Σαμ Κινγκ, Διευθύνων Σύμβουλος της Veracode – Σειρά Συνεντεύξεων

Ο Σαμ Κινγκ είναι ο Διευθύνων Σύμβουλος της Veracode και αναγνωρισμένος εμπειρογνώμων στη διοίκηση επιχειρήσεων και την κυβερνοασφάλεια. Ως ιδρυτικό μέλος της Veracode, ο Σαμ έχει διαδραματίσει σημαντικό ρόλο στην πορεία της εταιρείας τα τελευταία 17 χρόνια, βοηθώντας στην ωρίμανση της από μια μικρή εταιρεία σε μια εταιρεία με αξία πάνω από 2,5 δισεκατομμύρια δολάρια.

Η Veracode είναι μια εταιρεία ασφάλειας εφαρμογών. Ιδρυθείσα το 2006, παρέχει ασφάλεια εφαρμογών SaaS που ενσωματώνει την ανάλυση εφαρμογών στις διαδικασίες ανάπτυξης.

Έχετε εμπλακεί στην κυβερνοασφάλεια για πάνω από 2 δεκαετίες, τι σας έκανε να ενδιαφερθείτε για τον κλάδο;

Το ενδιαφέρον μου για την κυβερνοασφάλεια δεν ήρθε μέχρι αρκετά χρόνια μετά την έναρξη της καριέρας μου στην τεχνολογία. Εργάστηκα σε υπολογιστές και τεχνολογία για πολύ καιρό και γύρω στο 2000 κάποιος που γνώριζα ίδρυσε μια εταιρεία κυβερνοασφάλειας και με προσκάλεσε να ενταχθώ σε αυτήν. Προηγουμένως, δεν είχα πολλές γνώσεις για την κυβερνοασφάλεια, αλλά μια φορά που ενεπλάκηκα, το υπόλοιπο είναι ιστορία.

Ξεκινήσατε την καριέρα σας στη Veracode ως VP της Παροχής Υπηρεσιών το 2006 και έκτοτε εξελιχθήκατε μέχρι τη θέση του Διευθύνοντος Συμβούλου. Ποια είναι κάποια βασικά συμπεράσματα από αυτή την εμπειρία;

Νιώθω τυχερός που ήμουν σε αυτό το ταξίδι. Έχω εργαστεί σχεδόν σε κάθε λειτουργία της Veracode κατά τη διάρκεια των 17 ετών μου στην εταιρεία και το βασικό συμπέρασμα για μένα είναι ότι η ανάπτυξη μιας επιτυχημένης επιχείρησης είναι -πάνω από όλα- ένα ομαδικό άθλημα. Προοδεύοντας από τον VP της Παροχής Υπηρεσιών στο Διευθύνοντα Σύμβουλο, έμαθα ότι δεν είναι ένα άτομο, αλλά ο συνδετικός ιστός και οι συλλογικές προσπάθειες σε όλη την οργάνωση που καθορίζουν την ταχύτητα και το μέγεθος των επιτευγμάτων σας. Επίσης, απέκτησα συμπόνια για τις απαιτήσεις των διαφορετικών ρόλων, έχοντας να εκτελέσω σχεδόν όλους τους ρόλους από τις μέρες μας πριν αποκτήσουμε έσοδα μέχρι την παγκόσμια οργάνωση που είμαστε τώρα.

Η Veracode οραματίζεται ένα κόσμο όπου το λογισμικό αναπτύσσεται ασφαλώς από την αρχή. Μπορείτε να συζητήσετε γιατί οι επιχειρήσεις πρέπει να ενσωματώσουν την ασφάλεια εφαρμογών νωρίς στον κύκλο ζωής ανάπτυξης λογισμικού;

Το λογισμικό αποτελεί τη θεμελιώδη υποδομή των οργανισμών και οι επιχειρήσεις πρέπει να καταλάβουν ότι η ενσωμάτωση της ασφάλειας εφαρμογών νωρίς στον κύκλο ζωής ανάπτυξης λογισμικού (SDLC) δεν είναι μόνο το σωστό πράγμα να κάνετε, αλλά είναι επίσης το έξυπνο πράγμα να κάνετε. Το κόστος της αναμονής για να ανακαλυφθούν και να διορθωθούν οι αδυναμίες στα μεταγενέστερα στάδια του SDLC ή αφού η εφαρμογή έχει κυκλοφορήσει είναι εξαιρετικά υψηλό. Σύμφωνα με το NIST, το κόστος διόρθωσης αδυναμιών σε παραγωγική λειτουργία είναι 30 φορές μεγαλύτερο από ό,τι στα προηγούμενα στάδια. Επιπλέον, δημιουργεί μια εκνευριστική εμπειρία για τους προγραμματιστές όταν προσπαθούν να πάρουν λειτουργικότητα στην αγορά και οι ελέγχοι ασφαλείας καθυστερούν τη διαδικασία. Η ιδανική διαδικασία περιλαμβάνει δοκιμές στο IDE και την ροή εργασιών CI/CD. Η ίδια η διαδικασία ανάπτυξης κώδικα γίνεται η διαδικασία ανάπτυξης ασφαλούς κώδικα όταν οι ελέγχοι ασφαλείας και η διόρθωση ενσωματώνονται βαθιά στην αλυσίδα εργαλείων του SDLC.

