سام كينج، الرئيسة التنفيذية لشركة Veracode – سلسلة المقابلات

سام كينج هي الرئيسة التنفيذية لشركة Veracode وخبيرة معترف بها في إدارة الأعمال والأمن السيبراني. وهي إحدى مؤسسات شركة Veracode، ولعبت سام دورًا مهمًا في مسار نمو الشركة على مدار السنوات السبعة عشر الماضية، مما ساعد على نضجها من شركة ناشئة صغيرة إلى شركة تبلغ قيمتها أكثر من 2.5 مليار دولار.

Veracode هي شركة لأمن التطبيقات. تأسست في عام 2006، وتوفر أمن التطبيقات بنموذج البرمجيات كخدمة (SaaS) الذي يدمج تحليل التطبيقات في خطوط التطوير.

لقد شاركت في الأمن السيبراني لما يزيد على عقدين، ماذا جذبك في البداية إلى هذه الصناعة؟

لم يكن لدي اهتمام بالأمن السيبراني حتى بعد سنوات عديدة من مسيرتي في مجال التكنولوجيا. عملت في مجال الحواسيب والتكنولوجيا لفترة طويلة وحوالي عام 2000، أسس شخص ما شركة أمن سيبراني ودعاني للانضمام إليه. لم يكن لدي معرفة مسبقة بالأمن السيبراني، ولكن بعد انضمامي، كان كل شيء تاريخًا.

بدأت مسيرتك مع Veracode كنائب رئيس التسليم الخدمي في عام 2006، وترقيت إلى منصب الرئيس التنفيذي. ما هي بعض الدروس المهمة التي استخلصتها من هذه التجربة؟

أشعر بالامتنان لأنني كنت على هذه الرحلة. عملت في معظم الوظائف في Veracode على مدار 17 عامًا في الشركة، والنتيجة المهمة بالنسبة لي هي أن تنمية أعمال ناجحة هو في الأساس رياضة جماعية. مع تقدمي من نائب رئيس التسليم الخدمي إلى الرئيس التنفيذي، تعلمت أن الأمر لا يتعلق بشخص واحد، بل بالعلاقة بين الأشخاص والجهود الجماعية في جميع أنحاء المنظمة التي تحدد سرعة ومدى إنجازاتك. كما اكتسبت تعاطفًا مع المتطلبات المختلفة للأدوار بعد أن قمت بأداء معظمها من أيامنا قبل الإيرادات إلى المنظمة العالمية التي نحن عليها الآن.

تتخيل Veracode عالمًا حيث يتم تطوير البرمجيات بأمان من البداية. يمكنك مناقشة لماذا يجب على الشركات دمج أمان التطبيقات في بداية دورة حياة تطوير البرمجيات؟

البرمجيات هي النسيج الأساسي للمنظمات، ويتعين على الشركات أن تدرك أن دمج أمان التطبيقات في بداية دورة حياة تطوير البرمجيات (SDLC) ليس فقط الشيء الصحيح الذي يجب القيام به، ولكن أيضًا هو الشيء الذكي. تكلفة الانتظار لاكتشاف وإصلاح الثغرات الأمنية في المراحل اللاحقة من SDLC أو بعد إطلاق التطبيق هي عالية للغاية. وفقًا لمعهد المعايير الوطني، فإن تكلفة إصلاح الثغرات الأمنية في الإنتاج هي 30 ضعف التكلفة التي تتحملها في المراحل المبكرة. بالإضافة إلى ذلك، يؤدي ذلك إلى تجربة محبطة للمطور عندما يحاول إطلاق الوظائف في السوق، وتعطل عمليات الفحص الأمني عملية الإطلاق. عملية التطوير المثالية تشمل الاختبار في بيئة التطوير المتكاملة (IDE) وخط أنابيب التكامل والنشر المستمرين (CI/CD). عملية تطوير الكود تصبح عملية تطوير كود آمن عندما يتم دمج الاختبار الأمني والإصلاح بعمق في سلاسل أدوات SDLC.

