre rapidement et d'agir avec agilité.

Il a également favorisé la collaboration interfonctionnelle entre ce qui aurait pu être des silos.  

"Nous n'étions pas tous sur la même ligne, mais nous étions alignés", a-t-il déclaré. "Nous nous sommes mis d'accord sur les bons problèmes à résoudre et nous les avons résolus ensemble.

Ce sentiment de confiance et d'objectif commun est devenu le fondement de la réussite de Citi en matière de sécurité. Les meilleures idées proviennent de n'importe quel membre de l'organisation, et pas seulement de la direction.

"Notre tâche en tant que dirigeants était d'écouter et d'ouvrir la voie.

4. L'ère de l'IA exige une cyber-réinvention

Carl a rejoint Deep Instinct parce qu'il était convaincu que les approches traditionnelles ne suffisaient plus.

Il a déclaré que l'IA générative avait tout changé. Aujourd'hui, des menaces de niveau national peuvent être créées en quelques secondes par toute personne disposant d'un abonnement.

Carl et son équipe en font souvent la démonstration lors de sessions en direct, à l'aide de grands modèles de langage (LLM) accessibles au public et capables de générer des ransomwares à la demande.  

"Nous sommes entrés dans une nouvelle ère", a-t-il déclaré. "Tout est unique aujourd'hui. L'apprentissage automatique ne peut pas suivre".

Le modèle d'apprentissage profond de Deep Instinct, entraîné une ou deux fois par an, représente ce que Carl appelle une "réinitialisation fondamentale".

"L'apprentissage automatique se réapprend constamment à partir de ce qu'il a déjà vu", a-t-il déclaré. "Mais l'apprentissage en profondeur permet de comprendre ce qui n'a jamais été vu auparavant.

C'est ce passage de la réactivité à la prédiction qui, selon Carl, définira la prochaine génération de cybersécurité.

Nous sommes dans une nouvelle ère. Tout est désormais unique. L'apprentissage automatique n'arrive pas à suivre.

5. Diriger, c'est apprendre à lâcher prise

La leçon la plus personnelle de Carl est venue du fait qu'il a dû prendre du recul et être moins actif lorsqu'il a assumé des rôles plus orientés vers le leadership au cours de sa carrière.

"C'était difficile", a-t-il admis. "J'ai adoré mettre la main à la pâte. Mais j'ai dû changer d'état d'esprit et passer de la fourniture de pare-feu à la fourniture de services".

Le passage de l'action à l'habilitation lui a permis d'accroître son influence et d'aligner le travail de son équipe sur l'ensemble de l'entreprise. Pour Carl, le leadership n'est jamais une question de contrôle. "Il s'agit de créer un espace pour que d'autres puissent réussir", a-t-il déclaré.  

Ce que la carrière de Carl nous apprend sur le leadership en matière de cybersécurité

Ce qui ressort de l'histoire de Carl, ce n'est pas la chance ou le moment choisi. Il a toujours eu une longueur d'avance parce qu'il écoute avant de diriger.

Qu'il s'agisse de ramper sous les salles de marché ou d'être un pionnier de la sécurité basée sur l'IA, sa carrière n'est qu'une longue leçon sur la résolution des problèmes qui comptent vraiment.

C'est ce qui rend son point de vue urgent aujourd'hui. Le monde que Carl a prédit - où n'importe qui peut utiliser l'IA pour lancer des attaques sophistiquées - est déjà là. Les vieux outils ne peuvent pas suivre.

La voie à suivre est claire : écouter d'abord, agir vite et lier chaque décision de sécurité à l'impact réel sur l'entreprise.

La cybersécurité continuera d'évoluer, mais l'histoire de Carl prouve que les vrais leaders ne se contentent pas de suivre le rythme, mais le fixent.

Écoutez l'épisode complet de The Segment : Un podcast sur le leadership sans confiance sur Apple Podcasts, Spotifyou notre site web.