Tsahy Shapsa, Co-Fondatore e Co-CEO di Jit – Interviste sulla Sicurezza Informatica

Tsahy Shapsa è il Co-Fondatore e Co-CEO di Jit, una piattaforma che consente di semplificare la sicurezza continua, in modo che gli sviluppatori possano creare applicazioni cloud sicure fin dal primo giorno.

Da quanto tempo sei coinvolto nella sicurezza informatica e cosa ti ha inizialmente attirato verso questo settore?

Da giovane, ero sempre stato affascinato dalla fantascienza e il film “WarGames” mi ha veramente acceso l’immaginazione sul ruolo dei computer nella sicurezza del nostro mondo. Mentre guardavo il film, il giovane hacker che si trovava involontariamente in un conflitto informatico ad alto rischio, mi ha fatto capire le possibilità e le sfide di un futuro digitale. In seguito, come adulto circondato dallo spirito innovativo della “Startup Nation” israeliana, ho sentito una forte vocazione a contribuire a questo dominio emozionante e cruciale. Questa ispirazione, combinata con la mia immigrazione negli Stati Uniti, “la terra delle opportunità”, mi ha portato a fondare la mia prima azienda di sicurezza informatica. Sono stato fortunato a poter giocare un ruolo nella formazione del futuro della sicurezza informatica, abbracciando lo spirito imprenditoriale dei miei due paesi di origine – Stati Uniti e Israele.

Potresti condividere la storia di come è nata Jit?

La storia di Jit.io è iniziata quando io e i miei co-fondatori abbiamo identificato una lacuna critica nel panorama della sicurezza informatica. Mentre i team di ingegneria moderni adottavano rapidamente l’approccio CI/CD, l’integrazione della sicurezza informatica spesso rimaneva indietro, portando a un aumento del rischio di vulnerabilità. Parte del problema era la grande quantità di strumenti di sicurezza “shift-left” disponibili, con i team di ingegneria che spesso dovevano combinare 15-20 strumenti across AppSec, CI/CD, Cloud e DAST per creare una soluzione di sicurezza completa. Ognuno di questi strumenti aveva il proprio processo di onboarding, gestione e esperienza per gli sviluppatori, che rallentava notevolmente la velocità di sviluppo.

Guidati dalla missione di rendere estremamente facile per questi team incorporare la sicurezza informatica nelle loro pipeline CI/CD, Jit.io è nata. Il mio team ha lavorato per accelerare DevSecOps, curando meticolosamente i migliori strumenti di sicurezza open-source e confezionandoli in una piattaforma unificata. Offrendo una DevX semplificata, Jit.io consente ai team di ingegneria moderni di integrare e gestire la sicurezza dei loro prodotti in modo semplice, eliminando la necessità di complesse integrazioni di strumenti e processi di onboarding lungi. Ciò garantisce che le misure di sicurezza delle applicazioni non siano solo un pensiero successivo, ma un componente essenziale e facilmente raggiungibile del processo di sviluppo.

Questo approccio innovativo ha posizionato Jit.io come un fattore di cambiamento nel settore della sicurezza informatica, rivoluzionando il modo in cui i team di ingegneria affrontano il mutevole panorama delle minacce digitali, semplificando e consolidando l’implementazione degli strumenti di sicurezza essenziali, aumentando così la velocità e l’efficienza di sviluppo.

Per i lettori che non conoscono il termine DevSecOps, potresti definirlo per noi?

DevSecOps è la pratica di integrare la sicurezza in ogni fase del processo di sviluppo e distribuzione del software per i team di ingegneria moderni, unificando AppSec, CI/CD security e cloud security. Ciò consente agli sviluppatori di possedere la sicurezza dei loro prodotti proprio come possiedono CI e CD, promuovendo la collaborazione e la condivisione di responsabilità tra i team di sviluppo, sicurezza e operazioni.

Jit consente agli sviluppatori di possedere la sicurezza dei prodotti che stanno costruendo fin dal primo giorno, perché è così importante dare priorità alla sicurezza in una fase così precoce?

Utilizzando un’analogia con la costruzione di un edificio, consideriamo come DevSecOps copre vari aspetti del processo di sviluppo del software, tra cui AppSec (Sicurezza delle Applicazioni), CI/CD (Integrazione Continua/Distribuzione Continua), Cloud e DAST (Test di Sicurezza delle Applicazioni Dinamiche).

