Shrav Mehta, Fundador y CEO de Secureframe – Serie de Entrevistas

Shrav Mehta, Fundador y CEO de Secureframe, es un empresario y líder tecnológico centrado en simplificar la ciberseguridad y el cumplimiento normativo a través de la automatización. Fundó Secureframe en 2020 después de acumular experiencia en roles de ingeniería y crecimiento en startups de rápido crecimiento, incluyendo Pilot, Scale AI, Lob y Hired. Al comienzo de su carrera, fundó y escaló un portafolio de aplicaciones y juegos de Android exitosos que llegaron a millones de usuarios. Bajo su liderazgo, Secureframe se ha convertido en una de las principales plataformas de automatización de cumplimiento de seguridad, ayudando a las organizaciones a simplificar procesos de certificación complejos mientras obtiene el respaldo de importantes firmas de capital de riesgo, incluyendo Kleiner Perkins, Accomplice, Gradient Ventures, Base10 Partners y otras.

Secureframe es una plataforma de automatización de ciberseguridad y cumplimiento que permite a las organizaciones lograr y mantener continuamente certificaciones de seguridad y privacidad líderes en la industria con mucho menos esfuerzo manual. La plataforma automatiza la recopilación de evidencia, el monitoreo continuo, la capacitación en conciencia de seguridad, la gestión de riesgos de proveedores y la preparación para auditorías a través de cientos de integraciones con proveedores de nube, plataformas de identidad, herramientas de desarrollo y aplicaciones empresariales. Al respaldar marcos como SOC 2, ISO 27001, HIPAA, PCI DSS, NIST, CMMC, FedRAMP y GDPR, Secureframe ayuda a las empresas a fortalecer su postura de seguridad mientras acelera las ventas empresariales al hacer que el cumplimiento sea más rápido, escalable y fácil de mantener durante todo el año.

Antes de fundar Secureframe, trabajó en roles de ingeniería, marketing y crecimiento en empresas como Pilot, Scale AI, Lob y Hired, e incluso construyó aplicaciones de Android que llegaron a millones de usuarios. ¿Qué experiencias específicas lo convencieron de que el cumplimiento de la seguridad estaba roto lo suficiente como para dedicar una empresa a solucionarlo?

Todo comenzó con mi propia frustración. A lo largo de mi carrera, vi cómo equipos de ingeniería muy capacitados se detenían en seco en el momento en que un cliente empresarial importante les entregaba un cuestionario de seguridad o requería un informe SOC 2. El cumplimiento de la ciberseguridad se convirtió en un obstáculo para el crecimiento empresarial, en lugar de un acelerador.

Comencé a preguntar a las personas en mi red si querrían herramientas para automatizar esto. Muchos dijeron que sí, pero no estaba seguro de lo serio que eran hasta que una persona me llamó de vuelta un mes después preguntando dónde estaba el producto. Me dejé el trabajo esa semana y comencé oficialmente Secureframe. Para cuando teníamos un MVP, más de 40 empresas estaban en nuestra lista de espera.

Hoy en día, ayudamos a miles de empresas a navegar, mantener y escalar este trabajo crítico. Es muy gratificante ver cómo nuestra plataforma elimina la fricción, convirtiendo un cuello de botella histórico en un acelerador competitivo para nuestros clientes.

Su reciente cumbre de ciberseguridad encontró que seis de cada diez profesionales de la seguridad creen que tienen brechas críticas de inteligencia de amenazas. ¿Por qué cree que tantas organizaciones siguen luchando para comprender su verdadera exposición al riesgo a pesar de gastar mucho en ciberseguridad?

Una cosa que hemos visto consistentemente al trabajar con miles de organizaciones es que la mayoría de los equipos de seguridad no carecen de datos, carecen de contexto. Están recibiendo alertas de docenas de herramientas, pero todavía están luchando por responder a preguntas básicas como dónde vive la información sensible, quién tiene acceso a ella y qué riesgos específicos parecen. De hecho, nuestra encuesta mostró que mientras 60% consumen fuentes gubernamentales estándar, solo el 29% participa en el intercambio de ISAC específico de la industria. Las alertas gubernamentales son valiosas, pero para cuando una llega a su bandeja de entrada, la amenaza ya ha evolucionado en gran medida.

