Shrav Mehta, Gründer und CEO von Secureframe – Interview-Serie

Shrav Mehta, Gründer und CEO von Secureframe, ist ein Unternehmer und Technologieführer, der sich auf die Vereinfachung von Cybersicherheit und regulatorischer Compliance durch Automatisierung konzentriert. Er gründete Secureframe im Jahr 2020, nachdem er Erfahrungen in den Bereichen Ingenieurwesen und Wachstum bei schnell wachsenden Start-ups wie Pilot, Scale AI, Lob und Hired gesammelt hatte. Zu Beginn seiner Karriere gründete und skalierte er ein Portfolio erfolgreicher Android-Anwendungen und -Spiele, die Millionen von Nutzern erreichten. Unter seiner Führung ist Secureframe zu einer der führenden Plattformen für Sicherheits- und Compliance-Automatisierung geworden, die Organisationen hilft, komplexe Zertifizierungsprozesse zu rationalisieren, während sie von führenden Risikokapitalgesellschaften wie Kleiner Perkins, Accomplice, Gradient Ventures, Base10 Partners und anderen unterstützt wird.

Secureframe ist eine Plattform für Cybersicherheit und Compliance-Automatisierung, die es Organisationen ermöglicht, branchenführende Sicherheits- und Datenschutz-Zertifizierungen mit erheblich weniger manuellem Aufwand zu erlangen und aufrechtzuerhalten. Die Plattform automatisiert die Beweissammlung, die kontinuierliche Überwachung, die Sicherheitsbewusstseinsbildung, die Verwaltung von Lieferantenrisiken und die Vorbereitung von Audits durch Hunderte von Integrationen mit Cloud-Anbietern, Identitätsplattformen, Entwicklungstools und Geschäftsanwendungen. Durch die Unterstützung von Rahmenwerken wie SOC 2, ISO 27001, HIPAA, PCI DSS, NIST, CMMC, FedRAMP und DSGVO hilft Secureframe Unternehmen, ihre Sicherheitslage zu stärken, während sie den Unternehmensverkauf beschleunigen, indem sie die Compliance schneller, skalierbarer und einfacher zu warten machen.

Bevor Sie Secureframe gründeten, haben Sie in den Bereichen Ingenieurwesen, Marketing und Wachstum bei Unternehmen wie Pilot, Scale AI, Lob und Hired gearbeitet und sogar Android-Apps entwickelt, die Millionen von Nutzern erreichten. Welche Erfahrungen haben Sie dazu gebracht, dass Sie der Meinung sind, dass die Sicherheits- und Compliance-Prozesse so gestört sind, dass Sie ein Unternehmen gründen mussten, um sie zu lösen?

Alles begann mit meiner eigenen Frustration. Im Laufe meiner Karriere sah ich, wie sehr talentierte Ingenieurteams ins Stocken gerieten, sobald ein großer Unternehmenskunde ihnen ein Sicherheitsfragebogen oder einen SOC-2-Bericht aushändigte. Die Cybersicherheits-Compliance wurde zu einem Hindernis für das Geschäftswachstum, anstatt es zu beschleunigen.

Ich begann, Menschen in meinem Netzwerk zu fragen, ob sie Werkzeuge zur Automatisierung dieser Prozesse haben wollten. Viele sagten Ja, aber ich war mir nicht sicher, wie ernst sie es meinten, bis mich jemand einen Monat später anrief und fragte, wo das Produkt sei. Ich kündigte meine Stelle in dieser Woche und gründete offiziell Secureframe. Als wir ein MVP hatten, standen über 40 Unternehmen auf unserer Warteliste.

Heute helfen wir Tausenden von Unternehmen, diese kritische Arbeit zu bewältigen, zu warten und zu skalieren. Es ist sehr erfüllend zu sehen, wie unsere Plattform Reibungsverluste beseitigt und einen historischen Flaschenhals in einen Wettbewerbsbeschleuniger für unsere Kunden verwandelt.

