Nabil Hannan, Field CISO di NetSPI – Seri Wawancara

Nabil Hannan adalah Field CISO (Chief Information Security Officer) di NetSPI. Ia memimpin praktik konsultasi penasihat perusahaan, fokus membantu klien memecahkan kebutuhan penilaian keamanan siber dan pengelolaan ancaman serta kerentanan. Latar belakangnya adalah membangun dan meningkatkan inisiatif keamanan perangkat lunak yang efektif, dengan keahlian mendalam di sektor jasa keuangan.

NetSPI adalah solusi keamanan proaktif yang dirancang untuk menemukan, memprioritaskan, dan memperbaiki kerentanan keamanan yang paling kritis. Ini membantu organisasi melindungi apa yang paling penting bagi bisnis mereka dengan memungkinkan pendekatan proaktif terhadap keamanan siber dengan kejelasan, kecepatan, dan skala yang lebih besar daripada sebelumnya.

Apakah Anda bisa berbagi sedikit tentang perjalanan Anda di keamanan siber dan apa yang membuat Anda bergabung dengan NetSPI?

Saya telah memprogram sejak saya berusia tujuh tahun. Teknologi selalu membuat saya terkesan karena saya ingin tahu bagaimana hal-hal bekerja, yang kemudian membuat saya mengambil banyak hal dan mempelajari bagaimana memasangnya kembali pada usia dini.

Ketika saya belajar ilmu komputer di perguruan tinggi, saya memulai karir saya di Blackberry, di mana saya bekerja sebagai manajer produk untuk Platform Messenger Blackberry dan menjadi tertarik dengan desain perangkat keras. Dari sana, saya direkrut untuk bergabung dengan perusahaan kecil di domain keamanan aplikasi – saya sangat bersemangat tentang hal itu sehingga saya mau pindah ke negara baru untuk mendapatkan pekerjaan itu.

Ketika saya mempertimbangkan perjalanan saya di keamanan siber, itu dimulai dari bawah. Saya memulai sebagai konsultan asosiasi yang melakukan pengujian penetrasi, tinjauan kode, pemodelan ancaman, pengujian perangkat keras, dan apa pun yang bos saya lemparkan kepada saya. Akhirnya, saya bekerja untuk membangun layanan pengujian penetrasi untuk Cigital, yang kemudian diakuisisi oleh Synopsys. Semua ini membawa saya ke NetSPI untuk membantu mendukung jalur pertumbuhan perusahaan di ruang keamanan proaktif.

Bagaimana pengalaman Anda di sektor jasa keuangan membentuk pendekatan Anda terhadap keamanan siber?

Ketika bekerja di Synopsys, saya membantu membangun strategi untuk menjual layanan dan produk keamanan ke industri jasa keuangan. Jadi, meskipun saya tidak bekerja langsung di jasa keuangan, saya bertanggung jawab untuk membangun strategi untuk sektor tersebut, yang memerlukan memahami penggerak dan titik sakit vertikal tersebut.

Berkembang di ruang teknologi, saya menghabiskan waktu yang cukup lama bekerja dengan organisasi jasa keuangan besar di seluruh dunia. Dengan latar belakang itu, saya fokus waktu dan keterampilan saya untuk mengembangkan strategi untuk menargetkan dan membangun layanan yang disesuaikan dengan industri jasa keuangan secara keseluruhan.

Hal terbesar yang saya pelajari dari paparan sektor jasa keuangan adalah bahwa peretas pergi ke mana ada uang. Peretas tidak melakukan ini hanya untuk kesenangan; itu adalah sumber pendapatan mereka. Mereka pergi ke tempat yang memiliki dampak keuangan terbesar – apakah itu mencuri uang dalam bentuk apa pun atau menyebabkan kerusakan keuangan pada suatu organisasi. Pola pikir itu telah membantu membentuk pemahaman saya tentang keamanan siber dan membuat saya sukses dalam peran saya sebagai Field CISO.

Apa yang Anda lihat sebagai tantangan keamanan siber terbesar yang dihadapi organisasi saat ini?

Tantangan terbesar saat ini adalah kecepatan di mana setiap organisasi perlu beroperasi untuk melawan ancaman yang berkembang dan mengikuti teknologi yang muncul, seperti AI. Secara historis, ada metodologi air terjun untuk membangun perangkat lunak, yang tidak selalu proses yang cepat dibandingkan dengan bagaimana perangkat lunak diterapkan saat ini. Sekarang, kita memiliki metodologi yang lebih agile, di mana organisasi mencoba membangun perangkat lunak dan merilisnya ke produksi secepat mungkin dan melakukan implementasi yang lebih kecil.