El problema más profundo es que las redes se expanden más rápido que el inventario de lo que hay en ellas. Si no tiene una imagen clara y actualizada de dónde vive la información sensible y quién la toca, agregar otra herramienta de seguridad no lo salvará.

Ha descrito un futuro en el que la ciberseguridad se convierte en una forma de “guerra de inteligencia artificial simétrica”, con atacantes y defensores utilizando sistemas cada vez más autónomos. ¿Cómo cambia fundamentalmente esto la forma en que los equipos de seguridad empresarial necesitan operar?

Cuando la IA puede ejecutar la mayoría de una operación de manera autónoma, reconocimiento, explotación y movimiento lateral con mínimo involucramiento humano, un analista que abre un ticket a las 9 AM para una alerta que se envió a las 2 AM ya ha perdido la batalla.

El papel del profesional de la seguridad cambia de respuesta activa a orquestador: estableciendo políticas, validando la integridad de los sistemas defensivos y eliminando puntos ciegos en lugar de triar una cola interminable de alertas de bajo nivel.

Durante nuestra cumbre, el ex director de ciberseguridad de la NSA, Rob Joyce, lo expresó claramente: “No hay vuelta atrás al modelo de amenaza pre-IA. Las decisiones que toma sobre su defensa son decisiones sobre la nueva normalidad. No estamos preparándonos para un futuro posible”.

Si la IA permite a los atacantes reducir los tiempos de ruptura de horas a segundos, ¿cuáles son las debilidades más grandes en los modelos tradicionales de seguridad y cumplimiento que hacen que las organizaciones sean vulnerables?

La debilidad más grande es la validación estática, manual o puntual. El cumplimiento tradicional se basa en compilar documentación una vez al año para demostrar que un control funcionaba en una fecha específica. Ese modelo se derrumba cuando el software se genera, se itera y se despliega continuamente. Una instantánea tomada el trimestre pasado puede no decirle mucho sobre su postura de seguridad hoy. Es por eso que marcos como FedRAMP están moviéndose hacia la validación automatizada y persistente.

Una segunda debilidad importante es lo plano que son muchas redes empresariales. Cuando los sistemas operativos sensibles se encuentran en la misma red que las herramientas corporativas cotidianas, una sola cuenta comprometida puede convertirse en un problema mucho mayor muy rápidamente.

Muchas organizaciones siguen tratando el cumplimiento como un ejercicio de auditoría periódico. ¿Por qué cree que esa mentalidad se está volviendo peligrosa en una era en la que las amenazas evolucionan continuamente?

Porque los adversarios no atacan según su calendario de auditoría. Explotan la brecha entre cómo se veían sus sistemas durante una evaluación y cómo están configurados realmente tres meses después. Las configuraciones cambian, los empleados llegan y se van, se integra nuevo software; todo esto crea exposición que una revisión anual nunca detectará.

Los marcos de cumplimiento como SOC 2 o CMMC están diseñados para definir un piso operativo, no una línea de meta. Tratarlos como un proyecto periódico es cómo las empresas terminan teniendo problemas en las reevaluaciones o, peor, en incidentes de seguridad entre los ciclos de evaluación.

¿Qué se ve un modelo de protección continua impulsado por IA en la práctica, y cómo difiere de los centros de operaciones de seguridad que la mayoría de las empresas confían hoy en día?

Hoy en día, los equipos de seguridad pasan la mayoría de su tiempo triando manualmente una inundación de alertas, investigando incidentes uno por uno y recopilando evidencia para auditorías a través de capturas de pantalla, hojas de cálculo y documentación puntual.

Un modelo impulsado por IA invierte eso. En lugar de que los analistas persigan alertas, los sistemas automatizados monitorean continuamente patrones de comportamiento en los datos, las identidades y la infraestructura. Cuando algo se desvía de un baseline establecido, los flujos de trabajo automatizados cierran la brecha de inmediato en lugar de esperar a que un humano note y actúe.

La IA también puede hacerse cargo de la carga de documentación por completo, generando y manteniendo evaluaciones de riesgo, evidencia de control y registros de cumplimiento basados en el estado en vivo del entorno en lugar de una instantánea tomada antes de una auditoría. El equipo de seguridad cambia de hacer ese trabajo a supervisar los sistemas que lo hacen.