Η Veracode βοηθά τις επιχειρήσεις να κατασκευάσουν και να εκτελέσουν προγράμματα AppSec και DevSecOps. Για τους αναγνώστες που δεν είναι εξοικειωμένοι με αυτούς τους όρους, θα μπορούσατε να τους ορίσετε για μας;

Το AppSec είναι συντομογραφία του “ασφάλεια εφαρμογών” και αναφέρεται στα εργαλεία, τις πολιτικές και τις πρακτικές που μπορούν να χρησιμοποιηθούν για την ανάπτυξη ενός προγράμματος που εξασφαλίζει ότι ο κώδικας είναι ασφαλής στην εσωτερική ανάπτυξη λογισμικού καθώς και σε εφαρμογές τρίτων, ανοιχτό κώδικα και την ευρύτερη αλυσίδα εφοδιασμού λογισμικού. Το DevSecOps, επίσης γνωστό ως “ασφαλής DevOps”, είναι η στάση ότι η ασφάλεια ενσωματώνεται σε όλη τη διαδικασία SDLC, από τις απαιτήσεις μέχρι την αρχιτεκτονική και τον σχεδιασμό, την κωδικοποίηση, τις δοκιμές, την έκδοση και την εγκατάσταση σε παραγωγικό περιβάλλον. Ουσιαστικά, αυτό σημαίνει ότι όλοι οι εμπλεκόμενοι στην ανάπτυξη λογισμικού είναι υπεύθυνοι για την ασφάλεια εφαρμογών. Τα δύο πηγαίνουν χέρι-χέρι, καθώς μοιράζονται τον στόχο της λήψης καλύτερων αποφάσεων ασφαλείας και της παράδοσης ασφαλέστερου λογισμικού με μεγαλύτερη ταχύτητα και αποδοτικότητα.

Μπορείτε να συζητήσετε κάποιες από τις διαφορετικές λύσεις που προσφέρονται, όπως η Veracode SAST, η Veracode SCA και η Veracode DAST;

Η στατική ανάλυση της Veracode (SAST), η οποία ενσωματώνει την ασφάλεια σε όλη τη διαδικασία SDLC, έτσι ώστε οι προγραμματιστές να μπορούν να γράψουν ασφαλή κώδικα στο περιβάλλον ανάπτυξης (IDE), αυτοματοποιεί τις σαρώσεις στην ροή εργασιών CI/CD και εξασφαλίζει την συμμόρφωση με τις πολιτικές πριν από την ανάπτυξη. Βοηθά στην διαχείριση του κινδύνου σαρώνοντας τον κώδικα και βρίσκοντας ελαττώματα – και στη συνέχεια ταξινομεί τα ευρήματα κατά προτεραιότητα και δίνει στους προγραμματιστές προσαρμοσμένες στο πλαίσιο οδηγίες για να προτεραιοποιήσουν την προσπάθεια, να διορθώσουν κρίσιμες αδυναμίες και να μειώσουν τον κίνδυνο.

Η ανάλυση σύνθεσης λογισμικού της Veracode (SCA) αυτοματοποιεί την εύρεση όλων των στοιχείων που συνθέτουν μια εφαρμογή και συνιστά ενέργειες για τη διαχείριση του κινδύνου μέσα σε αυτά. Οι δυνατότητες μηχανικής μάθησης και αυτόματης αποκατάστασης της SCA προτείνουν διορθώσεις – με στόχο να γίνει αυτό με την ελάχιστη δυνατή διακοπή της παραγωγής.

Τέλος, Η δυναμική ανάλυση (DAST) είναι το μέρος της πλατφόρμας έξυπνης ασφάλειας λογισμικού της Veracode που επιτρέπει στις ομάδες ασφαλείας να ανακαλύψουν επιφάνειες επίθεσης που δεν γνώριζαν, να βρουν αδυναμίες σε περιβάλλοντα εκτέλεσης και να λάβουν μια ολοκληρωμένη εικόνα της στάσης ασφαλείας των web εφαρμογών και API τους.

