Tom Findling, Co-Fondatore e Amministratore Delegato di Conifers – Serie di Interviste

Tom Findling è un leader strategico con una provata esperienza nel go-to-market (GTM), prodotto e scienza dei dati. Avendo ricoperto il ruolo di Chief Customer Officer in IntSights (acquisita da Rapid7) e successivamente di Senior Director of Product in Rapid7, porta una miscela unica di visione strategica ed esecuzione alla gestione di operazioni su larga scala. Inoltre, ha ricoperto ruoli di GTM e prodotto in VMware e SUS.

Conifers offre una piattaforma CognitiveSOC alimentata da intelligenza artificiale che migliora le capacità dei centri di operazioni di sicurezza integrandosi con gli strumenti esistenti, ingerendo i dati e il profilo di rischio unici di un’organizzazione e adattandosi continuamente ai flussi di lavoro di indagine. Affronta sfide comuni come il volume eccessivo di allarmi, la visibilità limitata delle prestazioni del SOC e i sistemi generici che adottano un approccio “uno-size-fits-all” abilitando indagini più approfondite, modellando la conoscenza istituzionale e utilizzando loop di feedback per raffinare l’accuratezza e ridurre il rumore. La piattaforma è progettata per fornire risultati misurabili, tra cui un ritorno triennale sugli investimenti e una riduzione dell’87% del tempo di indagine.

Ha avuto una lunga carriera nella sicurezza informatica, da IntSights a Rapid7—quali esperienze l’hanno portato a co-fondare Conifers e qual è il problema che ha cercato di risolvere?

Durante la mia carriera, ho visto i team di operazioni di sicurezza lottare sotto il peso di troppi allarmi, strumenti e pressione. In IntSights, ho osservato quanto fosse difficile per gli esseri umani agire sull’intelligence prodotta. In Rapid7, ho affrontato la sfida di scalare il nostro team con meno persone per supportare una base di clienti più ampia ridisegnando il modo in cui veniva svolto il lavoro e implementando la scienza dei dati per gestire i compiti ad alto volume. È stato allora che ho iniziato a credere che gestire un centro di operazioni di sicurezza (SOC) nel modo tradizionale non sarebbe durato. Conifers è nata dai nostri sforzi per risolvere quel problema di scalabilità. Volevamo costruire una soluzione in grado di scalare per gestire i volumi sempre crescenti di minacce e dati senza bruciare le persone. Quindi, abbiamo creato CognitiveSOC, la nostra piattaforma di agenti SOC alimentata da intelligenza artificiale.

Conifers si posiziona come un “moltiplicatore di forza SOC alimentato da intelligenza artificiale”. Come si differenzia la piattaforma CognitiveSOC dagli strumenti di automazione SOC tradizionali?

La maggior parte degli strumenti di automazione nel SOC sono stati costruiti su playbook statici. Eseguono una serie di passaggi prestabiliti ma falliscono quando gli attaccanti si comportano in modi imprevedibili o quando l’ambiente cambia. CognitiveSOC è una piattaforma di intelligenza artificiale agente che può apprendere e adattarsi a cambiamenti ambientali. Correla i dati, utilizza la conoscenza istituzionale e trae conclusioni senza dover scrivere ogni passaggio del processo. La piattaforma supporta gli analisti piuttosto che sostituirli e diventa sempre più forte attraverso il feedback e l’apprendimento piuttosto che richiedere la manutenzione manuale. Quella crescita costante nella capacità è ciò che la rende un vero moltiplicatore di forza.

I team del SOC spesso si lamentano della stanchezza degli allarmi e del burnout. Come Conifers affronta questa sfida in termini pratici?

CognitiveSOC affronta la stanchezza degli allarmi riducendo il rumore prima che raggiunga l’analista. Prende il costante flusso di allarmi da tutti gli strumenti e li consolida in indagini che già contengono il contesto rilevante. Invece di far stare l’analista a guardare un diluvio di allarmi lampeggianti, sta esaminando un insieme molto più piccolo di indagini che includono contesto storico, prove e cause probabili. Gli analisti possono quindi digerire le informazioni e prendere decisioni invece di inseguire segnali grezzi, il che aiuta a ridurre la stanchezza e il burnout.

La fiducia è fondamentale nella sicurezza informatica—come l’approccio “human-in-the-loop” costruisce la fiducia nella presa di decisioni guidata da intelligenza artificiale?

