Nabil Hannan, Field CISO di NetSPI – Serie di interviste

Nabil Hannan è il Field CISO (Chief Information Security Officer) di NetSPI. Lui guida la pratica di consulenza consulente della società, concentrandosi sull’aiutare i clienti a risolvere le loro esigenze di valutazione della sicurezza informatica e gestione delle minacce e vulnerabilità. Il suo background è nella costruzione e nel miglioramento di iniziative di sicurezza del software efficaci, con una profonda esperienza nel settore dei servizi finanziari.

NetSPI è una soluzione di sicurezza proattiva progettata per scoprire, priorizzare e rimediare alle vulnerabilità di sicurezza più critiche. Aiuta le organizzazioni a proteggere ciò che più conta per il loro business, abilitando un approccio proattivo alla sicurezza informatica con maggiore chiarezza, velocità e scala di prima.

Posso condividere un po’ del suo percorso nella sicurezza informatica e cosa l’ha portato a unirsi a NetSPI?

Ho iniziato a programmare quando avevo sette anni. La tecnologia mi ha sempre entusiasmato perché volevo sapere come funzionavano le cose, il che mi ha portato a smontare e rimontare molte cose a una giovane età.

Mentre studiavo scienze informatiche all’università, ho iniziato la mia carriera a Blackberry, dove ho lavorato come product manager per la piattaforma Blackberry Messenger e mi sono interessato alla progettazione hardware. Da lì, sono stato reclutato per unirsi a una piccola azienda nel dominio della sicurezza delle applicazioni – ero così appassionato che ero disposto a trasferirmi in un nuovo paese per ottenere il lavoro.

Quando considero il mio percorso nella sicurezza informatica, è iniziato dal basso. Ho iniziato come consulente associato facendo test di penetrazione, revisione del codice, modellazione delle minacce, test hardware e tutto il resto che i miei capi mi hanno chiesto di fare. Alla fine, ho costruito un servizio di test di penetrazione per Cigital, che in seguito è stato acquisito da Synopsys. Tutto ciò mi ha portato a NetSPI per aiutare a supportare la sua traiettoria di crescita nello spazio della sicurezza proattiva.

Come ha influenzato la sua esperienza nel settore dei servizi finanziari il suo approccio alla sicurezza informatica?

Mentre lavoravo a Synopsys, ho aiutato a costruire la strategia per la vendita di servizi e prodotti di sicurezza al settore dei servizi finanziari. Quindi, anche se non lavoravo direttamente nel settore dei servizi finanziari, ero responsabile della costruzione di strategie per quel settore, il che richiedeva di immergersi a fondo in quel settore per capire i suoi driver e punti deboli.

Crescendo nello spazio tecnologico, ho trascorso molto tempo lavorando con grandi organizzazioni di servizi finanziari in tutto il mondo. Avendo quella esperienza, ho concentrato il mio tempo e le mie competenze nello sviluppare una strategia per targeting e costruire servizi personalizzati per l’industria dei servizi finanziari nel suo complesso.

La cosa più grande che ho imparato dall’esposizione al settore dei servizi finanziari è che gli hacker vanno dove c’è il denaro. Gli hacker non lo fanno solo per divertimento; è la loro fonte di reddito. Vanno dove c’è il maggior impatto finanziario – sia rubando denaro in qualche forma o causando danni finanziari a un’organizzazione. Quella mentalità mi ha aiutato a comprendere la sicurezza informatica e mi ha portato a essere di successo nel mio ruolo attuale di Field CISO.

Quali sono le principali sfide di sicurezza informatica che le organizzazioni affrontano oggi?

La sfida più grande oggi è la velocità con cui ogni organizzazione deve operare per combattere le minacce in evoluzione e stare al passo con le tecnologie emergenti, come l’AI. Storicamente, c’era una metodologia a cascata per la costruzione del software, che non era necessariamente un processo veloce rispetto a come viene rilasciato il software oggi. Ora, abbiamo una metodologia più agile, dove le organizzazioni stanno cercando di costruire software e rilasciarlo in produzione il più velocemente possibile e fare implementazioni più piccole.

