مقابلات
شراف ميتها، المؤسس والرئيس التنفيذي لشركة Secureframe – سلسلة المقابلات
أضف Unite.AI إلى مصادرك المفضلة على Google
شراف ميتها، المؤسس والرئيس التنفيذي لشركة Secureframe، هو رائد أعمال وقائد تقني يركز على تبسيط الأمن السيبراني والامتثال التنظيمي من خلال التأتمتة. أسس Secureframe في عام 2020 بعد بناء الخبرة عبر الأدوار الهندسية والنمو في شركات النمو السريع بما في ذلك Pilot و Scale AI و Lob و Hired. في وقت سابق من مسيرته، أسس وحولف مجموعة من التطبيقات الناجحة والألعاب على نظام Android التي وصلت إلى ملايين المستخدمين. تحت قيادته، أصبحت Secureframe واحدة من منصات تلقيم الأمان الرائدة، وتساعد المنظمات على简化 عمليات التصديق المعقدة مع الحصول على دعم من الشركات الرأسمالية الرائدة بما في ذلك Kleiner Perkins و Accomplice و Gradient Ventures و Base10 Partners وغيرها.
Secureframe هي منصة أمن سيبراني وامتثال تلقيمي تمكن المنظمات من تحقيق الحفاظ على شهادات الأمن والخصوصية الرائدة في الصناعة مع جهد يدوي أقل بكثير. تعمل المنصة على تلقيم جمع الأدلة والمراقبة المستمرة وتدريب الوعي الأمني وإدارة مخاطر البائعين والاستعداد للتدقيق من خلال مئات التكاملات مع مزودي السحابة ومنصات الهوية وأدوات التطوير وتطبيقات الأعمال. تدعم الإطارات بما في ذلك SOC 2 و ISO 27001 و HIPAA و PCI DSS و NIST و CMMC و FedRAMP و GDPR، تساعد Secureframe الشركات على تعزيز موقفها الأمني مع تسريع مبيعات الشركات عن طريق جعل الامتثال أسرع وأكثر قابلية للتطوير وأسهل في الحفاظ عليه على مدار العام.
قبل تأسيس Secureframe، عملت في الأدوار الهندسية والتسويقية والنمو في شركات مثل Pilot و Scale AI و Lob و Hired، وحتى بنيت تطبيقات أندرويد وصلت إلى ملايين المستخدمين. ما هي التجارب المحددة التي أقنعتك بأن الامتثال الأمني مكسور بما يكفي لتكريس شركة لحله؟
كل شيء بدأ حقًا مع إحباطي الشخصي. على مدار مسيرتي، شاهدت فرق هندسية حادة تتعثر في اللحظة التي يطلب منها عميل كبير إجابة استبيان أمني أو تقرير SOC 2. أصبح الامتثال الأمني عائقًا للنمو التجاري، بدلاً من كونه معززًا.
بدأت أسأل الناس في شبكاتي إذا كانوا يريدون أدوات لتلقيم هذا. قال العديد منهم نعم، لكنني لم أكن متأكدًا من مدى جديتهم حتى اتصل بي شخص ما بعد شهر يسأل عن مكان المنتج. غادرت وظيفتي في ذلك الأسبوع وبدأت Secureframe رسميًا. عندما كنا نمتلك منتجًا أوليًا، كان هناك أكثر من 40 شركة على قائمة الانتظار.
اليوم، نساعد آلاف الشركات على التنقل في هذا العمل الحرج وتحدياته، وتطويره وتوسيعه. من المهم جدًا رؤية كيف تُزيل منصتنا العوائق، وتحول عائقًا تاريخيًا إلى معزز تنافسي للعملاء.
وجدت قمتك الأمنية الأخيرة أن ستة من كل عشرة محترفين أمنيين يعتقدون أن لديهم فجوات في استخبارات التهديدات الحاسمة. لماذا تعتقد أن العديد من المنظمات لا تزال تعاني من فهم التعرض الحقيقي للخطر على الرغم من إنفاقها الكبير على الأمن السيبراني؟
شيء واحد لاحظناه باستمرار مع العمل مع آلاف المنظمات هو أن معظم فرق الأمن لا تفتقر إلى البيانات، بل إلى السياق. يحصلون على تنبيهات من عشرات الأدوات، لكنهم ما زالوا يجدون صعوبة في الإجابة على أسئلة أساسية مثل مكان وجود البيانات الحساسة، ومن لديها حق الوصول إليها، وما هي المخاطر الخاصة بهم. في الواقع، أظهر استطلاعنا أن 60٪ منهم يستهلكون الإشعارات الحكومية القياسية، لكن فقط 29٪ يشاركون في تبادل المعلومات الأمنية المحدد للصناعة. الإشعارات الحكومية قيمة، لكن في الوقت الذي تصل فيه إلى صندوق الوارد، قد تطور التهديد بالفعل.
المشكلة الأعمق هي أن الشبكات تتوسع أسرع من قائمة ما يوجد عليها. إذا لم تكن لديك صورة واضحة ومحدّثة لمكان وجود البيانات الحساسة ومن يلمسها، فإن إضافة أداة أمنية أخرى لن تنقذك.