La chiave della fiducia è la trasparenza e il controllo. Gli analisti rimangono in carica del sistema e vengono presentati con raccomandazioni ed explicazioni che possono confermare o annullare e fornire una valutazione. Nel tempo, mentre vedono il sistema prendere decisioni accurate, possono permettere che gestisca più azioni in modo automatico. Questo approccio consente ai team di testare e correggere il sistema mentre mantengono l’autorità nelle mani umane. Costruiamo fiducia e adozione trattando l’intelligenza artificiale come un partner che apprende dagli analisti invece di una scatola nera che prende decisioni inspiegabili.

Il vostro framework di implementazione a fasi consente un’adozione graduale. Perché l’avete progettato in questo modo e come aiuta le organizzazioni a superare la resistenza all’intelligenza artificiale?

Sapevamo fin dall’inizio che la maggiore barriera all’adozione sarebbe stata la fiducia nell’adozione dell’intelligenza artificiale. Se si entra in un SOC e si dice al team di consegnare le operazioni a un sistema di intelligenza artificiale, la risposta sarà no. Rompendo l’adozione in fasi, consentiamo alle organizzazioni di iniziare con un numero limitato di casi d’uso e di scalarli nel tempo. Ogni fase dimostra il valore e costruisce la fiducia, il che rende la fase successiva più facile da accettare. Questo percorso graduale costruisce la fiducia, sostituisce l’esitazione con prove e assicura che i team si sentano in controllo.

Le metriche sono una grande parte della dimostrazione del valore nella sicurezza. Quali KPI dovrebbero le organizzazioni tracciare per misurare il progresso verso un SOC autonomo?

Le misure più importanti sono la velocità di rilevamento, risposta e rimedio, nonché la qualità e il rapporto tra allarmi grezzi e indagini significative e contestualizzate. Un’altra misura è quanto carico di lavoro il sistema possa gestire senza coinvolgimento umano. Questi indicatori mostrano se il SOC sta diventando più efficiente, se gli analisti stanno venendo potenziati per concentrarsi su lavori di maggior valore e se l’organizzazione si sta avvicinando a un modello in cui l’intelligenza artificiale si occupa del lavoro pesante. Tracciare quei numeri fornisce una chiara prova di progresso.

Conifers sottolinea l’integrazione con i sistemi di gestione degli incidenti esistenti. Perché la non-disruption è stata una regola di progettazione fondamentale?

I team di sicurezza hanno investito molto nei loro strumenti e processi. La maggior parte della tecnologia esistente richiede ai team del SOC di “cambiare contesto” e spostarsi su un altro strumento per esaminare e risolvere gli allarmi. Rimuoviamo quella frizione incontrando gli analisti dove sono, integrati all’interno degli strumenti con cui già lavorano.

Cosa vede come il percorso a fasi dall’SOC semi-automatizzato di oggi a un futuro in cui gli agenti di intelligenza artificiale detengono più autorità sugli strumenti e i dati?

Il percorso verso un SOC autonomo inizia con l’aumento, dove l’intelligenza artificiale analizza e indaga gli allarmi con la supervisione umana. Da lì, le organizzazioni si spostano nella delega, permettendo al sistema di gestire più e più casi d’uso in modo autonomo. La fase finale è l’autonomia completa, quando gli agenti di intelligenza artificiale sono considerati affidabili per gestire la rilevazione e la risposta attraverso ambienti mentre le persone guidano la strategia e gestiscono situazioni uniche. Oggi, la maggior parte dei team è ancora in aumento con una prima delega, ma la fiducia nel passaggio di scenari di routine sta crescendo rapidamente e getterà le basi per l’autonomia completa.

Guardando avanti di cinque anni, come si aspetta che le operazioni del SOC evolveranno man mano che l’intelligenza artificiale matura—sia in termini di tecnologia che di ruolo dell’analista?

In cinque anni, i SOC saranno gestiti da sistemi che assomigliano più ad agenti autonomi che a dashboard. Questi agenti rileveranno, risponderanno e si adatteranno a nuove minacce e condivideranno anche conoscenze e politiche tra organizzazioni in tempo reale. Man mano che questa capacità matura, il ruolo dell’analista si sposterà verso la supervisione, la strategia e le indagini complesse. Il lavoro sarà meno concentrato sull’eliminazione di allarmi infiniti e più sull’applicazione dell’esperienza dove ha il maggior impatto. Il risultato sarà un SOC che si sente meno come un call center e più come una sala di controllo della missione.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Conifers.