Nabil Hannan, Field CISO chez NetSPI – Série d’entretiens

Nabil Hannan est le Field CISO (Chief Information Security Officer) chez NetSPI. Il dirige la pratique de conseil en advisory de l’entreprise, en se concentrant sur l’aide aux clients pour résoudre leurs besoins d’évaluation de la cybersécurité et de gestion des menaces et des vulnérabilités. Son expérience est dans la création et l’amélioration d’initiatives de sécurité logicielle efficaces, avec une expertise approfondie dans le secteur des services financiers.

NetSPI est une solution de sécurité proactive conçue pour découvrir, prioriser et remédier aux vulnérabilités de sécurité les plus critiques. Elle aide les organisations à protéger ce qui compte le plus pour leur entreprise en permettant une approche proactive de la cybersécurité avec plus de clarté, de rapidité et d’échelle que jamais auparavant.

Pouvez-vous partager un peu votre parcours dans la cybersécurité et ce qui vous a amené à rejoindre NetSPI ?

J’ai commencé à programmer à l’âge de sept ans. La technologie m’a toujours passionné car je voulais savoir comment les choses fonctionnaient, ce qui m’a conduit à démonter et à remonter beaucoup de choses à un jeune âge.

Pendant mes études en sciences informatiques à l’université, j’ai commencé ma carrière chez Blackberry, où j’ai travaillé en tant que responsable de produit pour la plate-forme Blackberry Messenger et suis devenu intéressé par la conception de matériel. De là, j’ai été recruté pour rejoindre une petite entreprise dans le domaine de la sécurité des applications – j’étais tellement passionné que j’étais prêt à déménager dans un nouveau pays pour obtenir le poste.

Quand je considère mon parcours dans la cybersécurité, il a commencé par le bas. J’ai commencé en tant que consultant associé en faisant des tests de pénétration, des examens de code, des modèles de menaces, des tests de matériel, et tout ce que mes patrons me lançaient. Finalement, j’ai construit un service de test de pénétration pour Cigital, qui a ensuite été acquis par Synopsys. Tout cela m’a conduit à NetSPI pour aider à soutenir sa croissance dans l’espace de la sécurité proactive.

Comment votre expérience dans le secteur des services financiers a-t-elle façonné votre approche de la cybersécurité ?

Pendant que je travaillais chez Synopsys, j’ai aidé à élaborer la stratégie pour vendre des services et des produits de sécurité à l’industrie des services financiers. Donc, même si je ne travaillais pas directement dans les services financiers, j’étais responsable de construire des stratégies pour ce secteur, ce qui nécessitait de plonger profondément dans ce secteur pour comprendre ses moteurs et ses points de douleur.

En grandissant dans l’espace technologique, j’ai passé beaucoup de temps à travailler avec de grandes organisations de services financiers à travers le monde. Ayant cette expérience, j’ai concentré mon temps et mes compétences pour développer une stratégie pour cibler et construire des services adaptés à l’industrie des services financiers dans son ensemble.

La chose la plus importante que j’ai apprise de mon exposition au secteur des services financiers est que les hackers vont où se trouve l’argent. Les hackers ne sont pas dans ce domaine juste pour s’amuser ; c’est leur source de revenus. Ils vont où il y a le plus d’impact financier – que ce soit en volant de l’argent sous une forme ou en causant des dommages financiers à une organisation. Cette mentalité m’a aidé à façonner ma compréhension de la cybersécurité et m’a permis d’être réussi dans mon rôle actuel de Field CISO.

Quels sont les plus grands défis de cybersécurité auxquels les organisations sont confrontées aujourd’hui ?

Le plus grand défi aujourd’hui est la vitesse à laquelle chaque organisation doit opérer pour combattre les menaces évolutives et suivre les technologies émergentes, comme l’IA. Historiquement, il y avait une méthodologie en cascade pour la construction de logiciels, qui n’était pas nécessairement un processus rapide par rapport à la façon dont les logiciels sont déployés aujourd’hui. Maintenant, nous avons une méthodologie plus agile, où les organisations essaient de construire des logiciels et de les lancer en production le plus rapidement possible et font plus d’implémentations de petite taille.

