Shrav Mehta, Pendiri dan CEO Secureframe – Seri Wawancara

Shrav Mehta, Pendiri dan CEO Secureframe, adalah seorang wirausaha dan pemimpin teknologi yang fokus pada menyederhanakan keamanan siber dan kepatuhan peraturan melalui otomatisasi. Ia mendirikan Secureframe pada tahun 2020 setelah membangun pengalaman di bidang teknik dan pertumbuhan di perusahaan rintisan yang berkembang pesat, termasuk Pilot, Scale AI, Lob, dan Hired. Pada awal karirnya, ia mendirikan dan mengembangkan portofolio aplikasi Android dan game yang sukses yang mencapai jutaan pengguna. Di bawah kepemimpinannya, Secureframe telah menjadi salah satu platform otomatisasi kepatuhan keamanan terkemuka, membantu organisasi menyederhanakan proses sertifikasi yang kompleks sambil mendapatkan dukungan dari firma ventura terkemuka, termasuk Kleiner Perkins, Accomplice, Gradient Ventures, Base10 Partners, dan lain-lain.

Secureframe adalah platform otomatisasi keamanan siber dan kepatuhan yang memungkinkan organisasi mencapai dan mempertahankan sertifikasi keamanan dan privasi industri terkemuka dengan upaya manual yang jauh lebih sedikit. Platform ini mengotomatisasi pengumpulan bukti, pemantauan terus-menerus, pelatihan kesadaran keamanan, manajemen risiko vendor, dan persiapan audit melalui ratusan integrasi dengan penyedia cloud, platform identitas, alat pengembangan, dan aplikasi bisnis. Mendukung kerangka kerja termasuk SOC 2, ISO 27001, HIPAA, PCI DSS, NIST, CMMC, FedRAMP, dan GDPR, Secureframe membantu perusahaan memperkuat postur keamanan mereka sambil mempercepat penjualan perusahaan dengan membuat kepatuhan lebih cepat, lebih skalabel, dan lebih mudah dipertahankan sepanjang tahun.

Sebelum mendirikan Secureframe, Anda bekerja di berbagai peran teknik, pemasaran, dan pertumbuhan di perusahaan seperti Pilot, Scale AI, Lob, dan Hired, dan bahkan membangun aplikasi Android yang mencapai jutaan pengguna. Pengalaman apa yang membuat Anda yakin bahwa kepatuhan keamanan rusak sehingga Anda memutuskan untuk mendirikan perusahaan untuk menyelesaikannya?

Semua itu dimulai dengan frustrasi pribadi saya. Sepanjang karir saya, saya menyaksikan tim teknik yang sangat tajam terhenti saat pelanggan perusahaan besar memberikan mereka kuesioner keamanan atau meminta laporan SOC 2. Kepatuhan keamanan siber menjadi hambatan bagi pertumbuhan bisnis, bukan pendorong.

Saya mulai bertanya kepada orang-orang di jaringan saya apakah mereka ingin memiliki alat untuk mengotomatisasi proses ini. Banyak yang mengatakan ya, tetapi saya tidak yakin seberapa serius mereka sampai seseorang menelepon saya kembali sebulan kemudian dan bertanya di mana produknya. Saya meninggalkan pekerjaan saya pada minggu itu dan secara resmi memulai Secureframe. Ketika kami memiliki produk minimum yang layak, lebih dari 40 perusahaan sudah ada di daftar tunggu kami.

Hari ini, kami membantu ribuan perusahaan menavigasi, mempertahankan, dan mengembangkan pekerjaan kritis ini. Sangat memuaskan untuk melihat bagaimana platform kami menghilangkan gesekan, mengubah bottleneck historis menjadi pendorong kompetitif bagi pelanggan kami.

Summit keamanan siber terbaru Anda menemukan bahwa enam dari sepuluh profesional keamanan percaya bahwa mereka memiliki celah kecerdasan ancaman yang kritis. Mengapa Anda pikir banyak organisasi masih bergelut untuk memahami paparan risiko sebenarnya mereka meskipun menghabiskan banyak uang untuk keamanan siber?

Salah satu hal yang kami lihat secara konsisten saat bekerja dengan ribuan organisasi adalah bahwa sebagian besar tim keamanan tidak kekurangan data, tetapi kekurangan konteks. Mereka menerima peringatan dari lusinan alat, tetapi masih berjuang untuk menjawab pertanyaan dasar seperti di mana data sensitif berada, siapa yang memiliki akses ke sana, dan apa risiko spesifik mereka. Faktanya, polling kami menunjukkan bahwa sementara 60% mengonsumsi umpan pemerintah standar, hanya 29% yang berpartisipasi dalam berbagi ISAC spesifik industri. Peringatan pemerintah sangat berharga, tetapi ketika peringatan tersebut masuk ke kotak masuk Anda, ancaman telah sering berkembang.

