Shrav Mehta, grundlægger og administrerende direktør for Secureframe – Interviewserie

Shrav Mehta, grundlægger og administrerende direktør for Secureframe, er en iværksætter og teknologileder, der fokuserer på at forenkle cybersikkerhed og reguleringsoverholdelse gennem automatisering. Han grundlagde Secureframe i 2020 efter at have opnået erfaring i ingeniør- og vækstroller i hurtigt voksende startups, herunder Pilot, Scale AI, Lob og Hired. Tidligere i sin karriere grundlagde og skalaerede han en portefølje af succesfulde Android-applikationer og spil, der nåede millioner af brugere. Under hans ledelse er Secureframe blevet en af de førende sikkerheds- og overholdelsesautomatiseringsplatforme, der hjælper organisationer med at strømline komplekse certificeringsprocesser, samtidig med at de har opnået støtte fra top-venturefirmaer, herunder Kleiner Perkins, Accomplice, Gradient Ventures, Base10 Partners og andre.

Secureframe er en cybersikkerheds- og overholdelsesautomatiseringsplatform, der giver organisationer mulighed for at opnå og vedvarende opretholde branchens førende sikkerheds- og privatlivscertificeringer med væsentligt mindre manuel indsats. Platformen automatiserer indsamlingsbevis, kontinuerlig overvågning, sikkerhedsbevidsthedstræning, leverandør-risikostyring og revisionsforberedelse gennem hundredvis af integrationer med cloud-leverandører, identitetsplatforme, udviklingsværktøjer og forretningsapplikationer. Ved at understøtte rammer som SOC 2, ISO 27001, HIPAA, PCI DSS, NIST, CMMC, FedRAMP og GDPR hjælper Secureframe virksomheder med at styrke deres sikkerhedsposition, samtidig med at de accelererer enterprise-salg ved at gøre overholdelse hurtigere, mere skalerbar og lettere at opretholde hele året.

Før du grundlagde Secureframe, arbejdede du i ingeniør-, marketing- og vækstroller i virksomheder som Pilot, Scale AI, Lob og Hired, og du byggede endda Android-applikationer, der nåede millioner af brugere. Hvad var det specifikke, der overbeviste dig om, at sikkerheds-overholdelse var brudt nok til at dedikere en virksomhed til at løse det?

Det begyndte virkelig med min egen frustration. Gennem min karriere så jeg, hvordan super-skarpe ingeniørhold blev stoppet, når en stor enterprise-kunde gav dem en sikkerheds-spørgeskema eller krævede en SOC 2-rapport. Cybersikkerheds-overholdelse blev en hindring for forretningsvækst i stedet for en accelerator.

Jeg begyndte at spørge mennesker i min netværk, om de ville have værktøjer til at automatisere dette. Mange sagde ja, men jeg var ikke sikker på, hvor alvorlige de var, indtil en person ringede tilbage til mig en måned senere og spurgte, hvor produktet var. Jeg stoppede mit job samme uge og startede officielt Secureframe. Da vi havde en MVP, var mere end 40 virksomheder på vores venteliste.

I dag hjælper vi tusindvis af virksomheder med at navigere, opretholde og skala denne kritiske arbejde. Det er dybt tilfredsstillende at se, hvordan vores platform fjerner friktion, og hvordan den omdanner en historisk flaskehals til en konkurrencedygtig accelerator for vores kunder.

Dit seneste cybersikkerhedssummit fandt, at seks af ti sikkerhedsprofessionelle mener, de har kritiske trusselformationslækager. Hvorfor tror du, så mange organisationer stadig kæmper med at forstå deres sande risiko-exponering, på trods af at de bruger meget på cybersikkerhed?

En ting, vi konstant har set, når vi arbejder med tusindvis af organisationer, er, at de fleste sikkerhold ikke mangler data, men kontekst. De modtager varslinger fra dusinvis af værktøjer, men de kæmper stadig med at besvare grundlæggende spørgsmål som, hvor følsomme data bor, hvem har adgang til dem, og hvad deres specifikke risici ligner. I virkeligheden viste vores afstemning, at mens 60% forbruger standardregeringsforsyninger, kun 29% deltager i branchspecifik ISAC-deling. Regeringsvarslinger er værdifulde, men når en ankommer i din inbox, har truslen ofte allerede udviklet sig.

