Σαμ Κινγκ, Διευθύνων Σύμβουλος της Veracode – Σειρά Συνεντεύξεων

Ο Σαμ Κινγκ είναι ο Διευθύνων Σύμβουλος της Veracode και αναγνωρισμένος εμπειρογνώμων στη διοίκηση επιχειρήσεων και την κυβερνοασφάλεια. Ως ιδρυτικό μέλος της Veracode, ο Σαμ έχει διαδραματίσει σημαντικό ρόλο στην πορεία της εταιρείας τα τελευταία 17 χρόνια, βοηθώντας στην ωρίμανση της από μια μικρή εταιρεία σε μια εταιρεία με αξία πάνω από 2,5 δισεκατομμύρια δολάρια.

Η Veracode είναι μια εταιρεία ασφάλειας εφαρμογών. Ιδρυθείσα το 2006, παρέχει ασφάλεια εφαρμογών SaaS που ενσωματώνει την ανάλυση εφαρμογών στις διαδικασίες ανάπτυξης.

Έχετε εμπλακεί στην κυβερνοασφάλεια για πάνω από 2 δεκαετίες, τι σας έκανε να ενδιαφερθείτε για τον κλάδο;

Το ενδιαφέρον μου για την κυβερνοασφάλεια δεν ήρθε μέχρι αρκετά χρόνια μετά την έναρξη της καριέρας μου στην τεχνολογία. Εργάστηκα σε υπολογιστές και τεχνολογία για πολύ καιρό και γύρω στο 2000 κάποιος που γνώριζα ίδρυσε μια εταιρεία κυβερνοασφάλειας και με邀σε να την ενταχθώ. Προηγουμένως, δεν είχα πολλές γνώσεις για την κυβερνοασφάλεια, αλλά μια φορά που ενεπλάκηκα, το υπόλοιπο είναι ιστορία.

Ξεκινήσατε την καριέρα σας στη Veracode ως VP της Παροχής Υπηρεσιών το 2006 και από τότε εργαστείτε μέχρι τον Διευθύνοντα Σύμβουλο. Ποια είναι κάποια βασικά συμπεράσματα από αυτή την εμπειρία;

Νιώθω τυχερός που ήμουν σε αυτό το ταξίδι. Έχω εργαστεί σχεδόν σε κάθε λειτουργία της Veracode κατά τη διάρκεια των 17 ετών μου στην εταιρεία και το βασικό συμπέρασμα για μένα είναι ότι η ανάπτυξη μιας επιτυχημένης επιχείρησης είναι -πάνω από όλα- ένα ομαδικό άθλημα. Προοδεύοντας από τον VP της Παροχής Υπηρεσιών στο Διευθύνοντα Σύμβουλο, έμαθα ότι δεν είναι ένα άτομο, αλλά το συνδετικό ιστό και οι συλλογικές προσπάθειες σε όλη την οργάνωση που καθορίζουν την ταχύτητα και το μέγεθος των επιτευγμάτων σας. Επίσης, απέκτησα συμπόνια για τις απαιτήσεις των διαφορετικών ρόλων, έχοντας να εκτελέσω hầuчески όλους τους ρόλους από τις μέρες μας πριν από το έσοδο μέχρι την παγκόσμια οργάνωση που είμαστε τώρα.

Η Veracode οραματίζεται ένα κόσμο όπου το λογισμικό αναπτύσσεται ασφαλώς από την αρχή. Μπορείτε να συζητήσετε γιατί οι επιχειρήσεις πρέπει να ενσωματώσουν την ασφάλεια εφαρμογών νωρίς στη ζωτική διαδικασία ανάπτυξης λογισμικού;

Το λογισμικό είναι το υποκείμενο της οργάνωσης και οι επιχειρήσεις πρέπει να καταλάβουν ότι η ενσωμάτωση της ασφάλειας εφαρμογών νωρίς στη ζωτική διαδικασία ανάπτυξης λογισμικού (SDLC) δεν είναι μόνο το σωστό πράγμα να κάνετε, αλλά είναι επίσης το έξυπνο πράγμα να κάνετε. Το κόστος της αναμονής για να ανακαλυφθούν και να διορθωθούν οι αδυναμίες στα μεταγενέστερα στάδια του SDLC ή μετά την εφαρμογή έχει κυκλοφορήσει είναι εξαιρετικά υψηλό. Σύμφωνα με το NIST, είναι 30 φορές το κόστος για να διορθωθούν οι αδυναμίες στην παραγωγή παρά νωρίτερα. Επιπλέον, δημιουργεί μια εκνευριστική εμπειρία για τους dévelopερ όταν προσπαθούν να πάρουν λειτουργικότητα στην αγορά και οι ελέγχοι ασφαλείας κρατούν την διαδικασία. Η ιδανική διαδικασία περιλαμβάνει δοκιμές στο IDE και την πιπελίνα CI/CD. Η ίδια η διαδικασία ανάπτυξης κώδικα γίνεται η διαδικασία ανάπτυξης ασφαλούς κώδικα όταν οι ελέγχοι ασφαλείας και η διόρθωση ενσωματώνονται βαθιά στην αλυσίδα εργαλείων του SDLC.

