Interview d’Olivier Daloy – CISO @ Zscaler
/L’interview a été réalisée à l’occasion du Forum INCYBER 2026
SDBR News : Qui êtes-vous Olivier Daloy ?
Olivier Daloy : J'ai commencé, il y a très longtemps, comme consultant chez Ernst & Young Global où j’ai créé, en l’an 2000, un laboratoire de cybersécurité, à l'époque le premier labo d'Europe. Ensuite, je suis devenu le premier RSSI du groupe LVMH et, en 2007, nous y avons créé une communauté de RSSI, car il y avait 65 maisons dans le groupe et à la fin nous étions une vingtaine de RSSI, donc forcément nous avions de quoi faire… A un moment, j’étais à la fois le RSSI du groupe LVMH et celui de la division Montres & Joaillerie ; donc c’était intéressant de voir à la fois le côté stratégique, le coté politique et le côté totalement opérationnel de l’activité. Après 7 ans, j'ai rejoint Thales en tant que RSSI groupe, avant de rejoindre Faurecia (devenu Forvia aujourd’hui) 4 ans plus tard, en tant que RSSI groupe et responsable de la sécurisation de l'OT, donc des usines, sachant qu'il y en a environ 400 dans le monde. J’étais aussi en charge de la sécurisation des produits, en fait de ce qu'il y a à l'intérieur des voitures : par exemple, l'ordinateur de bord. J'y ai remonté un deuxième labo de cybersécurité, mais cette fois-ci à Tel Aviv (Israël). Puis j'ai fini par créer ma société de conseil en cybersécurité et donc j'ai été à nouveau RSSI de grands groupes pendant 2 ans et demi.
SDBR News : Et finalement vous arrivez chez Zscaler* en juillet 2025. Pour y faire quoi ?
Olivier Daloy : J'ai rejoint en effet Zscaler en juillet dernier, en tant que « CISO In Residence ». Pour faire simple, je suis l'ambassadeur en interne des clients RSSI de Zscaler. Donc, je capte les besoins des clients et je les transmets en interne. A l'inverse, je restitue aux clients les bonnes idées que peuvent avoir nos experts internes ou nos autres clients et qui peuvent les intéresser. Et je fais aussi ce qu'on appelle des CISO[i] Review.
SDBR News : Ce qui signifie ?
Olivier Daloy : Je passe en revue le paramétrage de sécurité de nos outils chez le client, pour nous assurer qu'il en tire le maximum. Mais il y a d'autres différents sujets : revue des assurances sécurité, aspects juridiques, financiers, etc.
SDBR News : D’après vous, la cybersécurité est-elle en train de se redessiner ?
Olivier Daloy : Oui clairement, pour moi. Mais le métier de RSSI est de toute façon un métier qui a été en perpétuelle évolution. A la base, c'était un métier très technique et d'ailleurs on parlait de responsable de sécurité informatique. Ensuite, nous sommes passés à responsable de la sécurité du système d'information, puis à directeur de la cybersécurité. C'est une fonction qui se transforme en permanence et qui doit être de plus en plus proche du métier, du business, du Comex, etc. Je pense qu'un des plus gros virages que nous voyons arriver aujourd'hui, c'est l'IA.
SDBR News : Pourquoi ?
Olivier Daloy : Pour maintes raisons. D'abord il y a les LLM[ii], évidemment il y a la fuite potentielle d'informations. Il y a aussi le positionnement et la posture de l'entreprise face à l'IA : est-ce qu’on autorise ou interdit l'accès à tous les LLM externes ? L'autre problème, c'est que l'agentique[iii] introduit un objet supplémentaire qu'on ne connaissait pas avant, qui est un agent IA, et qui est très différent de ce qu'on connaissait jusqu'à aujourd'hui : le poste de travail, le serveur, les containers, les machines virtuelles, etc. Et qui est donc potentiellement vulnérable. Donc, il faut un inventaire, il faut être capable de le gérer, il faut vérifier les vulnérabilités et il faut les corriger. Et ça n'est pas une machine virtuelle. Donc, il va falloir que les RSSI et les sociétés traitent ce nouvel objet qu'on appelle un agent IA et qui se développe à très grande vitesse.
SDBR News : Pouvez-vous nous donner des exemples ?
