Tsahy Shapsa, Co-Founder & Co-CEO di Jit – Wawancara Keamanan Siber

Tsahy Shapsa adalah Co-Founder & Co-CEO di Jit, sebuah platform yang memungkinkan mempermudah keamanan berkelanjutan, sehingga pengembang dapat membangun aplikasi cloud yang aman dari hari pertama.

Anda telah terlibat dalam keamanan siber sebagian besar karir Anda, apa yang awalnya menarik Anda ke industri ini?

Mengembangkan, saya selalu tertarik pada fiksi ilmiah, dan itu adalah film “WarGames” yang benar-benar memicu imajinasi saya tentang peran komputer dalam keamanan dunia kita. Ketika saya menonton film tentang seorang hacker muda yang tidak sengaja terjebak dalam konflik siber yang berisiko tinggi, saya menjadi terpesona oleh kemungkinan dan tantangan masa depan digital. Kemudian dalam hidup, sebagai orang dewasa yang dikelilingi oleh semangat inovatif “Negara Start-Up” Israel, saya merasa panggilan kuat untuk berkontribusi pada domain yang menarik dan penting ini. Inspirasi ini, dikombinasikan dengan imigrasi saya ke Amerika Serikat, ‘tanah peluang’, membawa saya untuk memulai perusahaan keamanan siber pertama saya. Saya beruntung dapat memainkan peran dalam membentuk masa depan keamanan siber sambil mengadopsi semangat kewirausahaan dari dua negara asal saya – AS & Israel.

Apakah Anda bisa membagikan kisah asal Jit?

Kisah asal Jit.io dimulai ketika saya dan rekan pendiri saya mengidentifikasi celah kritis dalam lanskap keamanan siber. Ketika tim teknik modern dengan cepat mengadopsi pendekatan CI/CD, integrasi keamanan siber sering kali tertinggal, yang meningkatkan risiko kerentanan. Bagian dari masalahnya adalah ketersediaan alat keamanan siber yang sangat banyak, dengan tim teknik yang sering perlu menjahit 15-20 alat di seluruh AppSec, CI/CD, Cloud, dan DAST untuk menciptakan solusi keamanan yang komprehensif. Setiap alat ini memiliki onboarding, manajemen, dan pengalaman pengembang yang unik, yang secara signifikan memperlambat kecepatan pengembangan.

Dorong oleh misi untuk membuatnya sangat mudah bagi tim-tim ini untuk mengintegrasikan keamanan siber ke dalam pipa CI/CD mereka, Jit.io lahir. Tim saya berusaha untuk mempercepat DevSecOps dengan hati-hati memilih alat keamanan siber open-source terbaik dan mengemasnya menjadi satu platform yang terintegrasi. Dengan menawarkan DevX yang disederhanakan, Jit.io memberdayakan tim teknik modern untuk mengintegrasikan dan mengelola keamanan produk mereka, menghilangkan kebutuhan akan integrasi rantai alat yang kompleks dan proses onboarding yang memakan waktu. Ini memastikan bahwa langkah-langkah keamanan aplikasi yang kuat tidak hanya menjadi pemikiran belakangan, tetapi komponen penting dan mudah diakses dari proses pengembangan.

Pendekatan inovatif ini telah menempatkan Jit.io sebagai pemain game di bidang keamanan siber, merevolusi cara tim teknik menangani lanskap ancaman digital yang terus berkembang dengan menyederhanakan dan mengonsolidasikan implementasi alat keamanan esensial, pada akhirnya meningkatkan kecepatan pengembangan dan efisiensi.

Bagi pembaca yang tidak familiar dengan istilah DevSecOps, bisa Anda jelaskan untuk kami?

DevSecOps adalah praktik mengintegrasikan keamanan ke setiap tahap proses pengembangan perangkat lunak dan penerapan untuk tim teknik modern, menggabungkan AppSec, keamanan CI/CD, dan keamanan cloud. Ini memungkinkan pengembang untuk memiliki keamanan produk mereka sama seperti mereka memiliki CI dan CD, sambil memfasilitasi kolaborasi dan tanggung jawab bersama di antara tim pengembangan, keamanan, dan operasi.

Jit memungkinkan pengembang untuk memiliki keamanan untuk produk yang mereka bangun sejak hari pertama, mengapa sangat penting untuk memprioritaskan keamanan pada tahap awal?

Menggunakan analogi konstruksi bangunan, mari kita pertimbangkan bagaimana DevSecOps mencakup berbagai aspek proses pengembangan perangkat lunak, termasuk AppSec (Keamanan Aplikasi), CI/CD (Integrasi dan Penerapan Berkelanjutan), Cloud, dan DAST (Pengujian Keamanan Aplikasi Dinamis).