Η Veracode βοηθά τις επιχειρήσεις να κατασκευάσουν και να εκτελέσουν προγράμματα AppSec και DevSecOps. Για τους αναγνώστες που δεν είναι εξοικειωμένοι με αυτούς τους όρους, θα μπορούσατε να τους ορίσετε για μας;

Το AppSec είναι συντομογραφία του “ασφάλεια εφαρμογών” και αναφέρεται στα εργαλεία, τις πολιτικές και τις πρακτικές που μπορούν να χρησιμοποιηθούν για την ανάπτυξη ενός προγράμματος που εξασφαλίζει ότι ο κώδικας είναι ασφαλής σε εσωτερικές ανάπτυξεις λογισμικού καθώς και σε εφαρμογές τρίτων, ανοιχτό κώδικα και τη διαδικασία εφοδιασμού λογισμικού. Το DevSecOps, επίσης γνωστό ως “ασφαλής DevOps”, είναι η στάση ότι η ασφάλεια ενσωματώνεται σε όλη τη διαδικασία SDLC, από τις απαιτήσεις μέχρι το σχεδιασμό, την κωδικοποίηση, τις δοκιμές, την έκδοση και την ανάπτυξη. Ουσιαστικά, αυτό σημαίνει ότι όλοι οι εμπλεκόμενοι στην ανάπτυξη λογισμικού είναι υπεύθυνοι για την ασφάλεια εφαρμογών. Τα δύο πηγαίνουν χέρι-χέρι, καθώς μοιράζονται τον στόχο της λήψης καλύτερων αποφάσεων ασφαλείας και της παράδοσης ασφαλέστερου λογισμικού με μεγαλύτερη ταχύτητα και αποδοτικότητα.

Μπορείτε να συζητήσετε κάποιες από τις διαφορετικές λύσεις που προσφέρονται, όπως η Veracode SAST, η Veracode SCA και η Veracode DAST;

Η στατική ανάλυση της Veracode (SAST), η οποία ενσωματώνει την ασφάλεια σε όλη τη διαδικασία SDLC, έτσι ώστε οι dévelopερ να μπορούν να γράψουν ασφαλή κώδικα στο περιβάλλον ανάπτυξης (IDE), αυτοματοποιεί τις σαρώσεις στην πιπελίνα CI/CD και εξασφαλίζει την συμμόρφωση με τις πολιτικές πριν από την ανάπτυξη. Βοηθά στην διαχείριση του κινδύνου σαρώνοντας τον κώδικα και βρίσκοντας ελαττώματα – και στη συνέχεια διορθώνει τις εύρεσεις και δίνει στους dévelopερ контекστοποιημένες οδηγίες για να προτεραιοποιήσουν την προσπάθεια, να διορθώσουν κρίσιμες αδυναμίες και να μειώσουν τον κίνδυνο.

Η ανάλυση σύνθεσης λογισμικού της Veracode (SCA) αυτοματοποιεί την εύρεση όλων των στοιχείων που συνθέτουν μια εφαρμογή και συνιστά ενέργειες για τη διαχείριση του κινδύνου μέσα σε αυτά. Οι ικανότητες μηχανικής μάθησης και αυτόματης διόρθωσης της SCA συνιστώνται διορθώσεις – με στόχο να γίνει αυτό με την ελάχιστη δυνατή διακοπή της παραγωγής.

Τέλος, Η δυναμική ανάλυση (DAST) είναι το μέρος της πλατφόρμας έξυπνης ασφάλειας λογισμικού της Veracode που επιτρέπει στις ομάδες ασφαλείας να ανακαλύψουν επιφάνειες επίθεσης που δεν γνώριζαν, να βρουν αδυναμίες σε περιβάλλοντα εκτέλεσης και να λάβουν μια ολοκληρωμένη εικόνα της στάσης ασφαλείας των web εφαρμογών και API τους.