Olivier Daloy : Aujourd'hui, on estime que 83% du trafic Web correspond à des APIs. Donc, l'agent lui-même va se connecter via des APIs à diverses applications, en fonction des droits des utilisateurs propriétaires de cet agent. A partir de là, l'IA est un moteur qui va être capable de prendre des décisions et d'agir. Un exemple d'agent d'IA pourrait être « Je vais récupérer toutes les news de cybersécurité que je vois sur Internet et envoyer une newsletter à mes amis, pas forcément toujours aux mêmes personnes et peut être à des personnes différentes, sur la base d'une information qui m'intéresse et que je définis ». Et moi, je n'ai pas d'interaction, je n'ai pas besoin d'être derrière ma machine, même si je suis en vacances, même si je suis malade, la newsletter arrivera. Je peux la revoir, il peut y avoir un workflow, il peut ne pas y en avoir, etc. Voilà un exemple d'agent IA. Mais, encore une fois, on va en créer des dizaines, des centaines, des milliers, des millions. Chaque utilisateur peut en créer. Il n'y a pas forcément besoin d'avoir des droits d'administrateur pour en créer. D'ailleurs, je pense que les entreprises seront obligées de laisser les utilisateurs en créer aussi. Pour moi, c'est un gros virage.
SDBR News : Peut-on utiliser un agent IA ou un LLM à des fins dangereuses?
Olivier Daloy : Oui bien sûr ! Un LLM est entraîné sur un ensemble de données et un des « jeux de hacking » peut être d'essayer de retrouver l'accès à ces données d'entraînement qui peuvent être des données confidentielles de l'entreprise. Les entreprises vont rechigner à enlever des données d'entraînement parce qu'évidemment le moteur LLM serait moins efficace. Donc, elles vont donner de plus en plus de données en espérant que personne n'ait accès à ces données…
Autre exemple qui peut être gênant pour l'entreprise, c'est que le moteur de LLM à qui on demande de créer du code va restituer du code. Or le code peut être vulnérable, avec une vulnérabilité connue d'un tiers, donc par voie de conséquence permettre à un attaquant de savoir déjà à la base ce qu'il y a comme vulnérabilité, puisque c'est lui qui l'aura mise indirectement dans le code. Il y a plusieurs façons de perturber un moteur de LLM et donc d'introduire des risques pour l'entreprise.
SDBR News : Faut-il interdire les LLM ?
Olivier Daloy : Je pense qu'il est absolument incontournable que les entreprises vont utiliser de plus en plus de LLM et d'agents. Mais première question : est-ce que vraiment on améliore la qualité de l'action produite avec de l'IA ? Deuxième question : finalement, l’entreprise trouvera t elle un véritable retour sur investissement ou ira-t-elle au devant d'autres problèmes ?
SDBR News : Quelles sont vos réponses?
Olivier Daloy : Première question, est-ce que c'est vraiment efficace ? Je pense que c'est comme d'habitude avec les programmeurs : tout va dépendre de celui qui utilise le moteur de LLM ou l'agent IA. Il y a les bons et il y a les mauvais. Donc, il y aura des LLM et des agents IA efficaces et il y aura de mauvais agents IA. Par exemple, utiliser un LLM ce n'est pas mettre les trois mots que vous auriez mis dans une recherche Google ; c'est mettre un prompt et un prompt, c'est 15 à 20 lignes pour qu'il soit bon. Or, qui fait un prompt de 15 lignes et qui fait un prompt de 3 mots ? Je pense que 99% font des prompts de 3 mots. Or ceux qui font des prompts de 15 lignes ou 20 lignes auront une réponse qui sera bien meilleure que ceux qui font des prompts de 3 mots. Au fil du temps, les gens vont comprendre que le LLM n'est pas un remplaçant du moteur Google.
SDBR News : Et en termes d’économie générée?
Olivier Daloy : Il y a ceux qui vont voir le verre à moitié plein et ceux qui vont voir le verre à moitié vide. Je fais plutôt partie de ceux qui sont optimistes. L’IA va être utilisée pour aller plus vite à faire les choses. Par exemple, je prends un exemple complètement trivial : créer un site web, il y a quelques années, demandait des réunions, de faire des mois d'essais, des prototypes, etc. Aujourd’hui 1 à 2 jours peuvent suffire, à condition d’avoir bien défini l'idée que vous avez et quelle est votre originalité dans la conception du site web. Ensuite, la réalisation et le codage seront l’affaire de l’IA, mais ce n'est pas parce que vous utilisez l'IA que votre résultat sera magnifique…
[i] CISO : Chief Information Security Officer ou responsable de la sécurité des systèmes d'information.
[ii] LLM - Large Language Model : programme d'intelligence artificielle (IA) capable, entre autres tâches, de reconnaître et de générer du texte.
[iii] IA agentique : capacité de transformer des données en connaissances, comme le font d'autres formes d'IA, mais également de convertir ces connaissances en actions, sans intervention humaine.
