Tom Findling, Co-Founder und CEO von Conifers – Interview-Serie

Tom Findling ist ein strategischer Führer mit einer nachweisbaren Erfolgsbilanz in den Bereichen Go-to-Market (GTM), Produkt und Data Science. Als ehemaliger Chief Customer Officer bei IntSights (übernommen von Rapid7) und später als Senior Director of Product bei Rapid7 bringt er eine einzigartige Mischung aus strategischer Vision und Umsetzung in die Führung von groß angelegten Operationen ein. Darüber hinaus hatte er GTM- und Produktrollen bei VMware und SUS inne.

Conifers bietet eine kognitive SOC-Plattform, die die Fähigkeiten von Sicherheitsoperationsteams durch die Integration mit bestehenden Tools, die Aufnahme der einzigartigen Daten und des Risikoprofils einer Organisation und die kontinuierliche Anpassung von Untersuchungsworkflows verbessert. Sie geht gemeinsame Herausforderungen wie übermäßige Alarmvolumina, begrenzte Sichtbarkeit in die SOC-Leistung und generische Ein-Größe-passt-für-alle-Systeme an, indem sie tiefergehende Untersuchungen ermöglicht, institutionelles Wissen modelliert und Rückkopplungsschleifen verwendet, um Genauigkeit zu verfeinern und Rauschen zu reduzieren. Die Plattform ist darauf ausgelegt, messbare Ergebnisse zu liefern, einschließlich einer dreifachen Rendite auf die Investition und einer 87-prozentigen Reduzierung der Untersuchungszeit.

Sie haben eine lange Karriere in der Cybersicherheit, von IntSights bis Rapid7 – welche Erfahrungen haben Sie letztendlich dazu gebracht, Conifers mitzubegründen, und welches Problem wollten Sie lösen?

Während meiner Karriere habe ich gesehen, wie Sicherheitsoperationsteams unter dem Druck von zu vielen Alarmen, Tools und dem Druck leiden. Bei IntSights habe ich beobachtet, wie schwierig es für Menschen war, auf die produzierte Intelligenz zu reagieren. Bei Rapid7 habe ich die Herausforderung angenommen, unser Team mit weniger Menschen für eine größere Kundenbasis zu skalieren, indem ich die Art und Weise, wie die Arbeit erledigt wurde, neu gestaltete und Data Science einsetzte, um die hochvolumigen Aufgaben zu bewältigen. Das war der Zeitpunkt, an dem ich begann zu glauben, dass die Führung eines Sicherheitsoperationsteams (SOC) auf traditionelle Weise nicht von Dauer sein würde. Conifers entstand aus unseren Bemühungen, dieses Skalierungsproblem zu lösen. Wir wollten eine Lösung entwickeln, die mit den ständig steigenden Volumina von Bedrohungen und Daten umgehen kann, ohne die Menschen auszubrennen. Also haben wir CognitiveSOC entwickelt, unsere Plattform für kognitive SOC-Agenten.

Conifers positioniert sich als “AI SOC-Verstärker”. Wie unterscheidet sich Ihre CognitiveSOC-Plattform von traditionellen SOC-Automatisierungstools?

Die meisten Automatisierungstools im SOC wurden auf der Grundlage statischer Playbooks entwickelt. Sie führen eine festgelegte Reihe von Schritten aus, aber versagen, wenn Angreifer auf unvorhersehbare Weise handeln oder wenn sich die Umgebung ändert. CognitiveSOC ist eine agente AI-Plattform, die lernen und sich an veränderte Umgebungen anpassen kann. Sie korreliert Daten, nutzt institutionelles Wissen und zieht Schlussfolgerungen, ohne jeden Schritt des Prozesses zu skripten. Die Plattform unterstützt Analysten, anstatt sie zu ersetzen, und wird durch Feedback und Lernen ständig stärker, anstatt dass sie manuelle Wartung erfordert. Diese ständige Steigerung der Fähigkeiten ist es, was sie zu einem wahren Verstärker macht.

SOC-Teams klagen oft über Alarmmüdigkeit und Burnout. Wie geht Conifers in praktischer Hinsicht auf diese Herausforderung ein?

CognitiveSOC geht die Alarmmüdigkeit an, indem es das Rauschen reduziert, bevor es einen Analysten erreicht. Es nimmt den ständigen Strom von Alarmen aus verschiedenen Tools und konsolidiert sie in Untersuchungen, die bereits den relevanten Kontext enthalten. Anstatt dass ein Analyst auf eine Flut von blinkenden Alarmen starrt, überprüft er eine viel kleinere Anzahl von Untersuchungen, die historischen Kontext, Beweise und wahrscheinliche Ursachen enthalten. Analysten können dann Informationen verdauen und Entscheidungen treffen, anstatt rohe Signale zu jagen, was half, die Müdigkeit und den Burnout zu verringern.

Vertrauen ist in der Cybersicherheit von entscheidender Bedeutung – wie baut Ihre human-in-the-loop-Ansatz Vertrauen in AI-getriebene Entscheidungsfindung auf?

