Tom Findling, Co-Founder und CEO von Conifers – Interview-Serie

Tom Findling ist ein strategischer Führer mit einem nachweisbaren Erfolgsrekord in go-to-market (GTM), Produkt und Data Science. Nachdem er als Chief Customer Officer bei IntSights (erworben von Rapid7) und anschließend als Senior Director of Product bei Rapid7 tätig war, bringt er eine einzigartige Mischung aus strategischer Vision und Umsetzung bei der Leitung von groß angelegten Operationen mit. Zusätzlich leitete er GTM- und Produktrollen bei VMware und SUS.

Conifers bietet eine künstliche Intelligenz-gestützte CognitiveSOC-Plattform, die die Fähigkeiten von Sicherheitsoperationszentren durch die Integration mit bestehenden Tools, die Aufnahme der einzigartigen Daten und des Risikoprofils einer Organisation und die kontinuierliche Anpassung von Untersuchungsworkflows verbessert. Sie geht gemeinsame Herausforderungen wie übermäßige Alarmvolumina, begrenzte Sichtbarkeit in die SOC-Leistung und generische Ein-Größe-passt-für-alle-Systeme an, indem sie tiefergehende Untersuchungen ermöglicht, institutionelles Wissen modelliert und Rückkopplungsschleifen verwendet, um die Genauigkeit zu verfeinern und Störungen zu reduzieren. Die Plattform ist darauf ausgelegt, messbare Ergebnisse zu liefern, einschließlich einer dreifachen Rendite auf die Investition und einer 87-prozentigen Reduzierung der Untersuchungszeit.

Sie haben eine lange Karriere in der Cybersicherheit, von IntSights bis Rapid7 – welche Erfahrungen haben Sie letztendlich dazu geführt, Conifers mitzubegründen, und welches Problem wollten Sie lösen?

Während meiner Karriere habe ich gesehen, wie Sicherheitsoperations-Teams unter dem Druck von zu vielen Alarmen, Tools und Druck leiden. Bei IntSights habe ich beobachtet, wie schwierig es für Menschen war, auf die produzierte Intelligenz zu reagieren. Bei Rapid7 habe ich die Herausforderung angenommen, unser Team mit weniger Menschen zu skalieren, um eine größere Kundenbasis zu unterstützen, indem ich die Arbeitsweise neu gestaltete und Data Science zur Bewältigung der hochvolumigen Aufgaben einsetzte. Das war der Zeitpunkt, an dem ich begann zu glauben, dass die traditionelle Ausführung eines Sicherheitsoperationszentrums (SOC) nicht von Dauer sein würde. Conifers entstand aus unseren Bemühungen, dieses Skalierungsproblem zu lösen. Wir wollten eine Lösung entwickeln, die mit den immer größeren Volumina von Bedrohungen und Daten umgehen kann, ohne die Menschen auszubrennen. Wir haben also CognitiveSOC, unsere AI-SOC-Agents-Plattform, entwickelt.

Conifers positioniert sich als “AI-SOC-Force-Multiplier”. Wie unterscheidet sich Ihre CognitiveSOC-Plattform von traditionellen SOC-Automatisierungstools?

Die meisten Automatisierungstools im SOC wurden auf der Grundlage statischer Playbooks entwickelt. Sie führen eine festgelegte Reihe von Schritten aus, aber versagen, wenn Angreifer auf unvorhersehbare Weise handeln oder wenn sich die Umgebung ändert. CognitiveSOC ist eine agente AI-Plattform, die lernen und sich an veränderte Umgebungen anpassen kann. Sie korreliert Daten, nutzt institutionelles Wissen und zieht Schlussfolgerungen, ohne jeden Schritt des Prozesses zu skripten. Die Plattform unterstützt Analysten, anstatt sie zu ersetzen, und wird durch Rückkopplung und Lernen kontinuierlich stärker, anstatt eine manuelle Wartung zu erfordern. Diese ständige Steigerung der Fähigkeiten ist es, was sie zu einem wahren Force-Multiplier macht.

SOC-Teams klagen oft über Alarmmüdigkeit und Burnout. Wie geht Conifers in praktischer Hinsicht auf diese Herausforderung ein?

CognitiveSOC geht die Alarmmüdigkeit an, indem es das Rauschen reduziert, bevor es den Analysten erreicht. Es konsolidiert die ständige Flut von Alarmen aus verschiedenen Tools in Untersuchungen, die bereits den relevanten Kontext enthalten. Anstatt dass ein Analyst auf eine riesige Menge blinkender Alarme starrt, überprüft er eine viel kleinere Menge an Untersuchungen, die historischen Kontext, Beweise und wahrscheinliche Ursachen enthalten. Analysten können dann Informationen verdauen und Entscheidungen treffen, anstatt rohe Signale zu jagen, was hilft, Ermüdung und Burnout zu verringern.

Vertrauen ist in der Cybersicherheit von entscheidender Bedeutung – wie baut Ihr human-in-the-loop-Ansatz Vertrauen in AI-gesteuerte Entscheidungsfindung auf?