Les dix dernières années ont montré un changement et une accélération rapides dans l’écosystème de la sécurité. Cela cause de nombreux problèmes pour les grandes organisations, comme l’informatique de l’ombre, ce qui rend plus difficile l’obtention d’informations sur leur surface d’attaque et leurs actifs. Vous ne pouvez pas protéger ce que vous ne pouvez pas voir.

Le passage au cloud ajoute à ce feu – plus les gens s’adaptent, adoptent et migrent vers le cloud, plus les systèmes logiciels et les actifs deviennent élastiques. La capacité de mettre à l’échelle les logiciels et le matériel de manière élastique rend le changement encore plus difficile à gérer. À mesure que les systèmes sont construits avec un potentiel élastique, vous créez des défis où les actifs changent de propriétaire plus fréquemment et créez des opportunités pour les acteurs malveillants de trouver des moyens d’entrer dans une organisation.

Comment pensez-vous que le paysage de la cybersécurité va changer au cours des cinq prochaines années ?

Le besoin d’une meilleure visibilité sur les actifs internes et externes continuera d’être important au cours des cinq prochaines années et changera la façon dont les clients travaillent avec les fournisseurs. C’est déjà un domaine sur lequel nous nous concentrons fortement chez NetSPI. En juin, nous avons acquis une solution de gestion de la surface d’attaque des actifs cybernétiques (CAASM) et de gestion de la posture de sécurité appelée Hubble Technology. L’ajout de la CAASM à nos capacités de gestion de la surface d’attaque externe (EASM) établies permet à nos clients de continuer à identifier de nouveaux actifs et risques, de remédier aux lacunes de contrôle de sécurité et d’obtenir une vue d’ensemble de leur posture de sécurité en fournissant un inventaire précis des actifs cybernétiques, internes et externes – quelque chose qui manquait dans l’industrie jusqu’à présent.

La fusion de nos capacités EASM et CAASM dans la plate-forme NetSPI nous permet de fournir aux clients les outils dont ils ont besoin pour relever les défis de visibilité permanents. Cela améliore également la capacité de prioriser avec précision les risques associés aux actifs et aux vulnérabilités. De plus, cela aide les dirigeants de la sécurité à évaluer l’exposition de leurs actifs les plus importants par rapport à ces risques.

Comment l’approche de NetSPI en matière de gestion des vulnérabilités diffère-t-elle de celle des autres entreprises du secteur ?

Récemment, nous avons présenté une nouvelle plate-forme de sécurité proactive unifiée, qui combine nos services de test de pénétration en tant que service (PTaaS), de gestion de la surface d’attaque externe (EASM), de gestion de la surface d’attaque des actifs cybernétiques (CAASM) et de simulation de violation et d’attaque (BAS) en une seule solution. Avec la plate-forme NetSPI, les clients peuvent adopter une approche proactive de la cybersécurité avec plus de clarté, de rapidité et d’échelle que jamais auparavant. Cette nouvelle approche proactive reflète les tendances que nous voyons dans l’industrie, et le passage des solutions ponctuelles disparates vers l’adoption rapide de services de plate-forme plus holistiques et intégrés.

Comment l’IA est-elle utilisée pour améliorer les mesures de cybersécurité chez NetSPI ?

Comme tout dirigeant de la cybersécurité vous le dira, l’IA a le potentiel de catalyser le succès commercial, mais elle a également le potentiel de nourrir les attaques adverses. Chez NetSPI, nous essayons d’aider nos clients à rester à la pointe de la technologie en mettant en œuvre des modèles de test de pénétration IA/ML, qui garantissent que la sécurité est prise en compte de la conception à la mise en œuvre en identifiant, en analysant et en atténuant les risques associés aux attaques adverses sur les systèmes ML, avec un accent sur les LLM. Dans la cybersécurité, les capacités de l’IA ont amélioré et adopté notre capacité à surveiller et à remédier les menaces en temps réel.

Quels sont les risques potentiels associés à l’IA dans la cybersécurité, et comment peuvent-ils être atténués ?

Sur la base des conversations que j’ai avec d’autres dirigeants de la cybersécurité, le plus grand risque lié à l’IA est le manque d’hygiène de base des données et de la cybersécurité des organisations. Comme nous le savons, les solutions d’IA ne sont efficaces que si les modèles sont formés sur des données de haute qualité. Si les organisations n’ont pas une bonne compréhension de l’inventaire et de la classification des données, alors il y a un risque que leurs modèles souffrent et soient sensibles aux failles de sécurité.