Ihre jüngste Cybersicherheits-Konferenz hat ergeben, dass sechs von zehn Sicherheitsfachleuten der Meinung sind, dass sie kritische Lücken in der Bedrohungsanalyse haben. Warum glauben Sie, dass so viele Organisationen immer noch Schwierigkeiten haben, ihre tatsächliche Risikolage zu verstehen, obwohl sie viel Geld für Cybersicherheit ausgeben?

Eines, was wir bei der Arbeit mit Tausenden von Organisationen festgestellt haben, ist, dass die meisten Sicherheitsteams nicht an Daten mangeln, sondern an Kontext. Sie erhalten Warnungen von Dutzenden von Tools, aber sie kämpfen immer noch darum, grundlegende Fragen wie “Wo leben sensible Daten?”, “Wer hat Zugriff darauf?” und “Wie sehen unsere spezifischen Risiken aus?” zu beantworten. Tatsächlich hat unsere Umfrage ergeben, dass 60 % der Unternehmen Standard-Regierungs-Feeds konsumieren, aber nur 29 % an branchenspezifischen ISAC-Sharing teilnehmen. Regierungs-Warnungen sind wertvoll, aber wenn eine Warnung in Ihrem Posteingang landet, hat sich die Bedrohung oft bereits weiterentwickelt.

Das tiefer liegende Problem ist, dass Netzwerke schneller wachsen als die Inventarisierung dessen, was sich darauf befindet. Wenn Sie kein klares, aktuelles Bild davon haben, wo Ihre sensiblen Daten leben und wer sie berührt, wird das Hinzufügen eines weiteren Sicherheitstools Sie nicht retten.

Sie haben von einer Zukunft gesprochen, in der die Cybersicherheit zu einer Form von “symmetrischem KI-Krieg” wird, bei dem sowohl Angreifer als auch Verteidiger zunehmend autonome Systeme einsetzen. Wie ändert sich dadurch grundlegend die Art und Weise, wie Unternehmens-Sicherheitsteams arbeiten müssen?

Wenn KI die meisten Operationen autonom ausführen kann, Reconnaissance, Exploitation und laterale Bewegung mit minimalem menschlichem Eingreifen, hat ein menschlicher Analyst, der um 9 Uhr morgens ein Ticket für eine Warnung öffnet, die um 2 Uhr morgens gesendet wurde, den Kampf bereits verloren.

Die Rolle des Sicherheitsfachmanns verschiebt sich von einem aktiven Reaktor zu einem Orchesterleiter: Richtlinien festlegen, die Integrität der Verteidigungssysteme überprüfen und blinden Flecken beseitigen, anstatt eine endlose Warteschlange von Low-Level-Warnungen zu triagieren.

Während unserer Konferenz sagte der ehemalige NSA-Cybersicherheitsdirektor Rob Joyce klar: “Es gibt kein Zurück zum Vormodell der KI-Bedrohung. Die Entscheidungen, die Sie über Ihre Verteidigung treffen, sind Entscheidungen über das neue Normal. Wir bereiten uns nicht auf eine mögliche Zukunft vor.”

Wenn KI es Angreifern ermöglicht, die Ausbruchszeit von Stunden auf Sekunden zu reduzieren, welche sind die größten Schwächen in den traditionellen Sicherheits- und Compliance-Modellen, die Organisationen anfällig machen?

Die größte Schwäche ist die punktuelle, statische oder manuelle Validierung. Die traditionelle Compliance basiert auf der Kompilierung von Dokumentation einmal im Jahr, um zu beweisen, dass eine Kontrolle an einem bestimmten Datum funktionierte. Dieses Modell bricht zusammen, wenn Software kontinuierlich generiert, iteriert und bereitgestellt wird. Ein Snapshot, der letztes Quartal erstellt wurde, sagt Ihnen nicht viel über Ihre Sicherheitslage heute. Deshalb bewegen sich Rahmenwerke wie FedRAMP in Richtung automatisierter und anhaltender Validierung.