Masalah yang lebih dalam adalah bahwa jaringan berkembang lebih cepat daripada inventori apa yang ada di dalamnya. Jika Anda tidak memiliki gambaran yang jelas dan mutakhir tentang di mana data sensitif Anda berada dan siapa yang menyentuhnya, menambahkan alat keamanan lain tidak akan menyelamatkan Anda.

Anda telah menggambarkan masa depan di mana keamanan siber menjadi bentuk “perang AI simetris”, dengan baik penyerang dan pembela menggunakan sistem yang semakin otonom. Bagaimana ini secara fundamental mengubah cara tim keamanan perusahaan harus beroperasi?

Ketika AI dapat menjalankan sebagian besar operasi secara otonom, pengintaian, eksploitasi, dan pergerakan lateral dengan keterlibatan manusia minimal, analis manusia yang membuka tiket pada pukul 9 pagi untuk peringatan yang dikirim pada pukul 2 pagi sudah kehilangan pertempuran.

Peran profesional keamanan bergeser dari responder aktif menjadi orkestrator: menetapkan kebijakan, memvalidasi integritas sistem pertahanan, dan menghilangkan blind spot daripada menangani antrian peringatan yang tidak berakhir.

Selama summit kami, mantan Direktur Keamanan Siber NSA Rob Joyce mengatakan dengan jelas: “Tidak ada kembali ke model ancaman pra-AI. Keputusan yang Anda buat tentang pertahanan Anda adalah keputusan tentang normal baru. Kami tidak mempersiapkan diri untuk masa depan yang mungkin.”

Jika AI memungkinkan penyerang untuk mengurangi waktu breakout dari jam ke detik, apa kelemahan terbesar dalam model keamanan dan kepatuhan tradisional saat ini yang membuat organisasi rentan?

Kelemahan terbesar adalah validasi statis, manual, atau titik-waktu. Kepatuhan tradisional bergantung pada mengompilasi dokumentasi sekali setahun untuk membuktikan bahwa kontrol berfungsi pada tanggal tertentu. Model itu runtuh ketika perangkat lunak dihasilkan, diiterasi, dan diterapkan secara terus-menerus. Snapshot yang diambil trimester lalu mungkin tidak memberitahu Anda banyak tentang postur keamanan Anda hari ini. Itulah mengapa kerangka kerja seperti FedRAMP bergerak menuju validasi otomatis dan persisten.

Kelemahan besar lainnya adalah bagaimana banyak jaringan perusahaan masih datar. Ketika sistem operasional sensitif berada di jaringan yang sama dengan alat perusahaan sehari-hari, satu akun yang dikompromikan dapat menjadi masalah yang jauh lebih besar dengan sangat cepat.

Banyak organisasi masih memperlakukan kepatuhan sebagai latihan audit berkala. Mengapa Anda percaya bahwa mentalitas ini menjadi berbahaya di era di mana ancaman berkembang terus?

Karena musuh tidak menyerang sesuai dengan jadwal audit Anda. Mereka mengeksploitasi celah antara bagaimana sistem Anda terlihat selama penilaian dan bagaimana sebenarnya mereka dikonfigurasi tiga bulan kemudian. Konfigurasi bergeser, karyawan datang dan pergi, perangkat lunak baru diintegrasikan; semua ini menciptakan paparan yang tinjauan tahunan tidak akan pernah tangkap.

Kerangka kepatuhan seperti SOC 2 atau CMMC dimaksudkan untuk menentukan lantai operasional, bukan garis finish. Memperlakukan mereka sebagai proyek berkala adalah bagaimana perusahaan berakhir dengan masalah dalam penilaian ulang atau, lebih buruk, dalam insiden keamanan antara siklus penilaian.

Apa yang dimaksud dengan model perlindungan terus-menerus yang didorong AI sebenarnya terlihat seperti dalam praktek, dan bagaimana itu berbeda dari pusat operasi keamanan yang sebagian besar perusahaan andalkan saat ini?

Hari ini, tim keamanan menghabiskan sebagian besar waktu mereka dengan menangani banjir peringatan, menyelidiki insiden satu per satu, dan mengumpulkan bukti untuk audit melalui screenshot, spreadsheet, dan dokumentasi titik-waktu.

Model yang didorong AI membalikkan itu. Alih-alih analis mengejar peringatan, sistem otomatis terus-menerus memantau pola perilaku di seluruh data, identitas, dan infrastruktur. Ketika sesuatu menyimpang dari baseline yang ditetapkan, alur kerja otomatis menutup celah segera daripada menunggu manusia untuk memperhatikan dan bertindak.

AI juga dapat mengambil alih beban dokumentasi sepenuhnya, menghasilkan dan memelihara penilaian risiko, bukti kontrol, dan catatan kepatuhan berdasarkan keadaan langsung lingkungan daripada snapshot yang diambil sebelum audit. Tim keamanan bergeser dari melakukan pekerjaan itu untuk mengawasi sistem yang melakukannya.