Sepuluh tahun terakhir menunjukkan perubahan dan percepatan yang cepat di ekosistem keamanan. Ini menyebabkan banyak masalah bagi organisasi besar, seperti IT bayangan, membuatnya lebih sulit untuk mendapatkan wawasan tentang permukaan serangan dan aset mereka. Anda tidak bisa melindungi apa yang tidak bisa Anda lihat.

Adopsi cloud menambahkan api ke dalamnya – semakin banyak orang yang beradaptasi, mengadopsi, dan bermigrasi ke cloud, semakin elastis sistem perangkat lunak dan aset menjadi. Kemampuan untuk menskalakan perangkat lunak dan perangkat keras ke atas dan ke bawah dengan cara yang elastis membuat perubahan menjadi lebih sulit untuk dikelola. Ketika sistem dibangun dengan potensi elastis, Anda menyebabkan tantangan di mana aset berubah kepemilikan lebih sering dan menciptakan peluang bagi aktor jahat untuk menemukan cara masuk ke dalam suatu organisasi.

Bagaimana Anda pikir lanskap keamanan siber akan berubah dalam lima tahun ke depan?

Kebutuhan akan visibilitas yang lebih besar terhadap aset eksternal dan internal akan terus menjadi penting dalam lima tahun ke depan dan mengubah cara pelanggan bekerja dengan vendor. Ini sudah menjadi area yang kami fokuskan secara intens di NetSPI. Pada bulan Juni, kami mengakuisisi solusi manajemen permukaan serangan aset siber (CAASM) dan manajemen postur keamanan siber yang disebut Hubble Technology. Menambahkan CAASM ke kemampuan manajemen permukaan serangan eksternal (EASM) yang sudah ada memungkinkan pelanggan kami untuk terus mengidentifikasi aset dan risiko baru, memperbaiki blind spot kontrol keamanan, dan mendapatkan gambaran holistik tentang postur keamanan mereka dengan menyediakan inventori akurat aset siber, baik eksternal maupun internal – sesuatu yang hilang di industri hingga titik ini.

Menggabungkan kemampuan EASM dan CAASM kami ke dalam Platform NetSPI memungkinkan kami untuk menyediakan pelanggan dengan alat yang mereka butuhkan untuk mengatasi tantangan visibilitas yang berkelanjutan. Ini juga meningkatkan kemampuan untuk memprioritaskan risiko yang terkait dengan aset dan kerentanan dengan akurat. Selain itu, ini membantu pemimpin keamanan menilai paparan aset mereka yang paling penting dalam kaitannya dengan risiko tersebut.

Bagaimana pendekatan NetSPI terhadap manajemen kerentanan berbeda dari perusahaan lain di industri?

Baru-baru ini, kami meluncurkan platform keamanan proaktif terpadu baru, yang menggabungkan Penetration Testing as a Service (PTaaS), External Attack Surface Management (EASM), Cyber Asset Attack Surface Management (CAASM), dan Breach and Attack Simulation (BAS) kami menjadi satu solusi. Dengan Platform NetSPI, pelanggan dapat mengambil pendekatan proaktif terhadap keamanan siber dengan kejelasan, kecepatan, dan skala yang lebih besar daripada sebelumnya. Pendekatan proaktif baru ini mencerminkan tren yang kami lihat di industri, dan pergeseran dari solusi titik yang terpisah, dan menuju adopsi cepat layanan platform yang lebih holistik dan end-to-end.

Bagaimana AI digunakan untuk meningkatkan langkah-langkah keamanan di NetSPI?

seperti yang akan dikatakan oleh setiap pemimpin keamanan siber, AI memiliki potensi untuk memicu kesuksesan bisnis, tetapi juga memiliki potensi untuk memberi makan serangan lawan. Di NetSPI, kami mencoba membantu pelanggan kami tetap mendahului kurva dengan mengimplementasikan model pengujian penetrasi AI/ML, yang memastikan keamanan dipertimbangkan dari ideasi hingga implementasi dengan mengidentifikasi, menganalisis, dan memitigasi risiko yang terkait dengan serangan lawan pada sistem ML, dengan penekanan pada LLMs. Dalam keamanan siber, kemampuan AI telah meningkatkan dan mengadopsi kemampuan kami untuk memantau dan memperbaiki ancaman secara real-time.

Apa risiko potensial yang terkait dengan AI dalam keamanan siber, dan bagaimana mereka dapat diminimalkan?