Det dybere problem er, at netværk udvides hurtigere end inventaret af, hvad der er på dem. Hvis du ikke har et klart og opdateret billede af, hvor dine følsomme data bor, og hvem rører ved dem, vil tilføjelse af endnu et sikkerheds-værktøj ikke redde dig.

Du har beskrevet en fremtid, hvor cybersikkerhed bliver en form for “symmetrisk AI-krig”, hvor både angribere og forsvarere bruger stadig mere autonome systemer. Hvordan ændrer dette grundlæggende, hvordan enterprise-sikkerheds-hold behøver at fungere?

Når AI kan køre de fleste operationer autonomt, rekognoscering, udnyttelse og lateral bevægelse med minimal menneskelig indblanding, har en menneskelig analytiker, der åbner en billet kl. 9 om morgenen for en varsling, der blev sendt kl. 2 om natten, allerede tabt slaget.

Sikkerhedsprofessionelens rol skifter fra aktiv responder til orkestrator: fastsætte politik, validere integriteten af defensive systemer og eliminere blindspots i stedet for at prioritere en endeløs kø af lavniveauer-varslinger.

Under vores summit sagde tidligere NSA Cybersecurity-direktør Rob Joyce det ligeud: “Der er ingen vej tilbage til det forudgående AI-trusselmodel. Beslutningerne, du tager om din forsvar, er beslutninger om den nye norm. Vi er ikke forberedt på en mulig fremtid.”

Hvis AI giver angribere mulighed for at reducere udbrudstider fra timer til sekunder, hvad er de største svagheder i dagens traditionelle sikkerheds- og overholdelsesmodeller, der gør organisationer sårbare?

Den største svaghed er punkt-i-tiden, statisk eller manuel validering. Traditionel overholdelse afhænger af at samle dokumentation én gang om året for at bevise, at en kontrol fungerede på en bestemt dato. Denne model går i stykker, når software genereres, itereres og deployes kontinuerligt. Et snapshot taget sidste kvartal kan ikke fortælle dig meget om din sikkerhedsposition i dag. Det er derfor, rammer som FedRAMP bevæger sig mod automatiseret og vedvarende validering.

En anden stor svaghed er, hvor flade mange enterprise-netværk stadig er. Når følsomme operationelle systemer sidder på samme netværk som hverdagslige virksomheds-værktøjer, kan en enkelt kompromitteret konto blive et langt større problem meget hurtigt.

Mange organisationer behandler stadig overholdelse som en periodisk revisionsøvelse. Hvorfor tror du, denne holdning bliver farlig i en æra, hvor trusler udvikler sig kontinuerligt?

Fordi modstandere ikke angriber på din revisionsplan. De udnytter hullerne mellem, hvordan dine systemer så ud under en vurdering, og hvordan de faktisk er konfigureret tre måneder senere. Konfigurationer glider, medarbejdere kommer og går, nyt software integreres; alt dette skaber eksponering, som en enkelt årlig gennemgang aldrig vil fange.

Overholdelsesrammer som SOC 2 eller CMMC er ment til at definere en operativ gulv, ikke en finishline. At behandle dem som en periodisk projekt er, hvordan virksomheder ender med at løbe ind i problemer under gensyn eller, værre, under sikkerhedsincidenser mellem vurderingscykler.

Hvad ligner et AI-drevet kontinuerligt beskyttelsesmodel i praksis, og hvordan adskiller det sig fra de sikkerhedsoperationer, de fleste virksomheder afhænger af i dag?

I dag bruger sikkerheds-hold det meste af deres tid på manuel prioritering af en flod af varslinger, undersøgelse af incidenter én for én og indsamling af beviser til revisioner gennem screenshots, regneark og punkt-i-tiden-dokumentation.

Et AI-drevet model inverterer det. I stedet for, at analytikere jagter varslinger, overvåger automatiserede systemer kontinuerligt adfærds-mønstre på tværs af data, identiteter og infrastruktur. Når noget glider fra en etableret baseline, lukker automatiserede arbejdsgange hullerne straks i stedet for at vente på, at en menneskelig skal bemærke og handle.

AI kan også overtage dokumentationsbyrden fuldstændigt, generere og opretholde risiko-vurderinger, kontrolbevis og overholdelsesrekorder baseret på den levende tilstand af miljøet i stedet for et snapshot taget før en revision. Sikkerheds-holdet skifter fra at udføre dette arbejde til at overvåge systemerne, der gør det.