Στις 18 Απριλίου 2023, η Veracode εισήγαγε την έξυπνη ασφάλεια λογισμικού με την εκκίνηση της Veracode Fix, einem εργαλείου που αξιοποιεί τη δύναμη της τεχνολογίας GPT (Γεννήτρια Προ-εκπαίδευσης). Γιατί ήταν η GPT μια τόσο σημαντική καινοτομία στην κυβερνοασφάλεια;

Οι ομάδες ανάπτυξης λογισμικού και ασφαλείας έχουν τρέχει για να παραμείνουν στην ίδια θέση. Για χρόνια, η ασφάλεια λογισμικού έχει περιστραφεί γύρω από τις δοκιμές για να βρεθούν προβλήματα, αλλά για κάθε πρόβλημα που βρέθηκε, υπάρχει μια χειροκίνητη εργασία για να διορθωθεί. Οι dévelopερ συχνά καλούνται να δαπανήσουν χρόνο που δεν έχουν, για να διορθώσουν προβλήματα ασφαλείας που δεν καταλαβαίνουν, σε κώδικα που δεν δημιούργησαν… μόνο για να βρουν ότι κατά τη διάρκεια του χρόνου που χρειάζεται για να διορθωθεί ένα πρόβλημα, δύο άλλα δημιουργούνται αλλού. Η ανάγκη για μετασχηματισμό είναι προφανής.

Η Veracode Fix παρέχει αυτή τη μετασχηματισμό, μετατοπίζοντας το παράδειγμα από την εύρεση σε διόρθωση και σηματοδοτώντας την έναρξη της έξυπνης ασφάλειας λογισμικού. Αξιοποιώντας τη δύναμη της τεχνολογίας искусственного νοημοσύνης (AI) για να δημιουργήσει αυτόματα διορθώσεις για ασφαλή λογισμικό, η Veracode Fix φέρνει τελικά την αυτοματοποίηση στη διόρθωση ελαττωμάτων και επαναισορροπεί το τοπίο ασφαλείας λογισμικού. Σε αντίθεση με τα περισσότερα εργαλεία κωδικοποίησης AI, η Veracode Fix δεν εκπαιδεύτηκε σε ανοιχτό κώδικα ή κώδικα στο άγριο και δεν χρησιμοποιεί ή διατηρεί δεδομένα πελατών για να εκπαιδεύσει το μοντέλο.

Αντίθετα, εκπαιδεύσαμε την Veracode Fix σε ένα ιδιωτικό, επιμελημένο σύνολο δεδομένων με επιβλέπουσα μάθηση και ευθυγράμμιση από την ομάδα μας από κορυφαίους ερευνητές ασφαλείας και συμβούλους ασφαλείας εφαρμογών για να παραδώσουμε την συσσωρευμένη εμπειρία και την εμπειρογνωσία της Veracode σε μια απλή, ισχυρή εμπειρία: η δύναμη της Veracode στα χέρια σας.

Το εργαλείο Veracode Fix μετατοπίζει το παράδειγμα από την AI που απλώς αναγνωρίζει προβλήματα σε διόρθωση προβλημάτων. Μπορείτε να συζητήσετε κάποιες από τις πλεονεκτήματα κλιμάκωσης που προσφέρει;

Οι οργανισμοί έχουν πρέπει να επιλέξουν μεταξύ της διόρθωσης προβλημάτων ασφαλείας λογισμικού και της επίτευξης των απαιτητικών προθεσμιών για να推 đẩy τον κώδικα στην παραγωγή. Με τη δύναμη της AI και του ιδιωτικού συνόλου δεδομένων της Veracode, η Veracode Fix σώζει χρόνο στους dévelopερς, επιτρέποντάς τους να γράψουν ασφαλέστερο κώδικα, γρήγορα. Αυτό σημαίνει ότι τα προβλήματα που θα χρειαζόταν ώρες για να διορθωθούν και θα διαρκούσαν μήνες μπορούν τώρα να διορθωθούν σε λεπτά. Το πλεονέκτημα κλιμάκωσης είναι σαφές – οι dévelopερ μπορούν τώρα να δημιουργήσουν περισσότερο λογισμικό γρήγορα και έτσι να καινοτομήσουν ασφαλώς.

Πόση ανθρώπινη παρέμβαση χρειάζεται πριν από μια διόρθωση προβλήματος και πού στη διαδικασία εμπλέκονται οι άνθρωποι σε αυτό το είδος κυβερνοασφάλειας;

Παρά την αυτοματοποίηση στη διαδικασία ανάπτυξης λογισμικού, η διόρθωση προβλημάτων ασφαλείας – ιδιαίτερα σε κώδικα πρώτης τάξης – έχει βασιστεί αποκλειστικά σε χειροκίνητη προσπάθεια από τους dévelopερς που είναι υπερφορτωμένοι και χωρίς υποστήριξη. Μέχρι τώρα.