وصفت مستقبلًا حيث يصبح الأمن السيبراني شكلًا من أشكال “الحرب الأمنية المتناظرة”، حيث يستخدم كل من المهاجمين والمدافعين أنظمة متقدمة بشكل متزايد. كيف يتغير هذا بشكل جوهري الطريقة التي تعمل بها فرق الأمن في الشركات؟
عندما يمكن للذكاء الاصطناعي تشغيل معظم العمليات بشكل مستقل، فإن استكشافًا وتحليلًا وانتشارًا مع قليل من التدخل البشري، فإن تحليلًا بشريًا يفتح تذكرة في الساعة 9 صباحًا لتنبيه تم إرساله في الساعة 2 صباحًا قد خسر بالفعل المعركة.
يتغير دور المحترف الأمني من منفذ نشط إلى منسق: وضع السياسات، وتحقق من سلامة الأنظمة الدفاعية، وإزالة النقاط العمياء بدلاً من التصفية اليدوية لطوابير لا نهاية لها من التنبيهات منخفضة المستوى.
خلال قمتنا، قال روب جويس، المدير السابق للأمن السيبراني في NSA، بصورة واضحة: “لا يوجد عودة إلى نموذج التهديد السابق. القرارات التي تتخذها بشأن دفاعك هي قرارات حول الوضع الجديد. نحن لا نستعد ل будущ محتمل”.
إذا سمح الذكاء الاصطناعي للمهاجمين بتقليل أوقات الاختراق من ساعات إلى ثوان، ما هي أكبر نقاط الضعف في نماذج الأمن والامتثال التقليدية التي تجعل المنظمات عرضة لهذه الأنواع من المهاجمين؟
أ أكبر نقطة ضعف هي التحقق الثابت أو اليدوي في نقطة زمنية معينة. يعتمد الامتثال التقليدي على تجميع الوثائق مرة واحدة في السنة لإثبات أن السيطرة كانت تعمل في تاريخ معين. ينهار هذا النموذج عندما يتم توليد البرمجيات وتكرارها ونشرها بشكل مستمر. قد لا يخبرك لقطة تم التقاطها في الربع الماضي كثيرًا عن وضعك الأمني اليوم. هذا هو السبب في أن الإطارات مثل FedRAMP تتحرك نحو التحقق التلقيمي والدائم.
نقطة ضعف كبيرة أخرى هي أن العديد من شبكات الشركات ما زالت مسطحة. عندما تقع الأنظمة الحساسة على نفس الشبكة مع أدوات الشركات اليومية، يمكن أن يصبح حساب مسروق واحد مشكلة أكبر بسرعة.
ما زالت العديد من المنظمات تعامل الامتثال كتمرين تدقيق دوري. لماذا تعتقد أن هذا المنهج يصبح خطرًا في عصر حيث تتطور التهديدات بشكل مستمر؟
لأن الأعداء لا يهاجمون وفقًا لجدولك التدقيق. إنهم يستغلون الفجوة بين كيفية ظهور أنظمتك خلال التقييم وكيف هي مخطط لها ثلاثة أشهر لاحقًا. تتغير التكوينات، ويأتي الموظفون ويتغيرون، وتدمج برامج جديدة؛ كل هذا يخلق تعرضًا لنقطة التقييم السنوية.
الإطارات الامتثال مثل SOC 2 أو CMMC مخصصة لتحديد أرضية تشغيلية، ليست خط النهاية. معاملتها كمشروع دوري هو كيف تنتهي الشركات بهم في مشاكل في التقييمات أو، أسوأ من ذلك، في حوادث أمنية بين دورات التقييم.
ما هو نموذج الحماية المستمرة الذي يعتمد على الذكاء الاصطناعي في الواقع، وكيف يختلف عن مراكز عمليات الأمن التي تعتمد عليها معظم الشركات اليوم؟
اليوم، تقضي فرق الأمن معظم وقتها في التصفية اليدوية لطوابير من التنبيهات، والتحقيق في الحوادث واحدة تلو الأخرى، وجمع الأدلة للتدقيقات من خلال لقطات الشاشة والجداول والوثائق في نقطة زمنية معينة.
ينقلب النموذج الذي يعتمد على الذكاء الاصطناعي ذلك. بدلاً من محللين يطاردون التنبيهات، تقوم الأنظمة التلقيمية بمراقبة الأنماط السلوكية بشكل مستمر عبر البيانات والهويات والبنية التحتية. عندما ي逸لّق شيء عن قاعدة معيارية محددة، تقوم سير عمل تلقيمية بسد الفجوة على الفور بدلاً من انتظار تحرك بشري.
يمكن للذكاء الاصطناعي أيضًا أن يأخذ على عاتقه عبء الوثائق بالكامل، وإنشاء وتحديث تقييمات المخاطر وأدلة السيطرة وسجلات الامتثال بناءً على حالة البيئة الحية بدلاً من صورة تم التقاطها قبل التقييم. تنتقل فريق الأمن من القيام بذلك العمل إلى الإشراف على الأنظمة التي تقوم به.