Di proses konstruksi bangunan, AppSec serupa dengan memastikan bahan bangunan dan desain arsitektur aman dan memenuhi standar keamanan. CI/CD mirip dengan koordinasi yang mulus dari kegiatan konstruksi, memungkinkan perakitan dan integrasi komponen yang efisien, seperti plumbing, listrik, dan sistem keamanan. Keamanan cloud mewakili infrastruktur dan utilitas yang mendukung bangunan, seperti pasokan air, listrik, dan koneksi internet. Akhirnya, DAST setara dengan melakukan inspeksi keamanan rutin dan tes untuk mengidentifikasi dan mengatasi kerentanan potensial dalam sistem keamanan bangunan.

Dengan mengintegrasikan DevSecOps ke seluruh siklus hidup pengembangan perangkat lunak, organisasi dapat memastikan bahwa keamanan menjadi bagian integral dari setiap tahap, dari merancang kode aplikasi yang aman (AppSec) dan mengintegrasikan langkah-langkah keamanan ke dalam pipa CI/CD, hingga mengamankan infrastruktur cloud dan melakukan tes keamanan dinamis (DAST). Pendekatan holistik ini membantu menciptakan aplikasi yang lebih aman dan andal, serta meminimalkan kerentanan dan risiko keamanan di semua aspek proses pengembangan perangkat lunak.

Bagaimana Jit membedakan diri dari alat keamanan siber lainnya?

Jit membedakan diri dari alat keamanan siber lainnya dengan menawarkan platform DevSecOps yang komprehensif dan terintegrasi yang menyederhanakan integrasi dan manajemen alat keamanan siber ‘shift-left’ di seluruh AppSec, CI/CD, Cloud, dan DAST. Pendekatan ini menyederhanakan operasi keamanan dan pengalaman pengembang, memungkinkan kolaborasi yang mulus.

Dengan menghilangkan kebutuhan akan integrasi rantai alat yang kompleks dan kunci vendor, Jit memungkinkan insinyur keamanan produk dan aplikasi untuk memilih solusi keamanan terbaik untuk kebutuhan spesifik mereka. Fleksibilitas ini memungkinkan tim untuk membangun langkah-langkah keamanan yang kuat sambil mempertahankan pengalaman pengembang asli.

Fokus Jit pada pengalaman yang konsisten dan mulus untuk pengembang dan tim keamanan memungkinkan pemantauan, analisis, dan respons yang lebih efisien terhadap ancaman di semua aspek siklus hidup pengembangan perangkat lunak. Sebagai hasilnya, Jit mempercepat implementasi praktik DevSecOps terbaik dan mempromosikan tanggung jawab bersama untuk keamanan di seluruh organisasi.

Anda sering membahas tentang menghindari ‘kunci alat’ untuk memiliki platform DevSecOps yang tahan lama, bisa Anda jelaskan apa itu kunci alat dan mengapa itu menjadi masalah?

Dalam konteks DevSecOps dan vendor keamanan siber ‘shift-left’, kunci alat dapat menjadi sangat bermasalah karena beberapa alasan:

1. Portofolio produk yang biasa-biasa saja: Banyak vendor keamanan siber ‘shift-left’ awalnya sukses karena satu produk luar biasa. Namun, ketika mereka memperluas penawaran mereka, seringkali melalui akuisisi, mereka mungkin berakhir dengan portofolio produk yang tidak terintegrasi dengan baik atau tidak menawarkan solusi terbaik untuk setiap aspek keamanan.
2. Taktik penjualan dan pemasaran: Vendor dengan portofolio yang beragam sering menggunakan berbagai taktik penjualan dan pemasaran untuk “memaksa” pelanggan membeli seluruh suite produk mereka. Pendekatan ini mencegah pengguna memiliki kebebasan untuk memilih solusi keamanan terbaik dan dapat menyebabkan hasil keamanan yang suboptimal.
3. Keterbatasan adaptasi: Kunci alat membatasi kemampuan organisasi untuk beradaptasi dengan ancaman keamanan yang berkembang atau mengambil keuntungan dari kemajuan teknologi. Ketika terkunci pada penawaran vendor tertentu, menjadi sulit untuk menjelajahi dan mengadopsi solusi keamanan yang lebih baik ketika mereka tersedia.
4. Pengurangan inovasi: Mengandalkan portofolio vendor tunggal untuk keamanan dapat mematikan inovasi, karena organisasi mungkin menjadi terlalu fokus pada kemampuan alat saat ini daripada mencari solusi alternatif yang lebih unggul.

Untuk membangun rantai alat DevSecOps yang tahan lama dan menghindari jebakan kunci alat, sangat penting bagi organisasi untuk mempertahankan fleksibilitas untuk memilih solusi keamanan terbaik yang disesuaikan dengan kebutuhan mereka. Pendekatan ini memungkinkan organisasi untuk menciptakan posisi keamanan yang lebih kuat dan efektif, pada akhirnya mempromosikan inovasi dan adaptasi dalam menghadapi lanskap keamanan yang terus berubah.