Gli ultimi 10 anni hanno mostrato un rapido cambiamento e accelerazione nell’ecosistema della sicurezza. Ciò sta causando molti problemi per le grandi organizzazioni, come l’IT ombra, rendendo più difficile ottenere informazioni sulla superficie di attacco e sugli asset. Non puoi proteggere ciò che non puoi vedere.

L’adozione del cloud aggiunge a questo incendio – più le persone adottano, adottano e migrano verso il cloud, più i sistemi software e gli asset diventano elastici. La capacità di scalare software e hardware su e giù in modo elastico rende il cambiamento ancora più difficile da gestire. Mentre i sistemi sono costruiti con potenziale elastico, si creano sfide dove gli asset cambiano proprietà più frequentemente e si creano opportunità per gli attori malintenzionati di trovare modi per entrare in un’organizzazione.

Come pensa che il panorama della sicurezza informatica cambierà nei prossimi cinque anni?

La necessità di una maggiore visibilità sugli asset esterni e interni continuerà a essere importante nei prossimi cinque anni e cambierà il modo in cui i clienti lavorano con i fornitori. È già un’area su cui ci concentriamo molto a NetSPI. A giugno, abbiamo acquisito una soluzione di gestione della superficie di attacco degli asset informatici (CAASM) e di gestione della postura di sicurezza chiamata Hubble Technology. Aggiungendo CAASM alle nostre capacità di gestione della superficie di attacco esterna (EASM) stabilite, abilita i nostri clienti a identificare continuamente nuovi asset e rischi, rimediare ai punti ciechi dei controlli di sicurezza e ottenere una visione olistica della postura di sicurezza fornendo un inventario preciso degli asset informatici, sia esterni che interni – qualcosa che mancava nell’industria fino a questo punto.

Unendo le nostre capacità EASM e CAASM alla Piattaforma NetSPI, possiamo fornire ai clienti gli strumenti di cui hanno bisogno per affrontare le sfide di visibilità in corso. Ciò migliora anche la capacità di priorizzare con precisione i rischi associati agli asset e alle vulnerabilità. Inoltre, aiuta i leader della sicurezza a valutare l’esposizione dei loro asset più importanti in relazione a questi rischi.

Come si differenzia l’approccio di NetSPI alla gestione delle vulnerabilità da quello di altre aziende del settore?

Di recente, abbiamo presentato una nuova piattaforma di sicurezza proattiva unificata, che unisce il nostro servizio di test di penetrazione come servizio (PTaaS), la gestione della superficie di attacco esterna (EASM), la gestione della superficie di attacco degli asset informatici (CAASM) e la simulazione di attacco e violazione (BAS) in una sola soluzione. Con la Piattaforma NetSPI, i clienti possono adottare un approccio proattivo alla sicurezza informatica con maggiore chiarezza, velocità e scala di prima. Questo nuovo approccio proattivo riflette le tendenze che vediamo nel settore e lo spostamento verso l’adozione rapida di servizi di piattaforma olistici e completi.

Come viene utilizzato l’AI per migliorare le misure di sicurezza a NetSPI?

Come ogni leader della sicurezza informatica ti dirà, l’AI ha il potenziale per catalizzare il successo aziendale, ma ha anche il potenziale per alimentare attacchi avversari. A NetSPI, stiamo cercando di aiutare i nostri clienti a stare al passo con l’implementazione di modelli di test di penetrazione AI/ML, che garantisce che la sicurezza sia considerata dall’ideazione all’implementazione identificando, analizzando e mitigando i rischi associati agli attacchi avversari sui sistemi ML, con un focus sui LLM. Nella sicurezza informatica, le capacità AI hanno migliorato e adottato la nostra capacità di monitorare e rimediare le minacce in tempo reale.

Quali sono i rischi potenziali associati all’AI nella sicurezza informatica e come possono essere mitigati?

Basato sulle conversazioni che sto avendo con altri leader della sicurezza informatica, il più grande rischio AI è la mancanza di base di igiene dei dati e della sicurezza informatica delle organizzazioni. Come sappiamo, le soluzioni AI sono solo efficaci quanto i dati sui quali sono addestrate. Se le organizzazioni non hanno una presa salda sull’inventario e sulla classificazione dei dati, allora c’è il rischio che i loro modelli soffrano e siano propensi a lacune di sicurezza.