Berdasarkan percakapan yang saya lakukan dengan pemimpin keamanan siber lainnya, risiko AI terbesar adalah kurangnya kebersihan data dan keamanan siber dasar di organisasi. Seperti yang kita ketahui, solusi AI hanya seefektif data yang digunakan untuk melatih model tersebut. Jika organisasi tidak memiliki pemahaman yang kuat tentang inventori dan klasifikasi data, maka ada risiko bahwa model mereka akan menderita dan rentan terhadap celah keamanan.

Ketika orang melihat kata “kecerdasan” dalam AI, mereka salah mengerti bahwa itu “secara inheren cerdas” atau bahkan memiliki jenis kesadaran. Tapi itu tidak benar. Praktisi keamanan masih perlu memprogram model AI untuk membuat mereka memahami apa aset yang pribadi, pribadi, umum, dan sebagainya. Tanpa mekanisme tersebut, AI dapat menjadi kacau. Itu, menurut saya, adalah kekhawatiran terbesar di antara CISO saat ini.

Apakah Anda bisa menjelaskan bagaimana Penetration Testing as a Service (PTaaS) NetSPI membantu organisasi mempertahankan keamanan yang kuat?

Pengujian penetrasi sangat penting untuk postur keamanan siber suatu organisasi secara keseluruhan karena memberikan tim wawasan yang lebih besar tentang kerentanan khusus bisnis mereka.

Pengujian penetrasi juga merupakan tes litmus yang baik untuk melihat seberapa efektif kontrol keamanan lainnya, seperti tinjauan kode, pemodelan ancaman, Pengujian Keamanan Aplikasi Statis (SAST), Pengujian Keamanan Aplikasi Dinamis (DAST), Pengujian Keamanan Aplikasi Interaktif (IAST), dan lain-lain yang mungkin telah diimplementasikan sebelumnya.

Pengujian penetrasi teratur memfasilitasi kolaborasi waktu nyata dengan ahli keamanan yang dapat membawa perspektif lain yang menambah kedalaman data. Pada akhir pengujian penetrasi yang sukses, organisasi akan memiliki wawasan yang lebih baik tentang bagian mana dari lingkungan TI mereka yang lebih rentan terhadap pelanggaran. Ketika pengujian penetrasi mendeteksi kerentanan, mereka sering menyoroti celah dalam kontrol lebih awal dalam siklus hidup atau kontrol yang hilang sama sekali. Mereka juga akan memahami bagaimana mencapai kepatuhan, di mana fokus upaya perbaikan, dan bagaimana tim TI dan keamanan dapat bekerja sama untuk tetap berada di atas implikasi bisnis potensial.

Bagaimana Anda mengintegrasikan teknologi dan keahlian manusia untuk menyediakan solusi keamanan yang komprehensif?

NetSPI percaya bahwa Anda memerlukan teknologi dan manusia untuk menyediakan strategi yang solid untuk tetap mendahului ancaman yang diketahui dan tidak diketahui. Manusia harus berada dalam loop untuk memvalidasi, memprioritaskan, dan mengkontekstualisasikan output yang dihasilkan oleh alat. Kami tidak berada dalam bisnis memberikan orang-orang hasil positif palsu atau menghasilkan kebisingan, yang menyebabkan mereka menghabiskan lebih banyak waktu untuk mengetahui apa yang benar-benar penting. Dengan kata lain, Anda bisa memiliki teknologi hebat, tetapi Anda memerlukan seseorang untuk benar-benar menggunakannya dan memotongnya untuk berhasil.

Apa saran strategis yang biasanya Anda berikan kepada klien untuk memperkuat postur keamanan siber mereka?

Perangkap umum yang orang jatuh adalah berinvestasi pada hal-hal yang mereka pahami. Misalnya, perusahaan mungkin membawa seorang pemimpin dengan latar belakang keamanan cloud. Secara alami, mereka kemudian fokus pada membangun tim keamanan cloud, bukan, misalnya, kepatuhan, keamanan jaringan, keamanan aplikasi, dan sebagainya, di mana organisasi mungkin benar-benar membutuhkan dukungan.

Lebih baik memiliki program yang lebih seimbang yang fokus pada segalanya secara holistik. Kemudian, Anda mulai membangun pertahanan dalam dan memiliki kontrol yang memitigasi kegagalan lain yang mungkin Anda miliki di bagian lain organisasi. Membangun program yang seimbang lebih baik daripada berinvestasi lebih banyak waktu, upaya, dan alat ke dalam satu sektor tertentu.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut harus mengunjungi NetSPI.