Der Schlüssel zum Vertrauen ist Transparenz und Kontrolle. Analysten bleiben für das System verantwortlich und werden mit Empfehlungen und Erklärungen präsentiert, die sie bestätigen oder außer Kraft setzen und eine Bewertung vornehmen können. Im Laufe der Zeit, wenn sie sehen, dass das System genaue Entscheidungen trifft, können sie es dazu bringen, mehr Aktionen automatisch auszuführen. Dieser Ansatz ermöglicht es Teams, das System zu testen und zu korrigieren, während sie die Autorität in den Händen der Menschen behalten. Wir bauen Vertrauen und Akzeptanz auf, indem wir AI als Partner behandeln, der von Analysten lernt, anstatt als schwarze Box, die unerklärliche Entscheidungen trifft.

Ihre schrittweise Implementierungsstruktur ermöglicht eine allmähliche Einführung. Warum haben Sie sie auf diese Weise entworfen, und wie hilft sie Organisationen, Widerstand gegen AI zu überwinden?

Wir wussten von Anfang an, dass die größte Hürde für die Akzeptanz das Vertrauen in die Übernahme von AI sein würde. Wenn Sie in ein SOC kommen und dem Team sagen, dass es seine Operationen an ein AI-System übergeben soll, lautet die Antwort Nein. Durch die Aufteilung der Einführung in Stufen ermöglichen wir es Organisationen, klein anzufangen und mit einer begrenzten Anzahl von Anwendungsfällen zu beginnen und diese im Laufe der Zeit zu skalieren. Jede Stufe demonstriert den Wert und baut Vertrauen auf, was die nächste Stufe leichter akzeptabel macht. Dieser schrittweise Pfad baut Vertrauen auf, ersetzt Zögern durch Beweise und stellt sicher, dass Teams sich in der Kontrolle fühlen.

Metriken sind ein wichtiger Teil der Bewertung des Wertes in der Sicherheit. Welche KPIs sollten Organisationen verfolgen, um den Fortschritt in Richtung eines autonomen SOC zu messen?

Die wichtigsten Maßnahmen sind die Geschwindigkeit der Erkennung, Reaktion und Behebung sowie die Qualität und das Verhältnis von rohen Alarmen zu sinnvollen, kontextbezogenen Untersuchungen. Ein weiterer Maßstab ist, wie viel Arbeitslast das System ohne menschliche Beteiligung übernehmen kann. Diese Indikatoren zeigen, ob das SOC effizienter wird, ob Analysten in die Lage versetzt werden, sich auf höherwertige Arbeiten zu konzentrieren, und ob die Organisation sich einem Modell nähert, in dem AI die Hauptlast übernimmt. Die Verfolgung dieser Zahlen liefert klare Beweise für den Fortschritt.

Conifers betont die Integration mit bestehenden Incident-Management-Systemen. Warum war die Nicht-Unterbrechung ein so wichtiger Entwurfsgrundsatz?

Sicherheitsteams haben erheblich in ihre Tools und Prozesse investiert. Die meisten bestehenden Technologien erfordern, dass SOC-Teams “kontextwechseln” und zu einem anderen Tool wechseln, um Alarme zu überprüfen und zu lösen. Wir entfernen diese Reibung, indem wir die Analysten dort treffen, wo sie sind, in die Tools, mit denen sie bereits arbeiten.

Was sehen Sie als den schrittweisen Pfad von heute semi-automatisierten SOCs zu einer Zukunft, in der AI-Agents mehr Autorität über Tools und Daten haben?

Der Pfad zu einem autonomen SOC beginnt mit der Ergänzung, bei der AI Alarme analysiert und untersucht, während der Mensch die Aufsicht führt. Von dort aus bewegen sich Organisationen in die Delegation, bei der das System mehr und mehr Anwendungsfälle autonom behandeln kann. Die letzte Stufe ist die vollständige Autonomie, wenn AI-Agents vertrauenswürdig sind, um Erkennung und Reaktion über Umgebungen hinweg zu verwalten, während Menschen die Strategie leiten und einzigartige Situationen behandeln. Heute sind die meisten Teams noch in der Ergänzungsphase mit einigen frühen Delegationsphasen, aber das Wohlwollen, routinierte Szenarien zu übertragen, wächst schnell und wird den Grundstein für die vollständige Autonomie legen.

Blicken Sie fünf Jahre voraus, wie erwarten Sie, dass SOC-Operationen sich mit der Reife von AI – sowohl in Bezug auf Technologie als auch auf die Rolle des Analysten – entwickeln?

In fünf Jahren werden SOCs auf Systemen basieren, die eher wie autonome Agenten als Dashboards aussehen. Diese Agenten werden Bedrohungen erkennen, reagieren und anpassen und auch Richtlinien anpassen und Wissen zwischen Organisationen in Echtzeit teilen. Wenn diese Fähigkeit heranreift, wird sich die Rolle des Analysten zu Überwachung, Strategie und komplexen Untersuchungen verschieben. Die Arbeit wird weniger darum gehen, endlose Alarme zu klären, und mehr darum, Expertenwissen dort einzusetzen, wo es den größten Einfluss hat. Das Ergebnis wird ein SOC sein, das sich weniger wie ein Callcenter und mehr wie ein Missionskontrollraum anfühlt.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Conifers besuchen.