Στις 18 Απριλίου 2023, η Veracode εισήγαγε την έξυπνη ασφάλεια λογισμικού με την κυκλοφορία του Veracode Fix, ενός εργαλείου που αξιοποιεί τη δύναμη της τεχνολογίας GPT (Generative Pre-trained Transformer). Γιατί ήταν η GPT μια τόσο σημαντική καινοτομία στην κυβερνοασφάλεια;

Οι ομάδες ανάπτυξης λογισμικού και ασφαλείας τρέχουν αδιάκοπα για να παραμείνουν στην ίδια θέση. Για χρόνια, η ασφάλεια λογισμικού έχει περιστραφεί γύρω από τις δοκιμές για να βρεθούν προβλήματα, αλλά για κάθε πρόβλημα που βρέθηκε, υπάρχει μια χειροκίνητη εργασία για να διορθωθεί. Οι προγραμματιστές συχνά καλούνται να δαπανήσουν χρόνο που δεν έχουν, για να διορθώσουν προβλήματα ασφαλείας που δεν καταλαβαίνουν, σε κώδικα που δεν δημιούργησαν… μόνο για να βρουν ότι κατά τη διάρκεια του χρόνου που χρειάζεται για να διορθωθεί ένα πρόβλημα, δύο άλλα δημιουργούνται αλλού. Η ανάγκη για μετασχηματισμό είναι προφανής.

Η Veracode Fix παρέχει αυτόν τον μετασχηματισμό, μετατοπίζοντας το παράδειγμα από την εύρεση σε διόρθωση και σηματοδοτώντας την έναρξη της έξυπνης ασφάλειας λογισμικού. Αξιοποιώντας τη δύναμη της τεχνολογίας τεχνητής νοημοσύνης (AI) για να δημιουργήσει αυτόματα διορθώσεις για μη ασφαλές λογισμικό, η Veracode Fix φέρνει τελικά την αυτοματοποίηση στη διόρθωση ελαττωμάτων και εξισορροπεί εκ νέου το τοπίο ασφαλείας λογισμικού. Σε αντίθεση με τα περισσότερα εργαλεία κωδικοποίησης AI, η Veracode Fix δεν εκπαιδεύτηκε σε ανοιχτό κώδικα ή κώδικα από μη ελεγχόμενες δημόσιες πηγές και δεν χρησιμοποιεί ή διατηρεί δεδομένα πελατών για να εκπαιδεύσει το μοντέλο.

Αντίθετα, εκπαιδεύσαμε την Veracode Fix σε ένα ιδιωτικό, επιμελημένο σύνολο δεδομένων με επιβλεπόμενη μάθηση και ευθυγράμμιση από την ομάδα μας από κορυφαίους ερευνητές ασφαλείας και συμβούλους ασφαλείας εφαρμογών για να παραδώσουμε την συσσωρευμένη εμπειρία και την εμπειρογνωσία της Veracode σε μια απλή, ισχυρή εμπειρία: η δύναμη της Veracode στα χέρια σας.

Το εργαλείο Veracode Fix μετατοπίζει το παράδειγμα από την AI που απλώς αναγνωρίζει προβλήματα σε διόρθωση προβλημάτων. Μπορείτε να συζητήσετε μερικά από τα πλεονεκτήματα κλιμάκωσης που προσφέρει;

Οι οργανισμοί έπρεπε να επιλέξουν μεταξύ της διόρθωσης προβλημάτων ασφαλείας λογισμικού και της επίτευξης των απαιτητικών προθεσμιών για τη διάθεση κώδικα σε παραγωγική λειτουργία. Με τη δύναμη της AI και του ιδιωτικού συνόλου δεδομένων της Veracode, η Veracode Fix σώζει χρόνο στους προγραμματιστές, επιτρέποντάς τους να γράψουν ασφαλέστερο κώδικα, γρήγορα. Αυτό σημαίνει ότι τα προβλήματα που θα χρειαζόταν ώρες για να διορθωθούν και θα διαρκούσαν μήνες μπορούν τώρα να διορθωθούν σε λεπτά. Το πλεονέκτημα κλιμάκωσης είναι σαφές – οι προγραμματιστές μπορούν τώρα να δημιουργήσουν περισσότερο λογισμικό γρήγορα και έτσι να καινοτομήσουν ασφαλώς.

Πόση ανθρώπινη παρέμβαση χρειάζεται πριν από μια διόρθωση προβλήματος και πού στη διαδικασία εμπλέκονται οι άνθρωποι σε αυτό το είδος κυβερνοασφάλειας;

Παρά την αυτοματοποίηση στη διαδικασία ανάπτυξης λογισμικού, η διόρθωση προβλημάτων ασφαλείας – ιδιαίτερα σε κώδικα που αναπτύσσεται εσωτερικά (first-party) – έχει βασιστεί αποκλειστικά σε χειροκίνητη προσπάθεια από τους προγραμματιστές που είναι υπερφορτωμένοι και χωρίς υποστήριξη. Μέχρι τώρα.

