Dom Richter, Co-Founder di Mondoo – Seri Wawancara

Dom Richter, Co-Founder di Mondoo adalah seorang pemimpin produk yang berpengalaman dengan keahlian mendalam di bidang pengembangan perangkat lunak modern, desain produk, dan kepemimpinan tim. Dengan latar belakang yang meliputi teknologi backend, frontend, dan otomatisasi, ia telah memimpin tim insinyur yang berkinerja tinggi melalui budaya kepercayaan, eksperimen, dan inovasi yang berorientasi pada tujuan. Pekerjaannya bersinggungan dengan AI, keamanan siber, dan DevOps, di mana ia menekankan kerja sama, pembelajaran terus-menerus, dan memberikan nilai yang berarti kepada pengguna akhir.

Mondoo adalah platform otomatisasi keamanan dan kepatuhan yang memungkinkan organisasi untuk terus menilai, memantau, dan mengamankan infrastruktur mereka di seluruh cloud, on-premises, dan lingkungan hybrid. Dengan menggunakan kebijakan sebagai kode dan wawasan yang didorong oleh mesin pembelajaran, Mondoo membantu tim mengidentifikasi kerentanan, memaksakan standar kepatuhan, dan memperkuat postur keamanan tanpa memperlambat inovasi. Platform ini terintegrasi secara mulus ke dalam alur kerja DevOps modern, membuat kepatuhan terus-menerus menjadi kenyataan yang dapat dicapai untuk perusahaan semua ukuran.

Apa yang menginspirasi Anda untuk menjadi co-founder Mondoo, dan bagaimana latar belakang Anda sebagai peretas dan pemimpin produk—bersama dengan pengalaman Anda di Google (GOOGL ), Chef, dan startup sebelumnya—membentuk misi perusahaan?

Ketika saya berada di parit memecahkan sistem sebagai bagian dari pekerjaan saya sebagai pentester, saya menemukan banyak kelemahan yang dapat dicegah dengan mudah. Pada saat yang sama, keamanan sering kali terlalu fokus pada membanjiri pengguna dengan peringatan, sehingga mereka kehilangan pandangan tentang apa yang penting. Saya kemudian beralih ke sisi pertahanan. Saya belajar bagaimana mengoperasikan sistem dengan benar, dengan otomatisasi dan kode. Ini berguna baik Anda menjalankan jaringan rumah kecil atau mengoperasikan perusahaan teknologi besar. Ide-ide ini sama. Akhirnya, kombinasi keamanan dan rekayasa platform ini memotivasi saya untuk menjadi co-founder Mondoo. Saya ingin membuat perbedaan dalam keadaan keamanan, bukan hanya menambahkan scanner lain yang menghasilkan lebih banyak peringatan. Saya merasa sangat termotivasi ketika melihat bagaimana pelanggan kami dapat dengan cepat memperbaiki postur mereka dengan Mondoo, setelah terjebak selama bertahun-tahun. Beberapa pelanggan telah memberitahu kami bahwa Mondoo mengurangi kerentanan terbuka mereka sebesar 60%, yang merupakan hasil yang sangat baik. Kami berusaha untuk meningkatkan angka tersebut menjadi 100% dengan pengelolaan kerentanan agen kami.

Saya kemudian beralih ke sisi pertahanan. Saya belajar bagaimana mengoperasikan sistem dengan benar, dengan otomatisasi dan kode. Ini berguna baik Anda menjalankan jaringan rumah kecil atau mengoperasikan perusahaan teknologi besar. Ide-ide ini sama. Akhirnya, kombinasi keamanan dan rekayasa platform ini memotivasi saya untuk menjadi co-founder Mondoo. Saya ingin membuat perbedaan dalam keadaan keamanan, bukan hanya menambahkan scanner lain yang menghasilkan lebih banyak peringatan. Saya merasa sangat termotivasi ketika melihat bagaimana pelanggan kami dapat dengan cepat memperbaiki postur mereka dengan Mondoo, setelah terjebak selama bertahun-tahun. Beberapa pelanggan telah memberitahu kami bahwa Mondoo mengurangi kerentanan terbuka mereka sebesar 60%, yang merupakan hasil yang sangat baik. Kami berusaha untuk meningkatkan angka tersebut menjadi 100% dengan pengelolaan kerentanan agen kami.

Anda telah menggambarkan remediasi—proses memperbaiki kerentanan setelah ditemukan—sebagai mitos. Mengapa Anda percaya industri terus berinvestasi besar-besaran dalam pemindaian dan pelaporan sementara tim berjuang untuk melakukan perbaikan?