Las amenazas cibernéticas de los estados nación se están volviendo más sofisticadas y mejor financiadas. ¿Qué capacidades cree que las empresas deben desarrollar en los próximos tres años para permanecer resilientes contra este tipo de adversarios?

Delimitación precisa de datos, verificación automatizada de la cadena de suministro y arquitecturas de seguridad basadas en el comportamiento.

Los actores estatales son excelentes para mezclarse utilizando credenciales robadas y herramientas del sistema legítimas para moverse a través de las redes sin desencadenar alertas convencionales. Detectar ese tipo de actividad requiere monitorear patrones de comportamiento, no solo escanear para firmas de malware conocidas.

En el lado de la cadena de suministro, nuestros datos de la encuesta mostraron que el 58% de los profesionales de la seguridad citan el riesgo de los proveedores como la brecha no resuelta más grande. Revisar manualmente las hojas de cálculo de los proveedores una vez al año mientras los actores sofisticados están apuntando a sus proveedores no es una defensa real.

Finalmente, mantener entornos sensibles aislados del resto de la red corporativa reduce dramáticamente la exposición. Las organizaciones que controlaron mejor sus costos de cumplimiento lo hicieron limitando cuánto podía extenderse su información sensible en primer lugar.

A medida que la IA se vuelve más capaz, ¿espera que la brecha de habilidades en ciberseguridad se amplíe o se reduzca? ¿Qué roles de seguridad son probablemente más importantes, y cuáles pueden volverse cada vez más automatizados?

Creo que la brecha de habilidades en ciberseguridad se ampliará en complejidad pero se reducirá en volumen. La IA manejará el trabajo rutinario y repetitivo que históricamente ha consumido a los analistas junior, como revisiones de registros, documentación básica y parches sencillos. Eso libera capacidad, pero también eleva la barra para lo que los practicantes capacitados necesitan saber.

Los roles que importarán más en el futuro son aquellos centrados en la arquitectura y la gobernanza: profesionales que puedan diseñar sistemas resilientes, evaluar la seguridad de las propias tuberías de IA y interpretar un entorno regulatorio en constante evolución.

Secureframe ha expandido desde la automatización del cumplimiento a un monitoreo de seguridad más amplio y una remediación impulsada por IA. ¿Dónde ve la línea entre la gobernanza, la gestión de riesgos, el cumplimiento y la defensa cibernética activa comenzando a desdibujarse?

Esas funciones siempre estuvieron artificialmente separadas. En la práctica, son todas expresiones de la misma pregunta: ¿pueden demostrar que sus sistemas están haciendo lo que dicen que están haciendo?

Cuando un sistema automatizado cierra una brecha de seguridad en tiempo real, ha actualizado simultáneamente su postura de riesgo, registró un evento de gobernanza y generó evidencia de cumplimiento. El cambio que estamos viendo es de cumplimiento puntual a confianza continua, y la IA es cada vez más cómo se valida esa confianza. No solo se mantiene.

Mirando hacia adelante, ¿cree que nos acercamos a un punto en el que los sistemas de IA serán responsables de defender la infraestructura crítica con mínima intervención humana, o la juiciosa humana seguirá siendo el salvaguardia definitiva contra los grandes ataques cibernéticos?

Siempre requerirá ambos, y la cultura de liderazgo determinará cómo funciona bien cada elemento.

El ex CIO de la CISA, Bob Costello, hizo este punto en nuestra cumbre cuando describió cómo SolarWinds cambió la conversación federal: moviéndose desde tratar el cumplimiento como un ejercicio de casilla hacia comprender genuinamente la postura de riesgo en tiempo real de todo el entorno. Ese cambio de mentalidad es lo que separa a las organizaciones resilientes de las vulnerables.

Las empresas que salen adelante saben dónde vive su información sensible antes de que nadie lo pregunte, han reemplazado la recopilación manual de evidencia con sistemas automatizados y han construido una cultura en la que los comportamientos de seguridad están incrustados en el trabajo diario en lugar de reservados para la capacitación anual. Para aquellos que operan en entornos regulados o de alto riesgo, la ventana para la modernización gradual se está cerrando.

Gracias por la gran entrevista, los lectores que deseen aprender más deben visitar Secureframe.