Nation-state-cybertrusler bliver mere sofistikerede og bedre finansierede. Hvilke evner tror du, virksomheder må udvikle i de næste tre år for at forblive robuste mod disse typer af modstandere?

Precis datascope, automatiseret leverandørvalidering og adfærdsbaserede sikkerhedsarkitekturer.

Nation-state-aktører er eksperter i at blande sig ind med stjålne legitimationsoplysninger og legitime systemværktøjer for at bevæge sig gennem netværk uden at udløse konventionelle varslinger. At fange den type aktivitet kræver overvågning af mønstre af adfærd, ikke kun scanning af kendte malware-signaturer.

På leverandør-siden viste vores undersøgelsesdata, at 58% af sikkerhedspraktikere nævner tredjeparts-leverandør-risiko som deres eneste største uløste hul. Manuelt gennemgang af leverandør-regneark én gang om året, mens sofistikerede aktører målretter dine leverandører, er ikke et rigtigt forsvar.

Til sidst reducerer isolering af følsomme miljøer fra resten af dit virksomhedsnetværk dramatisk din eksponering. Organisationer, der kontrollerede deres overholdelsesomkostninger mest effektivt, gjorde det ved at begrænse, hvor langt deres følsomme data kunne sprede sig i første omgang.

Når AI bliver mere kapabel, forventer du, at cybersikkerhedsfærdigheds-gabet vil udvide sig eller mindske? Hvilke sikkerhedsroller er sandsynligvis at blive mere vigtige, og hvilke kan blive mere automatiserede?

Jeg tror, cybersikkerhedsfærdigheds-gabet vil udvide sig i kompleksitet, men mindske i volumen. AI vil håndtere det rutinemæssige, gentagne arbejde, der historisk har forbrugt junior-analytikere som log-gennemgang, grundlæggende dokumentation og direkte patchning. Det frigør kapacitet, men det løfter også standarden for, hvad dygtige praktikere behøver at vide.

De roller, der vil være vigtigst i fremtiden, er dem, der fokuserer på arkitektur og styring: professionelle, der kan designe robuste systemer, vurderer sikkerheden af AI-pipelines selv og fortolker en hurtigt skiftende regulativ miljø.

Secureframe har udvidet sig fra overholdelsesautomatisering til bredere sikkerheds-overvågning og AI-drevet afhjælpning. Hvor ser du grænsen mellem styring, risikostyring, overholdelse og aktiv cyberforsvar begynde at blive udvisket?

Disse funktioner var altid kunstigt adskilt. I praksis er de alle udtryk for samme spørgsmål: kan du demonstrere, at dine systemer gør, hvad du siger, de gør?

Når et automatiseret system lukker et sikkerheds-hul i realtid, har det samtidig opdateret din risiko-position, logget en styringsbegivenhed og genereret overholdelsesbevis. Skiftet, vi ser, er fra punkt-i-tiden-overholdelse til kontinuerlig tillid, og AI er stadig mere, hvordan denne tillid bliver valideret. Ikke kun opretholdt.

Settende blikket fremad, tror du, vi nærmer os et punkt, hvor AI-systemer vil være ansvarlige for at forsvare kritisk infrastruktur med minimal menneskelig indblanding, eller vil menneskelig dømmekraft forblive den ultimative sikkerhedsforanstaltning mod store cyberangreb?

Det vil altid kræve begge, og ledelseskultur vil bestemme, hvor godt enten element fungerer.

Tidligere CISA-CIO Bob Costello gjorde dette punkt under vores summit, da han beskrev, hvordan SolarWinds ændrede den føderale samtale: fra at behandle overholdelse som en afkrydsningsøvelse til virkelig at forstå den realtids-risiko-position for et helt miljø. Denne skift i mindset er, hvad adskiller robuste organisationer fra sårbare.

De virksomheder, der kommer ud på toppen, ved, hvor deres følsomme data bor, før nogen spørger, har erstattet manuel bevisindsamling med automatiserede systemer og har bygget en kultur, hvor sikkerhedsadfærd er integreret i dagligt arbejde i stedet for at være reserveret til årlig træning. For dem, der opererer i regulerede eller høj-stakes-miljøer, lukker vinduet for gradvis modernisering.

Tak for det fantastiske interview. Læsere, der ønsker at lære mere, kan besøge Secureframe.