ت trở thành أكثر تعقيدًا وتحسين التمويل. ما هي القدرات التي تعتقد أن الشركات يجب أن تطورها خلال الثلاث سنوات القادمة لتبقى قوية ضد هذه الأنواع من المهاجمين؟
تحديد نطاق البيانات بدقة، والتحقق التلقيمي من سلسلة التوريد، والهياكل المعمارية الأمنية القائمة على السلوك.
مهاجمو الدولة قادرون على الخلط بينهم باستخدام بيانات اعتماد مسروقة وأدوات نظام مشروعة للانتقال عبر الشبكات دون تشغيل التنبيهات التقليدية. يحتاج إيقاف هذا النوع من النشاط إلى مراقبة الأنماط السلوكية، وليس مجرد فحص التوقيعات البرمجية الخبيثة المعروفة.
من جانب سلسلة التوريد، أظهرت بيانات استطلاعنا أن 58٪ من محترفي الأمن يشيرون إلى خطر البائع الثالث كفجوة غير محلولة أكبر. المراجعة اليدوية لجداول البائع مرة واحدة في السنة بينما يستهدف المهاجمون المتقدمون موردك ليس دفاعًا حقيقيًا.
أخيرًا، الحفاظ على بيئات حساسة معزولة عن بقية شبكة الشركة يقلل بشكل كبير من التعرض. المنظمات التي سيطرت على تكاليف الامتثال بشكل أكثر فعالية فعلت ذلك عن طريق تقييد مدى انتشار البيانات الحساسة في المقام الأول.
مع زيادة قدرات الذكاء الاصطناعي، هل تتوقع أن يزيد فجوة المهارات الأمنية أو يقللها؟ أي أدوار أمنية من المحتمل أن تصبح أكثر أهمية، وأي منها قد يصبح أكثر تلقيمية؟
أعتقد أن فجوة المهارات الأمنية سوف تتوسع في التعقيد ولكن تقل في الحجم. سوف يتعامل الذكاء الاصطناعي مع العمل الروتيني المتكرر الذي استهلك تاريخيًا المحللين الأوائل مثل مراجعة السجلات والتوثيق البسيط وترقية البرمجيات البسيطة. هذا يحرر السعة، لكنه يرفع أيضًا معيار ما يجب على المحترفين المهرة معرفته.
الأدوار التي سوف تهم أكثر في المستقبل هي تلك التي تركز على الهندسة والحوكمة: المحترفون الذين يمكنهم تصميم أنظمة متينة، وتقييم أمان أنابيب الذكاء الاصطناعي نفسها، وتفسير بيئة تنظيمية سريعة التغير.
توسعت Secureframe من تلقيم الامتثال إلى رصد أمني أوسع وأدوات تعافي مدعومة بالذكاء الاصطناعي. أين ترى خط الفصل بين الحوكمة وإدارة المخاطر والامتثال والدفاع السيبراني النشط يبدأ في التلاشي؟
كانت هذه الوظائف منفصلة بشكل اصطناعي. في الواقع، إنها جميعًا تعبيرات عن نفس السؤال: هل يمكنك إثبات أن أنظمتك تفعل ما تقول إنها تفعله؟
عندما تغلق نظام تلقيمي فجوة أمنية في الوقت الفعلي، فقد قام في الوقت نفسه بتحديث موقف المخاطر، وتسجيل حدث حوكمة، وإنشاء أدلة امتثال. النقلة التي نشهدها هي من الامتثال في نقطة زمنية إلى الثقة المستمرة، والذكاء الاصطناعي يصبح بشكل متزايد كيف يتم التحقق من هذه الثقة. ليس فقط الحفاظ عليها.
في المستقبل، هل نعتقد أننا نعتمد على أنظمة الذكاء الاصطناعي لتأمين البنية التحتية الحيوية مع تدخل بشري قليل، أو سوف يبقى الحكم البشري الحارس النهائي ضد الهجمات السيبرانية الكبيرة؟
سوف يتطلب دائمًا كلاهما، وسوف ت决定 ثقافة القيادة مدى جودة أي من العناصر.
قال بوب كوستيلو، المدير السابق لتقنية المعلومات في CISA، هذا النقطة خلال قمتنا عندما وصف كيف غير SolarWinds المناقشة الفيدرالية: الانتقال من معاملة الامتثال كتمرين مربع إلى فهم وضع المخاطر الفعلي لبيئة كاملة. هذا التغيير في العقلية هو ما يفصل المنظمات القوية عن المنظمات الضعيفة.
الشركات التي تبرز إلى الأمام تعرف أين تعيش بياناتها الحساسة قبل أن يطلبها أي شخص، وستبدل جمع الأدلة اليدوي بنظم تلقيمية، وستبني ثقافة حيث السلوكيات الأمنية مشبعة في العمل اليومي بدلاً من الاحتفاظ بها لتدريب سنوي.对于 الشركات التي تعمل في بيئات منظمة أو عالية المخاطر، فإن نافذة التحديث التدرجي تتقارب.
شكرًا على المقابلة الرائعة، يرجا القراء الذين يرغبون في معرفة المزيد زيارة Secureframe.
