Shrav Mehta, Fondatore e Amministratore Delegato di Secureframe – Serie di Interviste

Shrav Mehta, Fondatore e Amministratore Delegato di Secureframe, è un imprenditore e leader tecnologico focalizzato sulla semplificazione della sicurezza informatica e della conformità normativa attraverso l’automazione. Ha fondato Secureframe nel 2020 dopo aver acquisito esperienza in ruoli di ingegneria e crescita in startup in rapida crescita, tra cui Pilot, Scale AI, Lob e Hired. All’inizio della sua carriera, ha fondato e scalato un portafoglio di applicazioni Android e giochi di successo che hanno raggiunto milioni di utenti. Sotto la sua guida, Secureframe è diventata una delle principali piattaforme di automazione della conformità alla sicurezza, aiutando le organizzazioni a semplificare processi di certificazione complessi mentre ottiene il sostegno di importanti soci di venture, tra cui Kleiner Perkins, Accomplice, Gradient Ventures, Base10 Partners e altri.

Secureframe è una piattaforma di automazione della sicurezza e della conformità che consente alle organizzazioni di ottenere e mantenere continuamente certificazioni di sicurezza e privacy di livello industriale con uno sforzo manuale significativamente ridotto. La piattaforma automatizza la raccolta di prove, il monitoraggio continuo, la formazione sulla consapevolezza della sicurezza, la gestione dei rischi dei fornitori e la preparazione degli audit attraverso centinaia di integrazioni con fornitori di servizi cloud, piattaforme di identità, strumenti di sviluppo e applicazioni aziendali. Supportando framework come SOC 2, ISO 27001, HIPAA, PCI DSS, NIST, CMMC, FedRAMP e GDPR, Secureframe aiuta le aziende a rafforzare la loro posizione di sicurezza mentre accelera le vendite aziendali rendendo la conformità più rapida, più scalabile e più facile da mantenere durante l’anno.

Prima di fondare Secureframe, ha lavorato in ruoli di ingegneria, marketing e crescita in aziende come Pilot, Scale AI, Lob e Hired, e ha anche costruito app Android che hanno raggiunto milioni di utenti. Quali esperienze specifiche l’hanno convinto che la conformità alla sicurezza era abbastanza rotta da dedicare un’azienda a risolverla?

Tutto è iniziato con la mia frustrazione personale. Durante la mia carriera, ho visto team di ingegneria molto intelligenti fermarsi non appena un importante cliente aziendale ha consegnato loro un questionario di sicurezza o ha richiesto un rapporto SOC 2. La conformità alla sicurezza è diventata un ostacolo alla crescita aziendale, invece di un acceleratore.

Ho iniziato a chiedere alle persone nella mia rete se avrebbero voluto strumenti per automatizzare questo. Molti hanno detto sì, ma non ero sicuro di quanto fossero seri fino a quando una persona non mi ha richiamato un mese dopo chiedendo dove fosse il prodotto. Ho lasciato il mio lavoro quella settimana e ho ufficialmente iniziato Secureframe. Quando abbiamo avuto un MVP, più di 40 aziende erano sulla nostra lista d’attesa.

Oggi, aiutiamo migliaia di aziende a navigare, mantenere e scalare questo lavoro critico. È profondamente gratificante vedere come la nostra piattaforma rimuove l’attrito, trasformando un collo di bottiglia storico in un acceleratore competitivo per i nostri clienti.

Il vostro recente summit sulla sicurezza informatica ha scoperto che sei su dieci professionisti della sicurezza ritengono di avere lacune critiche di intelligence sulle minacce. Perché pensa che molte organizzazioni continuino a lottare per capire la loro vera esposizione al rischio nonostante spendano molto in sicurezza informatica?

Una cosa che abbiamo costantemente visto lavorando con migliaia di organizzazioni è che la maggior parte dei team di sicurezza non manca di dati, ma manca di contesto. Stanno ricevendo avvisi da dozzine di strumenti, ma stanno ancora lottando per rispondere a domande di base come dove si trova i dati sensibili, chi ha accesso ad essi e quali sono i rischi specifici. In effetti, il nostro sondaggio ha mostrato che mentre il 60% consuma feed governativi standard, solo il 29% partecipa alla condivisione ISAC specifica dell’industria. Gli avvisi del governo sono preziosi, ma una volta che uno atterra nella tua casella di posta, la minaccia ha spesso già evoluto.