Hal ini sebagian besar merupakan hasil dari bagaimana tim keamanan dan platform disusun, terutama di organisasi yang lebih besar. Selama ini kita mengobati mereka sebagai entitas terpisah, masing-masing dengan tujuan, alat, dan prioritas mereka sendiri. Tapi hukum Conway membuktikan apa yang terjadi: Anda mengirimkan bagan organisasi Anda alih-alih memecahkan masalah. Saya telah melihat kedua tim menunjuk jari satu sama lain – sering untuk alasan yang sangat baik.

Kita sekarang akhirnya mengalami pergeseran di industri, di mana perusahaan menyadari mereka ingin lebih dari keamanan. Mereka tidak ingin penghalang bisnis. Mereka ingin pengemudi. Berkat pemimpin berpikiran maju yang sekarang muncul untuk mendorong batas-batas, kita akhirnya melihat pergeseran di industri dan di solusi.

Bagaimana organisasi dapat mengatasi perbedaan budaya antara tim keamanan dan DevOps yang sering memperlambat remediasi?

DevSecOps adalah awal yang baik; Anda perlu membawa pengembang dan keamanan lebih dekat. Anda dapat menghire peran fungsional yang dapat membantu menjembatani kesenjangan seperti insinyur SecOps atau ahli platform dengan latar belakang keamanan. Juga membawa tim bersama secara fisik membantu. Sangat penting bahwa kepemimpinan mendorong dan memainkan peran dalam proses ini. Tetapkan tujuan dan metrik yang sama dan lacak mereka.

Untuk mendukung tim Anda, Anda kemudian ingin membawa peralatan dan teknologi bersama. Saya tidak berbicara tentang hanya membuang tiket keamanan ke sistem tiket. Anda ingin membangun model bersama yang memberikan kedua tim apa yang mereka butuhkan. Misalnya, kami menemukan bahwa mengotomatisasi perbaikan kerentanan di mana kami memberikan tim platform konteks yang cukup dan yang paling penting perbaikan khusus yang mereka butuhkan untuk diterapkan membantu mereka mengeksekusi permintaan dengan lebih cepat. Semakin Anda menggabungkan ini dengan otomatisasi dan membuat permintaan perubahan dalam sistem otomatisasi (seperti Terraform dan Ansible), semakin mudah. Anda juga ingin memiliki jalur komunikasi yang baik kembali, yaitu membuatnya mudah bagi tim platform untuk mengajukan keberatan, mendapatkan pengecualian, dan melaporkan masalah sistemik. Semua ini mendorong kolaborasi dan menjembatani kesenjangan.

Menurut Anda, apa peran yang harus dimainkan oleh kepemimpinan dalam menciptakan akuntabilitas dan kolaborasi seputar perbaikan masalah keamanan?

Sebagai pemimpin, kita memiliki dua kontributor utama untuk kemampuan tim kita untuk mengeksekusi: apa yang kita komunikasikan dan apa yang kita ukur. Jika pemimpin hanya berbicara tentang mengumpulkan temuan dan menunjuk ke tim lain sebagai bottleneck, maka tim mereka akan memperlakukannya dengan cara yang sama. Jika mereka mengukur jumlah masalah keamanan dan tidak kualitas dan tindakan yang diambil, maka tim akan mengoptimalkan untuk itu.

Kita menciptakan kondisi yang tepat dengan bekerja sama dengan pemimpin lain di seluruh batas, mengakui sifat bersama dari area ini, dan fokus pada hasil bersama alih-alih metrik yang terisolasi. Waktu dan waktu lagi kita lihat bahwa ketika pemimpin menangani masalah bersama, mereka mencapai lebih banyak untuk tim individu mereka dan lebih banyak untuk bisnis, karena mereka mengemudi hasil yang penting.

Bagaimana organisasi harus memikirkan kembali prioritisasi sehingga masalah yang tepat diperbaiki?

Untuk prioritisasi yang efektif, Anda perlu konteks bisnis dan konteks teknis. Konteks bisnis termasuk mengetahui aset digital mana yang menjaga lampu tetap menyala di perusahaan Anda dan perlu dilindungi untuk mempertahankan reputasi baik Anda. Misalnya, database yang berisi gambar pribadi pengguna atau gerbang yang memproses semua lalu lintas situs web lebih penting daripada sistem tes yang tidak terhubung ke internet. Ketika kita melihat temuan keamanan, kita harus mengetahui konteks bisnis. Jika Anda menunjukkan “kritis” pada temuan yang rendah, tim Anda akan menjadi tidak peka dan tidak mengambilnya serius. Jika masalahnya benar-benar kritis, Anda perlu menunjukkan dengan jelas mengapa.