Bagaimana Jit menciptakan solusi ‘one-stop’ yang terintegrasi yang menghindari masalah ini?

Jit menangani masalah kunci alat dengan memprioritaskan fleksibilitas, integrasi, dan adaptasi. Berikut adalah bagaimana Jit mencapai ini:

1. Integrasi alat yang mulus: Platform Jit dirancang untuk mengintegrasikan solusi keamanan terbaik di seluruh AppSec, CI/CD, Cloud, dan DAST. Ini memungkinkan organisasi untuk memilih alat terbaik untuk kebutuhan spesifik mereka, sementara Jit menangani kompleksitas manajemen dan integrasi alat yang berbeda menjadi sistem yang kohesif.
2. Fleksibilitas dan pilihan: Jit memberdayakan organisasi untuk menghindari kunci vendor dengan memberikan kebebasan untuk memilih dan beralih antara alat keamanan yang berbeda seiring dengan berkembangnya kebutuhan mereka. Fleksibilitas ini memastikan bahwa organisasi dapat selalu mengadopsi solusi keamanan terbaik untuk kebutuhan keamanan mereka, tanpa terikat pada portofolio vendor tertentu.
3. Pengalaman pengembang dan operasi keamanan yang terintegrasi: Jit menyederhanakan pengalaman pengembang dan operasi keamanan dengan menyediakan antarmuka yang konsisten dan ramah pengguna untuk mengelola dan berinteraksi dengan berbagai alat keamanan. Pengalaman terintegrasi ini memudahkan proses integrasi praktik keamanan ke dalam siklus hidup pengembangan perangkat lunak dan memastikan bahwa pengembang dan tim keamanan dapat berkolaborasi secara efektif.
4. Inovasi dan adaptasi berkelanjutan: Dengan memungkinkan organisasi untuk memanfaatkan solusi keamanan terbaik, Jit mempromosikan inovasi dan adaptasi berkelanjutan. Ketika alat keamanan dan teknologi baru muncul, platform Jit dapat dengan mudah mengakomodasi kemajuan ini, memastikan bahwa organisasi selalu memiliki akses ke solusi keamanan terdepan.

Dengan menawarkan platform terintegrasi yang fleksibel yang menyederhanakan integrasi dan manajemen alat keamanan, Jit secara efektif menghindari jebakan kunci alat dan memungkinkan organisasi untuk membangun platform DevSecOps yang tahan lama yang dapat beradaptasi dan tumbuh dengan kebutuhan keamanan yang berkembang.

Jit-DevSecOps menjelaskan diri sebagai pendekatan yang ramping dan iteratif untuk menambahkan keamanan ‘Just-In-Time’. Bisa Anda menjelaskan pentingnya menerapkan keamanan dengan cara ini?

Jit-DevSecOps, sebuah pendekatan yang ramping dan iteratif untuk menambahkan keamanan “Just-In-Time,” menekankan pentingnya integrasi keamanan yang tepat waktu dan efisien. Metode ini memungkinkan deteksi dan perbaikan kerentanan pada tahap awal, siklus pengembangan yang lebih cepat, dan kolaborasi yang ditingkatkan. Pendekatan berbasis perubahan/delta Jit fokus pada menangani masalah keamanan seiring dengan kemunculannya, memastikan bahwa kerentanan paling kritis diperbaiki terlebih dahulu. Dengan memprioritaskan mentalitas perbaikan terlebih dahulu dan beradaptasi dengan lanskap keamanan yang terus berubah, Jit-DevSecOps memungkinkan organisasi untuk mempertahankan keamanan yang kuat sambil memastikan kelenturan dan efisiensi dalam proses pengembangan.

Apa visi Anda untuk masa depan DevSecOps dan keamanan siber pada umumnya?

Visi saya untuk masa depan DevSecOps dan keamanan siber adalah untuk memanfaatkan kekuatan teknologi canggih seperti kecerdasan buatan, pembelajaran mesin, dan otomatisasi untuk mengidentifikasi dan menanggapi ancaman secara real-time. Misalnya, solusi keamanan yang didorong oleh kecerdasan buatan dapat membantu mendeteksi anomali dan kerentanan potensial, sementara respons insiden yang otomatis dapat membantu mengandung dan memitigasi insiden keamanan.

Selain itu, kita akan menjelajahi teknologi yang muncul seperti blockchain dan enkripsi untuk meningkatkan keamanan data dan privasi. Teknologi ini dapat membantu memastikan integritas dan kerahasiaan data, serta mencegah akses atau manipulasi yang tidak sah.

Secara keseluruhan, visi saya menekankan pentingnya kolaborasi, inovasi, dan langkah-langkah proaktif untuk tetap mendahului ancaman yang muncul. Dan tentu saja, kita akan selalu mengingat aturan emas keamanan siber: komputer yang aman hanya ada jika tidak pernah dihidupkan.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut dapat mengunjungi Jit.