Η Veracode Fix χρησιμοποιεί μηχανική μάθηση για να δημιουργήσει προτεινόμενες διορθώσεις που οι dévelopερ μπορούν να αναθεωρήσουν και να εφαρμόσουν χωρίς να γράψουν κανέναν κώδικα.

Είναι σημαντικό να σημειωθεί ότι η Veracode Fix δεν διορθώνει αυτόματα τον κώδικα, αλλά προτείνει διορθώσεις. Ο dévelopερ στη συνέχεια αναθεωρεί και εφαρμόζει τις διορθώσεις χωρίς να γράψει κανέναν κώδικα. Αυτό σώζει χρόνο στους dévelopερ, επιταχύνει την ασφαλή ανάπτυξη και κάνει δυνατή τη διαχείριση του κινδύνου και την πληρωμή του χρέους ασφαλείας σε κλίμακα με λιγότερη προσπάθεια και κόστος.

Υπάρχει κάτι άλλο που θα θέλατε να μοιραστείτε σχετικά με την Veracode;

Η τεχνολογία εξελίσσεται συνεχώς και η Veracode εξελίσσεται επίσης, αλλά ο στόχος έχει παραμείνει ο ίδιος από το 2006: να ασφαλίσει το λογισμικό σε κλίμακα. Όπως η Veracode πρωτοπόρησε την AppSec πριν από περισσότερα από 17 χρόνια, τώρα πρωτοπόρησε την έξυπνη ασφάλεια λογισμικού. Τα προϊόντα και οι καινοτομίες μας, όπως η Veracode Fix, είναι ένα τεκμήριο αυτού.

Η Veracode ιδρύθηκε από τον Κρις Γουίσοπαλ, einem πρώην white hat hacker που μετατράπηκε σε επιρροή στην κυβερνοπολιτική. Το 1998, ως μέρος της ομάδας хакερ L0pht, ο Κρις έδωσε μαρτυρία ενώπιον μιας επιτροπής της Γερουσίας των Ηνωμένων Πολιτειών που διερευνούσε κυβερνητικά ζητήματα κυβερνοασφάλειας, λέγοντας ότι οι κυβερνοπαραγωγοί πρέπει να κάνουν καλύτερα – πρέπει να ιδιοποιηθούν το πρόβλημα.

Από την ίδρυσή της, η Veracode έχει εξελιχθεί από μια=start-up σε μια παγκόσμια επιχείρηση με περισσότερους από 2.600 πελάτες – και τι θαυμάσιο ταξίδι έχει sido να το παρακολουθήσω να ξετυλίγεται όλα αυτά τα χρόνια. Αυτό οφείλεται στην δέσμευσή μας να βοηθούμε τους πελάτες μας με τις μεγαλύτερες προκλήσεις: την ενσωμάτωση της ασφαλείας στη διαδικασία SDLC, την κατασκευή της ικανότητας ασφαλείας των dévelopερ, την προστασία της αλυσίδας εφοδιασμού λογισμικού, τη διαχείριση του κινδύνου επιφάνειας επίθεσης web εφαρμογών και την ασφάλεια της ανάπτυξης εφαρμογών cloud-γενικής. Είμαστε ένας ηγέτης 10Χ στο Magic Quadrant της Gartner για τον έλεγχο ασφαλείας εφαρμογών – μια από τις πιο sâuτικές αξιολογήσεις της βιομηχανίας μας – και έχουμε λάβει πολλά βραβεία της βιομηχανίας τα τελευταία χρόνια.

Ένα πεδίο που είμαστε ιδιαίτερα υπερήφανοι είναι η κουλτούρα που έχουμε καλλιεργήσει καθ’ όλη τη διάρκεια της ιστορίας μας. Τον τελευταίο χρόνο, η Veracode ονομάστηκε ένα από τα Top Places to Work από την εφημερίδα The Boston Globe και ένα από τα Top Workplaces USA από την Energage. Ηταν τιμή και ταπείνωση να λάβουμε αυτές τις διακρίσεις, επειδή υπερηφανεύομαστε για μια κουλτούρα που προάγει το ταλέντο και ενεργοποιεί τους υπαλλήλους να επιτύχουν το καλύτερο τους.

Ευχαριστώ για τη μεγάλη συνέντευξη, οι αναγνώστες που επιθυμούν να μάθουν περισσότερα μπορούν να επισκεφθούν την Veracode.