Ein zweite große Schwäche ist, wie flach viele Unternehmensnetzwerke immer noch sind. Wenn sensible Betriebssysteme auf dem gleichen Netzwerk wie alltägliche Unternehmens-Tools sitzen, kann ein einzelnes kompromittiertes Konto schnell zu einem viel größeren Problem werden.

Viele Organisationen behandeln Compliance immer noch als periodische Prüfung. Warum glauben Sie, dass diese Einstellung in einer Ära, in der Bedrohungen kontinuierlich evolvieren, gefährlich wird?

Weil Angreifer nicht nach Ihrem Prüfplan angreifen. Sie nutzen die Lücke zwischen dem, wie Ihre Systeme während einer Bewertung aussehen, und wie sie tatsächlich drei Monate später konfiguriert sind. Konfigurationen ändern sich, Mitarbeiter kommen und gehen, neue Software wird integriert; all dies schafft eine Verwundbarkeit, die eine jährliche Überprüfung nie erfassen wird.

Compliance-Rahmenwerke wie SOC 2 oder CMMC sind dazu gedacht, einen Betriebsboden zu definieren, nicht ein Ziel. Die Behandlung als periodisches Projekt ist, wie Unternehmen in Schwierigkeiten geraten, wenn es um Nachbewertungen oder, schlimmer noch, um Sicherheitsvorfälle zwischen den Bewertungszyklen geht.

Was sieht ein Modell der kontinuierlichen Schutz durch KI in der Praxis aus, und wie unterscheidet es sich von den Sicherheits-Operations-Zentren, auf die sich die meisten Unternehmen verlassen?

Heute verbringen Sicherheitsteams den größten Teil ihrer Zeit damit, eine Flut von Warnungen manuell zu triagieren, Vorfälle einzeln zu untersuchen und Beweise für Audits durch Screenshots, Tabellen und punktuelle Dokumentation zu sammeln.

Ein KI-getriebenes Modell kehrt dies um. Anstatt dass Analysten Warnungen verfolgen, überwachen automatisierte Systeme kontinuierlich Verhaltensmuster über Daten, Identitäten und Infrastruktur. Wenn sich etwas von einem etablierten Baseline entfernt, schließen automatisierte Workflows die Lücke sofort, anstatt auf einen Menschen zu warten, der es bemerkt und handelt.

KI kann auch die Dokumentationslast vollständig übernehmen, Risikobewertungen, Beweise für Kontrollen und Compliance-Aufzeichnungen auf der Grundlage des Live-Zustands der Umgebung und nicht auf der Grundlage eines Snapshots, der vor einer Prüfung erstellt wurde, generieren und warten. Das Sicherheitsteam wechselt von der Ausführung dieser Arbeit zur Überwachung der Systeme, die sie ausführen.

Staatsbedrohungen im Cyberraum werden immer sophistizierter und besser finanziert. Welche Fähigkeiten müssen Unternehmen in den nächsten drei Jahren entwickeln, um gegenüber solchen Bedrohungen resilient zu bleiben?

Präzise Datenabgrenzung, automatisierte Lieferantenverifizierung und verhaltensbasierte Sicherheitsarchitekturen.

Staatsakteure sind sehr gut darin, sich durch gestohlene Anmeldeinformationen und legitime Systemtools zu tarnen und durch Netzwerke zu bewegen, ohne herkömmliche Warnungen auszulösen. Das Erfassen solcher Aktivitäten erfordert die Überwachung von Verhaltensmustern, nicht nur das Scannen nach bekannten Malware-Signaturen.

Auf der Lieferantenseite zeigte unsere Umfrage, dass 58 % der Sicherheitspraktiker das Risiko von Drittanbieter-Lieferanten als ihre größte ungelöste Lücke nennen. Die manuelle Überprüfung von Lieferanten-Tabellen einmal im Jahr, während sich sophisticatede Angreifer auf Ihre Lieferanten konzentrieren, ist keine echte Verteidigung.