Berikutnya adalah konteks teknis. Ini berarti mengetahui sistem, konfigurasi, lokasi, tag, aplikasi, paket, dan pengguna. Tapi itu tidak semua. Anda perlu meningkatkan pandangan Anda. Anda harus memahami bagaimana masalah keamanan dapat mengekspos sistem kritis Anda, bagaimana mereka terhubung dan terintegrasi, dengan tidak hanya melihat satu atau dua sistem individu, tetapi dengan melihatnya sebagai cluster. Kami juga perlu mengetahui bagaimana sistem ini diotomatisasi dan dibangun untuk dengan cepat memberitahu orang-orang di mana harus melihat dan bagaimana memperbaiki masalah di akarnya.

Bagaimana pembela dapat menggunakan AI secara bertanggung jawab untuk tetap unggul tanpa menciptakan risiko baru?

Menggunakan AI sangat memperbanyak kemampuan Anda untuk memperbaiki kerentanan, dan melakukan hal itu dengan kecepatan mesin. Namun, jika sistem AI tidak aman, mereka dapat memperkenalkan risiko baru ke lingkungan. Ketika mengirimkan sistem yang didorong oleh AI, sangat penting untuk memastikan bahwa mereka menggunakan arsitektur yang aman dan transparan, dan memungkinkan logging dan pemantauan acara yang menyeluruh. Dengan membatasi izin agen untuk hanya apa yang diperlukan untuk menyelesaikan tugas yang ditugaskan, risiko dapat diminimalkan. Guardrail lebih lanjut, seperti memungkinkan pengguna untuk mengganggu atau mematikan sistem AI Agentic ketika perlu, dan melakukan audit reguler pada agen dan tindakan mereka juga sangat saya sarankan.

Apa guardrail yang Anda percaya penting ketika memberikan otomatisasi kemampuan untuk memperbaiki di lingkungan produksi?

Untuk setiap tindakan yang dapat diambil oleh otomatisasi, Anda perlu guardrail untuk memastikan bahwa mereka bertindak dalam cakupan yang diharapkan. Jika Anda membuat agen AI dan memberinya akses bebas ke infrastruktur Anda, itu akan merusak sesuatu lebih cepat atau lebih lambat.

Beruntungnya kita memahami guardrail dengan baik berkat kerja keras dalam otomatisasi platform selama dua dekade terakhir. Sistem otomatisasi modern memiliki pembatasan yang membatasi tindakan yang dapat diambil. Di Mondoo kami menggabungkan perbaikan yang didorong oleh AI dengan kerangka kebijakan yang antagonistik yang memeriksa tindakan mereka. Setiap perbaikan dibuat dalam kode, dapat diuji, diverifikasi, dan yang paling penting, dibatasi ketika perlu.

Bagaimana Anda melihat keseimbangan antara remediasi yang dipimpin oleh manusia dan mesin berkembang selama lima tahun ke depan?

Mirip dengan mobil self-driving, kita akan melihat tim mengadopsi otomatisasi yang dipimpin oleh mesin di area yang lebih banyak, satu langkah pada satu waktu. Mereka akan memulai dengan fokus pada subset dari cakupan keamanan, seperti sistem prioritas rendah, dan memperkenalkan otomatisasi agen untuk itu, membuat metrik dan melacak tujuan, dan kemudian menggulirkan keluar. Setelah itu diotomatisasi, Anda dapat memperluas ke area lain.

Akhirnya, fokus otomatisasi harus pada area yang besar dalam skala dengan banyak kesamaan. Area tersebut paling banyak mendapat manfaat dari konsistensi yang dibawa oleh otomatisasi. Saya percaya bahwa dalam lima tahun, semua tindakan remediasi utama akan dipimpin oleh mesin dan sistem akan terintegrasi erat antara keamanan dan operasi platform.

Apa visi jangka panjang Anda untuk bagaimana pengelolaan kerentanan seharusnya terlihat pada akhir dekade ini?

Dengan akhir dekade ini, pengelolaan kerentanan akan memiliki fokus yang lebih kuat pada otomatisasi dan perbaikan. Pekerjaan kami sebagai spesialis keamanan akan lebih fokus pada mengembangkan otomatisasi ini, bekerja sama dengan tim platform pada mengamankan lingkungan IT yang berkembang. Sistem ini akan lebih terintegrasi, menggunakan otomatisasi platform dan AI agen untuk mengambil tindakan dengan skala sambil tetap aman dan dapat diprediksi.    

Untuk tim keamanan yang lebih kecil dengan sumber daya terbatas, apa langkah-langkah praktis pertama yang dapat mereka ambil untuk memperbaiki remediasi dan ketahanan?

Mulailah dengan otomatisasi pembaruan. Perkenalkan otomatisasi awal – terutama ketika Anda memiliki sumber daya terbatas – dan integrasikan keamanan ke dalamnya dari awal. Ini adalah langkah termudah yang sudah sangat mengurangi paparan terhadap pemindaian otomatis yang digunakan oleh penyerang.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut dapat mengunjungi Mondoo.