Il problema più profondo è che le reti si espandono più velocemente dell’inventario di ciò che si trova su di esse. Se non hai un’immagine chiara e aggiornata di dove si trovano i tuoi dati sensibili e chi li tocca, aggiungere un altro strumento di sicurezza non ti salverà.

Ha descritto un futuro in cui la sicurezza informatica diventa una forma di “guerra asimmetrica dell’AI”, con sia gli attaccanti che i difensori che utilizzano sistemi sempre più autonomi. Come ciò cambia fondamentalmente il modo in cui i team di sicurezza aziendale devono operare?

Quando l’AI può eseguire la maggior parte di un’operazione in modo autonomo, ricognizione, sfruttamento e movimento laterale con un minimo coinvolgimento umano, un analista umano che apre un ticket alle 9 del mattino per un avviso che è stato inviato alle 2 del mattino ha già perso la battaglia.

Il ruolo del professionista della sicurezza si sposta da rispondente attivo a orchestratore: impostazione delle politiche, convalida dell’integrità dei sistemi difensivi ed eliminazione dei punti ciechi piuttosto che triage di una lunga coda di avvisi di basso livello.

Durante il nostro summit, l’ex direttore della sicurezza informatica della NSA Rob Joyce l’ha detto chiaramente: “Non c’è ritorno al modello di minaccia pre-AI. Le decisioni che si prendono sulla difesa sono decisioni sul nuovo normale. Non stiamo preparandoci per un futuro possibile.”

Se l’AI consente agli attaccanti di ridurre i tempi di attacco da ore a secondi, quali sono i punti deboli più grandi nei modelli di sicurezza e conformità tradizionali che rendono le organizzazioni vulnerabili?

Il punto debole più grande è la convalida manuale, statica o a tempo determinato. La conformità tradizionale si basa sulla compilazione della documentazione una volta all’anno per dimostrare che un controllo funzionava in una data specifica. Quel modello si rompe quando il software viene generato, iterato e distribuito continuamente. Uno snapshot preso l’ultimo trimestre potrebbe non dirti molto sulla tua posizione di sicurezza oggi. È per questo che framework come FedRAMP stanno passando alla convalida automatizzata e persistente.

Un secondo punto debole importante è quanto sono piatte molte reti aziendali. Quando i sistemi operativi sensibili si trovano sulla stessa rete degli strumenti aziendali di uso quotidiano, un account compromesso può diventare un problema molto più grande molto velocemente.

Molte organizzazioni trattano ancora la conformità come un esercizio di audit periodico. Perché pensa che questa mentalità stia diventando pericolosa in un’era in cui le minacce evolvono continuamente?

Perché gli avversari non attaccano secondo il tuo calendario di audit. Sfruttano il divario tra come i tuoi sistemi apparivano durante una valutazione e come sono effettivamente configurati tre mesi dopo. Le configurazioni si spostano, gli impiegati vanno e vengono, viene integrato nuovo software; tutto ciò crea un’esposizione che una revisione annuale non catturerà mai.

I framework di conformità come SOC 2 o CMMC sono destinati a definire un piano operativo, non una linea di arrivo. Trattarli come un progetto periodico è come le aziende finiscono per avere problemi nelle ri-valutazioni o, peggio, in incidenti di sicurezza tra i cicli di valutazione.

Cosa sembra un modello di protezione continua basato sull’AI in pratica e come si differenzia dai centri di operazioni di sicurezza che la maggior parte delle aziende si affida oggi?

Oggi, i team di sicurezza spendono la maggior parte del loro tempo triando manualmente un diluvio di avvisi, indagando su incidenti uno per uno e raccogliendo prove per audit attraverso screenshot, fogli di calcolo e documentazione a tempo determinato.

Un modello basato sull’AI inverte questo. Invece di analisti che inseguono avvisi, sistemi automatizzati monitorano continuamente modelli di comportamento attraverso dati, identità e infrastrutture. Quando qualcosa si discosta da un baseline stabilito, workflow automatizzati chiudono il divario immediatamente invece di aspettare che un umano se ne accorga e agisca.

L’AI può anche prendere il controllo del fardello della documentazione interamente, generando e mantenendo valutazioni dei rischi, prove di controllo e registri di conformità in base allo stato live dell’ambiente piuttosto che uno snapshot preso prima di un audit. Il team di sicurezza si sposta dal fare quel lavoro a supervisionare i sistemi che lo fanno.