Η Veracode Fix χρησιμοποιεί μηχανική μάθηση για να δημιουργήσει προτεινόμενες διορθώσεις που οι προγραμματιστές μπορούν να αναθεωρήσουν και να εφαρμόσουν χωρίς να γράψουν κανέναν κώδικα.

Είναι σημαντικό να σημειωθεί ότι η Veracode Fix δεν διορθώνει αυτόματα τον κώδικα, αλλά προτείνει διορθώσεις. Ο προγραμματιστής στη συνέχεια αναθεωρεί και εφαρμόζει τις διορθώσεις χωρίς να γράψει κανέναν κώδικα. Αυτό σώζει χρόνο στους προγραμματιστές, επιταχύνει την ασφαλή ανάπτυξη και κάνει δυνατή τη διαχείριση του κινδύνου και τη σταδιακή μείωση του χρέους ασφαλείας σε κλίμακα με λιγότερη προσπάθεια και κόστος.

Υπάρχει κάτι άλλο που θα θέλατε να μοιραστείτε σχετικά με την Veracode;

Η τεχνολογία εξελίσσεται συνεχώς και η Veracode εξελίσσεται επίσης, αλλά ο στόχος έχει παραμείνει ο ίδιος από το 2006: να ασφαλίσει το λογισμικό σε κλίμακα. Όπως η Veracode πρωτοπόρησε την AppSec πριν από περισσότερα από 17 χρόνια, τώρα πρωτοπόρησε την έξυπνη ασφάλεια λογισμικού. Τα προϊόντα και οι καινοτομίες μας, όπως η Veracode Fix, είναι ένα τεκμήριο αυτού.

Η Veracode ιδρύθηκε από τον Chris Wysopal, έναν πρώην white hat hacker που μετατράπηκε σε επιρροή στην κυβερνοπολιτική. Το 1998, ως μέρος της ομάδας χάκερ L0pht, ο Κρις έδωσε μαρτυρία ενώπιον μιας επιτροπής της Γερουσίας των Ηνωμένων Πολιτειών που διερευνούσε κυβερνητικά ζητήματα κυβερνοασφάλειας, λέγοντας ότι οι προμηθευτές λύσεων κυβερνοασφάλειας πρέπει να κάνουν καλύτερα – πρέπει να αναλάβουν την ευθύνη για το πρόβλημα.

Από την ίδρυσή της, η Veracode έχει εξελιχθεί από μια νεοφυή επιχείρηση σε μια παγκόσμια επιχείρηση με περισσότερους από 2.600 πελάτες – και τι θαυμάσιο ταξίδι ήταν να το παρακολουθώ να ξετυλίγεται όλα αυτά τα χρόνια. Αυτό οφείλεται στην δέσμευσή μας να βοηθούμε τους πελάτες μας με τις μεγαλύτερες προκλήσεις: την ενσωμάτωση της ασφαλείας στη διαδικασία SDLC, την κατασκευή της ικανότητας ασφαλείας των προγραμματιστών, την προστασία της αλυσίδας εφοδιασμού λογισμικού, τη διαχείριση του κινδύνου επιφάνειας επίθεσης web εφαρμογών και την ασφάλεια της ανάπτυξης εφαρμογών cloud-native. Είμαστε ηγέτης για δέκα φορές στο Magic Quadrant της Gartner για τον έλεγχο ασφαλείας εφαρμογών – μια από τις πιο εμπεριστατωμένες αξιολογήσεις της βιομηχανίας μας – και έχουμε λάβει πολλά βραβεία της βιομηχανίας τα τελευταία χρόνια.

Ένα πεδίο που είμαστε ιδιαίτερα υπερήφανοι είναι η κουλτούρα που έχουμε καλλιεργήσει καθ’ όλη τη διάρκεια της ιστορίας μας. Τον τελευταίο χρόνο, η Veracode ονομάστηκε ένα από τα Top Places to Work του 2022 από την εφημερίδα The Boston Globe και ένα από τα Top Workplaces USA του 2023 από την Energage. Οι διακρίσεις αυτές μας τίμησαν και μας συγκίνησαν να λάβουμε αυτές τις διακρίσεις, επειδή υπερηφανευόμαστε για μια συμπεριληπτική κουλτούρα που προάγει το ταλέντο και δίνει στους εργαζομένους τη δυνατότητα να αποδώσουν στο μέγιστο.

Ευχαριστώ για τη μεγάλη συνέντευξη, οι αναγνώστες που επιθυμούν να μάθουν περισσότερα μπορούν να επισκεφθούν την Veracode.