تساعد Veracode الشركات على بناء وتنفيذ برامج أمان التطبيقات و DevSecOps. للقراء الذين ليسوا على دراية بهذه المصطلحات، هل يمكنك تعريفها لنا؟

AppSec هو اختصار لـ “أمان التطبيقات” ويشير إلى الأدوات والسياسات والممارسات التي يمكن استخدامها لإنشاء برنامج يضمن أمان الكود عبر التطوير الداخلي للتطبيقات وكذلك التطبيقات الخارجية ورمز المصدر المفتوح وسلسلة التوريد البرمجية الموسعة. DevSecOps، المعروف أيضًا باسم “DevOps الآمن”، هو العقلية التي يتم فيها دمج الأمان في جميع مراحل SDLC، من المتطلبات إلى الهندسة والتصميم والبرمجة والاختبار والإطلاق والتوزيع. في الأساس، هذا يعني أن جميع الأشخاص المشاركين في تطوير البرمجيات مسؤولون عن أمان التطبيقات. يتعاون الاثنان لتحقيق هدف مشترك هو اتخاذ قرارات أمنية أفضل وتسليم برمجيات أكثر أمانًا بسرعة وكفاءة أكبر.

هل يمكنك مناقشة بعض الحلول المختلفة التي تقدمها Veracode، مثل Veracode SAST و Veracode SCA و Veracode DAST؟

تحليل Veracode الثابت (SAST) الذي يدمج الأمان في جميع مراحل SDLC للشركة، بحيث يمكن للمطورين كتابة كود آمن في بيئة التطوير المتكاملة (IDE)، ويؤتمت عمليات الفحص في خط أنابيب التكامل والنشر المستمرين (CI/CD) ويتوافق مع السياسات قبل النشر. يساعد في إدارة المخاطر من خلال فحص الكود واكتشاف العيوب، ثم يصنف النتائج ويوفر إرشادات سياقية للمطورين لتحديد الأولويات وإصلاح العيوب الحرجة وتقليل المخاطر.

تحليل Veracode للتركيب البرمجي (SCA) الذي يؤتمت العثور على جميع المكونات التي تشكل تطبيقًا ويوفر إجراءات لإدارة المخاطر داخلها. تتمتع SCA بقدرات التعلم الآلي والإصلاح الآلي التي توفر إصلاحات – بهدف القيام بذلك بأقل قدر من انقطاع الإنتاج الممكن.

أخيرًا، التحليل الديناميكي (DAST) هو جزء من منصة أمان البرمجيات الذكية من Veracode، والذي يتيح لفريق الأمان كشف السطوح الهجومية التي لم يكنوا يعرفون عنها، واكتشاف الثغرات الأمنية في بيئات التشغيل، والحصول على نظرة شاملة على الوضع الأمني لتطبيقات الويب وواجهات برمجة التطبيقات (APIs).

في 18 أبريل 2023، أعلنت Veracode عن إطلاق أمان البرمجيات الذكية مع إطلاق Veracode Fix، وهي أداة تعتمد على تقنية GPT (المحوّل التوليدي المدرّب مسبقًا). لماذا كانت GPT اختراقًا هامًا في الأمن السيبراني؟

لقد كان فريقا تطوير البرمجيات والأمن يركضان فقط ليبقيا على قدم المساواة. على مدار سنوات، تدور جهود أمن البرمجيات حول الاختبار لاكتشاف المشاكل، ولكن لكل مشكلة يتم اكتشافها، هناك مهمة يدوية لإصلاحها. غالبًا ما يُطلب من المطورين قضاء وقت لا يمتلكونه لإصلاح الثغرات الأمنية التي لا يفهمونها، في كود لم يكتبوه، فقط ليكتشفوا أنه في الوقت الذي يستغرقونه لإصلاح عيب واحد، يظهر عيبان آخران في مكان آخر. هناك حاجة واضحة إلى التحول.

يوفر Veracode Fix هذا التحول، وينقل التركيز من اكتشاف المشكلات إلى إصلاحها، ويؤذن ببداية أمان البرمجيات الذكية. من خلال استغلال قوة الذكاء الاصطناعي لتوليد إصلاحات تلقائية للبرمجيات غير الآمنة، يجلب Veracode Fix أخيرًا الأتمتة إلى إصلاح العيوب ويوازن من جديد منظر أمان البرمجيات. على عكس معظم أدوات كتابة الكود بالذكاء الاصطناعي التوليدي، لم يتم تدريب Veracode Fix على رمز مفتوح المصدر أو كود من مصادر خارجية، ولا يستخدم أو يحتفظ ببيانات العملاء لتدريب النموذج.

بدلاً من ذلك، قمنا بتدريب Veracode Fix على مجموعة بيانات مملوكة لنا ومنتقاة بعناية، باستخدام التعلم الخاضع للإشراف والمواءمة من فريقنا من الباحثين الأمنيين واستشاريي أمن التطبيقات الرائدين لتقديم خبرة ومعرفة Veracode المجمعة في تجربة بسيطة وقوية: قوة Veracode بين يديك.