Le minacce informatiche degli Stati nazionali stanno diventando più sofisticate e meglio finanziate. Quali capacità pensa che le aziende debbano sviluppare nei prossimi tre anni per rimanere resilienti contro questo tipo di avversari?

Definizione precisa dell’ambito dei dati, verifica automatizzata della catena di approvvigionamento e architetture di sicurezza basate sul comportamento.

Gli attori nazionali sono eccellenti nel confondersi usando credenziali rubate e strumenti di sistema legittimi per muoversi attraverso le reti senza scatenare avvisi convenzionali. Catturare quel tipo di attività richiede il monitoraggio dei modelli di comportamento, non solo la scansione per firme di malware note.

Sul lato della catena di approvvigionamento, i nostri dati di sondaggio hanno mostrato che il 58% dei professionisti della sicurezza cita il rischio dei fornitori come la loro più grande lacuna irrisolta. Revisionare manualmente i fogli di calcolo dei fornitori una volta all’anno mentre attori sofisticati stanno prendendo di mira i vostri fornitori non è una vera difesa.

Infine, mantenere ambienti sensibili isolati dal resto della rete aziendale riduce drasticamente l’esposizione. Le organizzazioni che controllavano meglio i costi di conformità facevano così limitando quanto i loro dati sensibili potessero diffondersi per prima.

Man mano che l’AI diventa più capace, pensa che il divario delle competenze in materia di sicurezza informatica si allargherà o si ridurrà? Quali ruoli di sicurezza saranno più importanti e quali potrebbero diventare sempre più automatizzati?

Penso che il divario delle competenze in materia di sicurezza informatica si allargherà in complessità ma si ridurrà in volume. L’AI gestirà il lavoro ripetitivo e routinario che storicamente ha consumato gli analisti junior come la revisione dei log, la documentazione di base e il patching semplice. Ciò libera capacità, ma aumenta anche la barra per ciò che i professionisti qualificati devono sapere.

I ruoli che saranno più importanti in futuro sono quelli focalizzati sull’architettura e sulla governance: professionisti che possono progettare sistemi resilienti, valutare la sicurezza delle pipeline di AI e interpretare un ambiente normativo in rapida evoluzione.

Secureframe si è espansa dall’automazione della conformità al monitoraggio della sicurezza più ampia e alla remediation basata sull’AI. Dove vede la linea tra governance, gestione del rischio, conformità e difesa cibernetica attiva iniziare a confondersi?

Queste funzioni erano sempre separate artificialmente. Nella pratica, sono tutte espressioni della stessa domanda: puoi dimostrare che i tuoi sistemi stanno facendo ciò che dici che stanno facendo?

Quando un sistema automatizzato chiude una lacuna di sicurezza in tempo reale, ha simultaneamente aggiornato la tua posizione di rischio, registrato un evento di governance e generato prove di conformità. Il cambiamento che stiamo vedendo è dalla conformità a tempo determinato alla fiducia continua, e l’AI è sempre più come questa fiducia viene validata. Non solo mantenuta.

Guardando avanti, pensa che stiamo avvicinandoci a un punto in cui i sistemi di AI saranno responsabili della difesa delle infrastrutture critiche con un minimo intervento umano, o il giudizio umano rimarrà l’ultima garanzia contro gli attacchi informatici su larga scala?

Sempre richiederà entrambi, e la cultura di leadership determinerà quanto bene funzionerà ciascun elemento.

L’ex CIO di CISA Bob Costello ha fatto questo punto al nostro summit quando ha descritto come SolarWinds ha cambiato la conversazione federale: spostandosi dal trattare la conformità come un esercizio di spunta di caselle verso una comprensione genuina della posizione di rischio in tempo reale di un intero ambiente. Quel cambiamento di mentalità è ciò che separa le organizzazioni resilienti da quelle vulnerabili.

Le aziende che escono avanti sanno dove si trovano i loro dati sensibili prima che qualcuno lo chieda, hanno sostituito la raccolta manuale delle prove con sistemi automatizzati e hanno costruito una cultura in cui i comportamenti di sicurezza sono incorporati nel lavoro quotidiano piuttosto che riservati per la formazione annuale. Per coloro che operano in ambienti regolamentati o ad alto rischio, la finestra per la modernizzazione graduale si sta chiudendo.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Secureframe.