Der Schlüssel zum Vertrauen liegt in Transparenz und Kontrolle. Analysten bleiben für das System verantwortlich und werden mit Empfehlungen und Erklärungen präsentiert, die sie bestätigen oder außer Kraft setzen und eine Bewertung vornehmen können. Im Laufe der Zeit, wenn sie sehen, dass das System genaue Entscheidungen trifft, können sie es dazu bringen, mehr Aktionen automatisch auszuführen. Dieser Ansatz ermöglicht es Teams, das System zu testen und zu korrigieren, während sie die Autorität in den Händen der Menschen behalten. Wir bauen Vertrauen und Akzeptanz auf, indem wir AI als Partner behandeln, der von Analysten lernt, anstatt als schwarze Box, die unerklärliche Entscheidungen trifft.

Ihre schrittweise Implementierungsstrategie ermöglicht eine allmähliche Einführung. Warum haben Sie sie auf diese Weise entworfen, und wie hilft sie Organisationen, den Widerstand gegen AI zu überwinden?

Wir wussten von Anfang an, dass der größte Hindernis für die Einführung das Vertrauen in die Übernahme von AI sein würde. Wenn Sie in ein SOC kommen und dem Team sagen, dass es seine Operationen an ein AI-System übergeben soll, wird die Antwort nein sein. Indem wir die Einführung in Schritte unterteilen, ermöglichen wir es Organisationen, mit einer begrenzten Anzahl von Anwendungsfällen zu beginnen und sie im Laufe der Zeit zu skalieren. Jeder Schritt demonstriert den Wert und baut Vertrauen auf, was den nächsten Schritt einfacher macht. Dieser allmähliche Pfad baut Vertrauen auf, ersetzt Zögern durch Beweise und stellt sicher, dass Teams sich in der Kontrolle fühlen.

Metriken sind ein wichtiger Teil der Wertbeweis in der Sicherheit. Welche KPIs sollten Organisationen verfolgen, um den Fortschritt in Richtung eines autonomen SOC zu messen?

Die wichtigsten Maßnahmen sind die Geschwindigkeit der Erkennung, Reaktion und Behebung sowie die Qualität und das Verhältnis von rohen Alarmen zu sinnvollen, kontextbezogenen Untersuchungen. Ein weiterer Maßstab ist, wie viel Arbeitslast das System ohne menschliche Beteiligung übernehmen kann. Diese Indikatoren zeigen, ob das SOC effizienter wird, ob Analysten in die Lage versetzt werden, sich auf höherwertige Arbeit zu konzentrieren, und ob die Organisation näher an ein Modell kommt, in dem AI die Hauptarbeit übernimmt. Die Verfolgung dieser Zahlen liefert klare Beweise für den Fortschritt.

Conifers betont die Integration mit bestehenden Incident-Management-Systemen. Warum war die Nicht-Unterbrechung ein so wichtiger Entwurfsgrundsatz?

Sicherheitsteams haben erheblich in ihre Tools und Prozesse investiert. Die meisten bestehenden Technologien erfordern, dass SOC-Teams “kontextwechseln” und zu einem anderen Tool wechseln, um Alarme zu überprüfen und zu lösen. Wir entfernen diese Reibung, indem wir die Analysten dort treffen, wo sie sind, in den Tools, mit denen sie bereits arbeiten.

Was sehen Sie als den schrittweisen Pfad von heute semi-automatisierten SOCs zu einer Zukunft, in der AI-Agenten mehr Autorität über Tools und Daten haben?

Der Pfad zu einem autonomen SOC beginnt mit der Ergänzung, bei der AI Alarme analysiert und untersucht, während menschliche Aufsicht besteht. Von dort aus bewegen sich Organisationen in die Delegation, bei der das System mehr und mehr Anwendungsfälle autonom handhaben kann. Die letzte Stufe ist die vollständige Autonomie, wenn AI-Agenten vertrauenswürdig sind, um Erkennung und Reaktion über Umgebungen hinweg zu verwalten, während Menschen die Strategie leiten und einzigartige Situationen handhaben. Heute sind die meisten Teams noch in der Ergänzungsphase mit einigen frühen Delegationsphasen, aber das Vertrauen in die Übernahme von Routine-Szenarien wächst schnell und wird den Grundstein für die vollständige Autonomie legen.

Wenn wir in fünf Jahren vorausblicken, wie erwarten Sie, dass sich SOC-Operationen im Laufe der Zeit entwickeln, wenn AI reift – sowohl in Bezug auf Technologie als auch auf die Rolle des Analysten?

In fünf Jahren werden SOCs auf Systemen basieren, die eher wie autonome Agenten als Dashboards aussehen. Diese Agenten werden Bedrohungen erkennen, reagieren und anpassen und auch Richtlinien und Wissen in Echtzeit über Organisationen hinweg teilen. Wenn diese Fähigkeit reift, wird sich die Rolle des Analysten zu Überwachung, Strategie und komplexen Untersuchungen verschieben. Die Arbeit wird weniger darum gehen, endlose Alarme zu löschen, und mehr darum, Expertenwissen dort einzusetzen, wo es den größten Einfluss hat. Das Ergebnis wird ein SOC sein, das sich weniger wie ein Callcenter und mehr wie ein Missionskontrollraum anfühlt.

Vielen Dank für das großartige Interview, Leser, die mehr erfahren möchten, sollten Conifers besuchen.