أداة Veracode Fix تتحول من العثور على المشاكل إلى إصلاحها. هل يمكنك مناقشة بعض الفوائد المتعلقة بالتوسع التي تقدمها؟

كانت المنظمات مضطرة إلى الاختيار بين إصلاح الثغرات الأمنية وتنفيذ مواعيد نهائية لطرح الكود في الإنتاج. مدعومًا بالذكاء الاصطناعي وبيانات Veracode المخصصة، يوفر Veracode Fix للمطورين الوقت من خلال تمكينهم من كتابة كود أكثر أمانًا بسرعة. وهذا يعني أن العيوب التي كان إصلاحها يستغرق ساعات والتي كانت ستبقى لأشهر لولا ذلك يمكن الآن إصلاحها في دقائق. والفائدة المتعلقة بالتوسع واضحة – يمكن للمطورين الآن إنشاء المزيد من البرمجيات بسرعة أكبر، وبالتالي يمكنهم الابتكار بأمان.

كم من التدخل البشري مطلوب قبل إصلاح مشكلة، وأين يأتي البشر في هذه الأنواع من الأمن السيبراني؟

على الرغم من الأتمتة في عملية تطوير البرمجيات، اعتمد إصلاح الثغرات الأمنية – خاصة في الكود الذي تطوره المؤسسة بنفسها – على الجهد اليدوي من المطورين المثقلين والمدعومين بشكل غير كاف. حتى الآن.

يستخدم Veracode Fix التعلم الآلي لتوليد إصلاحات مقترحة التي يمكن للمطورين مراجعتها وتنفيذها دون كتابة أي كود.

من المهم ملاحظة أن Veracode Fix لا يصلح الكود تلقائيًا، بل يقترح إصلاحات. ثم يراجع المطور الإصلاحات وينفذها دون كتابة أي كود. هذا يوفر للمطورين الوقت، ويسرع التطوير الآمن، ويمكن إدارة المخاطر وخفض الديون الأمنية بمقدار أقل من الجهد والتكلفة.

هل هناك أي شيء آخر تود مشاركته حول Veracode؟

التكنولوجيا تتطور باستمرار، و Veracode كذلك، ولكن الهدف ظل كما هو منذ عام 2006: تأمين البرمجيات بمقاييس كبيرة. كما قادت Veracode أمن التطبيقات قبل أكثر من 17 عامًا، نحن الآن نرعى أمان البرمجيات الذكية. منتجاتنا وابتكاراتنا، مثل Veracode Fix، هي شهادة على ذلك.

تأسست Veracode بواسطة كريس ويسوبال، وهو مخترق أخلاقي سابق تحول إلى مؤثر في السياسة الأمنية. في عام 1998، كجزء من مجموعة المخترقين L0pht، شهد كريس أمام لجنة مجلس الشيوخ الأمريكي التي تحقق في قضايا السيبرانية الحكومية قائلاً إن بائعي السيبرانية يحتاجون إلى القيام بأفضل من ذلك – يجب عليهم تحمل المسؤولية عن المشكلة.

منذ تأسيسها، نمت Veracode من شركة ناشئة إلى شركة عالمية تضم أكثر من 2600 عميل – وما رحلة رائعة لمراقبة تطورها على مدار كل هذه السنوات. هذا بفضل التزامنا بمساعدة العملاء في تحدياتهم الكبيرة: دمج الأمان في SDLC، و بناء كفاءة أمان المطور، وحماية سلسلة التوريد البرمجية، وإدارة مخاطر سطح الهجوم لتطبيقات الويب، وتأمين تطوير التطبيقات الأصلية السحابية. صُنّفنا ضمن فئة القادة عشر مرات في تقرير Magic Quadrant لشركة Gartner لتجارب اختبار أمان التطبيقات – واحدة من التقييمات الأكثر شمولاً في صناعتنا – ولقد تلقينا العديد من الجوائز الصناعية على مدار السنوات.

هناك مجال نعتز به بشكل خاص هو الثقافة التي نمت بها على مدار تاريخنا. في العام الماضي، تم تسمية Veracode كأفضل مكان للعمل في عام 2022 من قبل The Boston Globe و كأفضل مكان للعمل في الولايات المتحدة في عام 2023 من قبل Energage. شعرنا بالفخر والتواضع لحصولنا على هذه الجوائز لأننا نعتز بالثقافة الشاملة التي تعزز الموهبة وتمكّن الموظفين من تقديم أفضل أداء لديهم.

شكرًا على المقابلة الرائعة، يمكن للقراء الراغبين في معرفة المزيد زيارة Veracode.