Schließlich reduziert die Isolation sensibler Umgebungen von dem Rest des Unternehmensnetzwerks die Exposition erheblich. Unternehmen, die ihre Compliance-Kosten am effektivsten kontrollierten, taten dies, indem sie begrenzten, wie weit ihre sensiblen Daten sich ausbreiten konnten.

Wenn KI immer leistungsfähiger wird, erwarten Sie, dass die Lücke in den Cybersicherheitsfähigkeiten größer oder kleiner wird? Welche Sicherheitsrollen werden wahrscheinlich wichtiger, und welche könnten zunehmend automatisiert werden?

Ich denke, dass die Lücke in den Cybersicherheitsfähigkeiten in der Komplexität größer, aber in der Menge kleiner wird. KI wird die routinehafte, repetitive Arbeit, die historisch von Junior-Analysten wie Log-Überprüfungen, grundlegender Dokumentation und einfacher Patching verbraucht hat, übernehmen. Das befreit Kapazitäten, aber es erhöht auch die Latte für das, was erfahrene Praktiker wissen müssen.

Die Rollen, die in Zukunft am wichtigsten sein werden, sind die, die sich auf Architektur und Governance konzentrieren: Fachleute, die resiliente Systeme entwerfen, die Sicherheit von KI-Pipelines selbst bewerten und eine schnell sich ändernde regulatorische Umgebung interpretieren können.

Secureframe hat sich von der Compliance-Automatisierung auf eine breitere Sicherheitsüberwachung und KI-gesteuerte Remediation ausgeweitet. Wo sehen Sie die Grenze zwischen Governance, Risikomanagement, Compliance und aktiver Cyber-Verteidigung beginnen, sich zu verwischen?

Diese Funktionen waren immer künstlich getrennt. In der Praxis sind sie alle Ausdrücke der gleichen Frage: Können Sie demonstrieren, dass Ihre Systeme das tun, was Sie sagen, dass sie tun?

Wenn ein automatisiertes System eine Sicherheitslücke in Echtzeit schließt, hat es gleichzeitig Ihre Risikolage aktualisiert, ein Governance-Ereignis protokolliert und Compliance-Beweise generiert. Der Wandel, den wir sehen, ist von punktueller Compliance zu kontinuierlichem Vertrauen, und KI ist zunehmend, wie dieses Vertrauen validiert wird. Nicht nur aufrechterhalten.

Wenn man in die Zukunft blickt, glauben Sie, dass wir uns einem Punkt nähern, an dem KI-Systeme für die Verteidigung kritischer Infrastrukturen mit minimaler menschlicher Intervention verantwortlich sein werden, oder wird menschliches Urteilsvermögen immer noch die ultimative Sicherheit gegen große Cyber-Angriffe sein?

Es wird immer beides erfordern, und die Führungs-Kultur wird bestimmen, wie gut jedes Element funktioniert.

Der ehemalige CISA-CIO Bob Costello machte diesen Punkt auf unserer Konferenz, als er beschrieb, wie SolarWinds das Bundesgespräch änderte: von der Behandlung von Compliance als einer Checkbox-Übung hin zu einem echten Verständnis der Echtzeit-Risikolage einer gesamten Umgebung. Diese Veränderung in der Denkweise ist es, was resilienten Organisationen von verletzlichen unterscheidet.

Die Unternehmen, die vorne liegen, wissen, wo ihre sensiblen Daten leben, bevor jemand fragt, haben manuelle Beweissammlung durch automatisierte Systeme ersetzt und haben eine Kultur aufgebaut, in der Sicherheitsverhaltensweisen in die tägliche Arbeit eingebettet sind, anstatt sie auf jährliche Schulungen zu beschränken. Für diejenigen, die in regulierten oder hochriskanten Umgebungen operieren, schließt sich das Fenster für eine allmähliche Modernisierung.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Secureframe besuchen.