Ancaman siber negara-bangsa menjadi lebih canggih dan lebih didanai. Apa kemampuan yang Anda percaya perusahaan harus kembangkan dalam tiga tahun ke depan untuk tetap tangguh melawan jenis-jenis musuh seperti itu?

Pengawasan data yang tepat, verifikasi rantai pasokan yang diotomatisasi, dan arsitektur keamanan berbasis perilaku.

Aktor negara-bangsa sangat baik dalam menyamar menggunakan kredensial yang dicuri dan alat sistem yang sah untuk bergerak melalui jaringan tanpa memicu peringatan konvensional. Menangkap aktivitas seperti itu memerlukan pemantauan pola perilaku, bukan hanya memindai tanda tangan malware yang diketahui.

Di sisi rantai pasokan, data survei kami menunjukkan bahwa 58% praktisi keamanan menyebutkan risiko vendor pihak ketiga sebagai celah terbesar yang belum terpecahkan. Meninjau spreadsheet vendor secara manual sekali setahun sementara aktor canggih menargetkan supplier Anda bukanlah pertahanan yang nyata.

Akhirnya, menjaga lingkungan sensitif terisolasi dari jaringan perusahaan lainnya secara dramatis mengurangi paparan Anda. Organisasi yang mengendalikan biaya kepatuhan mereka dengan paling efektif melakukannya dengan membatasi seberapa jauh data sensitif mereka dapat menyebar pertama-tama.

Ketika AI menjadi lebih mampu, apakah Anda mengharapkan kesenjangan keterampilan keamanan siber akan melebar atau menyempit? Apa peran keamanan yang kemungkinan akan menjadi lebih penting, dan mana yang mungkin menjadi lebih otomatis?

Saya pikir kesenjangan keterampilan keamanan siber akan melebar dalam kompleksitas tetapi menyempit dalam volume. AI akan menangani pekerjaan rutin yang berulang-ulang yang secara historis mengonsumsi analis junior seperti tinjauan log, dokumentasi dasar, dan patching sederhana. Itu membebaskan kapasitas, tetapi juga meningkatkan standar untuk apa yang praktisi terampil perlu ketahui.

Peran yang akan paling penting ke depan adalah mereka yang fokus pada arsitektur dan tata kelola: profesional yang dapat merancang sistem yang tangguh, menilai keamanan pipa AI itu sendiri, dan menafsirkan lingkungan regulasi yang berubah dengan cepat.

Secureframe telah berkembang dari otomatisasi kepatuhan ke pemantauan keamanan yang lebih luas dan remediasi yang didorong AI. Di mana Anda melihat garis antara tata kelola, manajemen risiko, kepatuhan, dan pertahanan siber aktif mulai kabur?

Fungsi-fungsi tersebut selalu dipisahkan secara artifisial. Dalam praktek, mereka semua merupakan ekspresi dari pertanyaan yang sama: apakah Anda dapat menunjukkan bahwa sistem Anda melakukan apa yang Anda katakan mereka lakukan?

Ketika sistem otomatis menutup celah keamanan secara real-time, itu telah secara bersamaan memperbarui postur risiko Anda, mencatat kejadian tata kelola, dan menghasilkan bukti kepatuhan. Perubahan yang kita lihat adalah dari kepatuhan titik-waktu ke kepercayaan terus-menerus, dan AI semakin menjadi cara kepercayaan itu divalidasi. Bukan hanya dipertahankan.

Menghadap ke depan, apakah Anda percaya kita mendekati titik di mana sistem AI akan bertanggung jawab untuk mempertahankan infrastruktur kritis dengan intervensi manusia minimal, atau apakah penilaian manusia akan tetap menjadi pertahanan terakhir melawan serangan siber besar-besaran?

Akan selalu memerlukan keduanya, dan budaya kepemimpinan akan menentukan seberapa baik elemen mana pun bekerja.

Mantan CIO CISA Bob Costello membuat poin ini pada summit kami ketika ia menjelaskan bagaimana SolarWinds mengubah percakapan federal: beralih dari memperlakukan kepatuhan sebagai latihan kotak centang menuju memahami postur risiko nyata lingkungan secara nyata. Perubahan mentalitas itu adalah apa yang memisahkan organisasi yang tangguh dari yang rentan.

Perusahaan yang unggul tahu di mana data sensitif mereka berada sebelum siapa pun bertanya, telah menggantikan pengumpulan bukti manual dengan sistem otomatis, dan telah membangun budaya di mana perilaku keamanan tertanam dalam pekerjaan sehari-hari daripada disimpan untuk pelatihan tahunan. Bagi mereka yang beroperasi di lingkungan yang diatur atau berisiko tinggi, jendela untuk modernisasi bertahap menutup.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut dapat mengunjungi Secureframe.