Quando le persone vedono la parola “intelligenza” nell’AI, si sbagliano pensando che sia “inherentemente intelligente” o addirittura abbia una sorta di coscienza. Ma non è il caso. I pratici della sicurezza devono ancora programmare i modelli AI per farli capire quali asset sono personali, privati, pubblici e così via. Senza quei meccanismi, l’AI può scendere nel caos. Quello, a mio parere, è il più grande problema tra i CISO attualmente.

Posso chiederle di spiegare come il servizio di test di penetrazione di NetSPI (PTaaS) aiuta le organizzazioni a mantenere una sicurezza robusta?

Il test di penetrazione è critico per la postura di sicurezza informatica complessiva di un’organizzazione perché fornisce ai team una maggiore comprensione delle vulnerabilità specifiche del loro business.

Il test di penetrazione è anche un ottimo test per vedere quanto sono efficaci altri controlli di sicurezza, come la revisione del codice, la modellazione delle minacce, il test di sicurezza delle applicazioni statico (SAST), il test di sicurezza delle applicazioni dinamico (DAST), il test di sicurezza delle applicazioni interattivo (IAST) e altri che potresti aver implementato in precedenza.

Il test di penetrazione regolare favorisce la collaborazione in tempo reale con gli esperti di sicurezza che possono portare una prospettiva diversa e aggiungere più profondità ai dati. Alla fine di un test di penetrazione di successo, le organizzazioni avranno una migliore comprensione di quali parti del loro ambiente IT sono più suscettibili alle violazioni. Quando un test di penetrazione rileva vulnerabilità, spesso evidenzia lacune nei controlli più precoci o controlli che mancano del tutto. Comprenderanno anche come raggiungere la conformità, dove concentrare gli sforzi di rimedio e come i team IT e di sicurezza possono lavorare insieme per stare al passo con le possibili implicazioni aziendali.

Collaborando con fornitori specializzati in PTaaS per integrare una postura di sicurezza robusta, le organizzazioni possono essere più preparate a prevenire proattivamente gli incidenti di sicurezza.

Come integra sia la tecnologia che l’esperienza umana per fornire soluzioni di sicurezza complete?

NetSPI crede che sia necessario avere sia la tecnologia che gli esseri umani per fornire una strategia di sicurezza solida per stare al passo con le minacce note e sconosciute. Gli esseri umani devono essere coinvolti per convalidare, priorizzare e contestualizzare gli output generati dagli strumenti. Non siamo nel business di fornire alle persone falsi positivi o generare rumore, portandole a spendere più tempo per capire cosa sia realmente importante. In altre parole, puoi avere una grande tecnologia, ma hai bisogno di qualcuno che la utilizzi e la interpreti per essere di successo.

Ci sono molti compiti noiosi che l’AI può fare più velocemente e con maggiore accuratezza degli esseri umani. Se la tecnologia può essere costruita in modo affidabile, allora ciò ci permetterà di automatizzare determinati compiti e liberare tempo per i team di sicurezza per concentrarsi su un pensiero più creativo e sulla risoluzione di problemi critici che l’AI semplicemente non può sostituire.

Quali consigli strategici offre generalmente ai clienti per rafforzare la loro postura di sicurezza informatica?

Una trappola comune in cui le persone cadono è investire in cose che capiscono. Ad esempio, un’azienda potrebbe portare un leader con un background di sicurezza cloud. Naturalmente, si concentrano quindi sul costruire una squadra di sicurezza cloud, invece di, diciamo, conformità, sicurezza di rete, sicurezza delle applicazioni e così via, dove l’organizzazione potrebbe realmente avere bisogno di supporto.

È meglio avere un programma più completo che si concentri su tutto in modo olistico. Quindi, inizi a costruire una difesa in profondità e hai controlli che mitigano altri fallimenti che potresti avere in diverse parti dell’organizzazione. Costruire un programma completo è meglio che investire più tempo, sforzo e strumenti in un particolare settore.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare NetSPI.