Quand les gens voient le mot « intelligence » dans l’IA, ils le confondent avec une « intelligence inhérente » ou même avec une certaine forme de conscience. Mais ce n’est pas le cas. Les praticiens de la sécurité doivent toujours programmer les modèles d’IA pour leur faire comprendre quels actifs sont personnels, privés, publics, etc. Sans ces mécanismes, l’IA peut sombrer dans le chaos. C’est, à mon avis, la plus grande préoccupation parmi les CISO actuellement.

Pouvez-vous élaborer sur la façon dont le test de pénétration en tant que service (PTaaS) de NetSPI aide les organisations à maintenir une sécurité robuste ?

Le test de pénétration est critique pour la posture de cybersécurité globale d’une organisation car il donne aux équipes une meilleure compréhension des vulnérabilités spécifiques à leur entreprise.

Le test de pénétration est également un excellent test pour voir à quel point d’autres contrôles de sécurité, comme l’examen de code, la modélisation de menaces, les tests de sécurité d’application statique (SAST), les tests de sécurité d’application dynamique (DAST), les tests de sécurité d’application interactifs (IAST), etc., sont efficaces.

Les tests de pénétration réguliers favorisent la collaboration en temps réel avec des experts en sécurité qui peuvent apporter une autre perspective et ajouter plus de profondeur aux données. À la fin d’un test de pénétration réussi, les organisations auront une meilleure compréhension des parties de leur environnement informatique qui sont plus susceptibles d’être compromises. Lorsqu’un test de pénétration détecte des vulnérabilités, ils mettront souvent en évidence les lacunes dans les contrôles plus tôt dans le cycle de vie ou les contrôles qui sont totalement absents. Ils comprendront également comment atteindre la conformité, où se concentrer sur les efforts de correction et comment les équipes informatiques et de sécurité peuvent travailler ensemble pour rester à la pointe des implications commerciales potentielles.

En travaillant avec des fournisseurs qui se spécialisent dans le PTaaS pour compléter une posture de sécurité robuste, les organisations peuvent être mieux préparées à prévenir proactivement les incidents de sécurité.

Comment intégrez-vous à la fois la technologie et l’expertise humaine pour fournir des solutions de sécurité complètes ?

NetSPI croit que vous avez besoin à la fois de technologie et d’humains pour fournir une stratégie solide pour rester à la pointe des menaces connues et inconnues. Les humains doivent être dans la boucle pour valider, prioriser et contextualiser les sorties que les outils génèrent. Nous ne sommes pas dans le business de donner aux gens de faux positifs ou de générer du bruit, les conduisant à passer plus de temps à déterminer ce qui est vraiment important. En d’autres termes, vous pouvez avoir une grande technologie, mais vous avez besoin de quelqu’un pour l’utiliser et l’interpréter pour réussir.

Il y a beaucoup de tâches fastidieuses que l’IA peut faire plus rapidement et plus précisément que les humains. Si la technologie peut être construite de manière fiable, alors cela nous permettra d’automatiser certaines tâches et de libérer du temps pour les équipes de sécurité pour se concentrer sur une réflexion plus créative et une résolution de problèmes critiques que l’IA ne peut simplement pas remplacer.

Quels conseils stratégiques donnez-vous généralement aux clients pour renforcer leur posture de cybersécurité ?

Un piège courant dans lequel les gens tombent est d’investir dans les choses qu’ils comprennent. Par exemple, une entreprise peut embaucher un dirigeant avec une expérience en sécurité du cloud. Naturellement, ils se concentrent ensuite sur la construction d’une équipe de sécurité du cloud, au lieu de, disons, la conformité, la sécurité du réseau, la sécurité des applications, etc., où l’organisation pourrait vraiment avoir besoin de soutien.

Il est préférable d’avoir un programme plus équilibré qui se concentre sur tout de manière holistique. Ensuite, vous commencez à construire une défense en profondeur et avez des contrôles qui atténuent d’autres défaillances que vous pourriez avoir dans différentes parties de l’organisation. Construire un programme équilibré est mieux que d’investir plus de temps, d’efforts et d’outils dans un secteur particulier.

Je vous remercie pour cette grande interview, les lecteurs qui souhaitent en savoir plus peuvent visiter NetSPI.