Nel processo di costruzione di un edificio, AppSec è simile a garantire che i materiali da costruzione e il design architettonico siano sicuri e rispettino gli standard di sicurezza. CI/CD è paragonabile alla coordinazione senza soluzione di continuità delle attività di costruzione, consentendo un’efficiente assemblaggio e integrazione dei diversi componenti, come impianti idraulici, elettrici e di sicurezza. La sicurezza cloud rappresenta le infrastrutture e le utility che supportano l’edificio, come l’approvvigionamento idrico, l’elettricità e la connessione a Internet. Infine, DAST è paragonabile all’esecuzione di regolari ispezioni di sicurezza e test per identificare e affrontare le potenziali vulnerabilità nei sistemi di sicurezza dell’edificio.

Integrando DevSecOps in tutta la durata del ciclo di vita dello sviluppo del software, le organizzazioni possono garantire che la sicurezza sia un componente integrante di ogni fase, dalla progettazione di codice di applicazioni sicure (AppSec) all’integrazione efficiente di misure di sicurezza nella pipeline CI/CD, alla sicurezza dell’infrastruttura cloud e all’esecuzione di test di sicurezza dinamici (DAST). Questo approccio olistico aiuta a creare applicazioni più sicure e affidabili, minimizzando le vulnerabilità e i rischi di sicurezza in tutti gli aspetti del processo di sviluppo del software.

Potresti descrivere come Jit si differenzia da altri strumenti di sicurezza informatica?

Jit si differenzia da altri strumenti di sicurezza informatica offrendo una piattaforma DevSecOps completa e unificata che semplifica l’integrazione e la gestione di多pli strumenti di sicurezza “shift-left” across AppSec, CI/CD, Cloud e DAST. Questo approccio semplifica le operazioni di sicurezza e l’esperienza degli sviluppatori, consentendo una collaborazione senza soluzione di continuità.

Eliminando la necessità di complesse integrazioni di strumenti e di vendor lock-in, Jit consente ai team di ingegneria di scegliere le soluzioni di sicurezza più adatte alle loro esigenze specifiche. Questa flessibilità consente ai team di costruire misure di sicurezza robuste mantenendo un’esperienza nativa e coerente per gli sviluppatori.

L’attenzione di Jit per un’esperienza coerente e uniforme per gli sviluppatori e i team di sicurezza consente un monitoraggio, un’analisi e una risposta più efficienti alle minacce in tutti gli aspetti del ciclo di vita dello sviluppo del software. Di conseguenza, Jit accelera l’implementazione delle migliori pratiche DevSecOps e promuove una condivisione di responsabilità per la sicurezza in tutta l’organizzazione.

Spesso discuti dell’importanza di evitare il “vendor lock-in” per avere una piattaforma DevSecOps a prova di futuro, potresti descrivere cosa sia il vendor lock-in e perché sia un problema?

Nel contesto di DevSecOps e fornitori di sicurezza “shift-left”, il vendor lock-in può essere particolarmente problematico per diverse ragioni:

1. Portafoglio di prodotti mediocri: molti fornitori di sicurezza “shift-left” inizialmente ottengono successo grazie a un prodotto eccezionale. Tuttavia, quando espandono le loro offerte, spesso attraverso acquisizioni, possono finire con un portafoglio di prodotti mediocri che non si integrano bene o non offrono le migliori soluzioni per ogni aspetto della sicurezza.
2. Tattiche di vendita e marketing: i fornitori con un portafoglio diversificato spesso utilizzano varie tattiche di vendita e marketing per “costringere” i clienti all’acquisto di tutto il loro portfolio di prodotti. Questo approccio impedisce agli utenti di scegliere soluzioni all’avanguardia e può portare a risultati di sicurezza subottimali.
3. Limitata flessibilità: il vendor lock-in limita la capacità di un’organizzazione di adattarsi a minacce di sicurezza in evoluzione o di approfittare dei progressi tecnologici. Quando si è bloccati nelle offerte di un fornitore specifico, diventa difficile esplorare e adottare migliori soluzioni di sicurezza man mano che diventano disponibili.
4. Ridotta innovazione: affidarsi a un portafoglio di sicurezza di un solo fornitore può soffocare l’innovazione, poiché l’organizzazione potrebbe diventare eccessivamente focalizzata sulle capacità degli strumenti attuali, piuttosto che cercare soluzioni alternative e potenzialmente superiori.

Per costruire una catena di strumenti DevSecOps a prova di futuro ed evitare le insidie del vendor lock-in, è cruciale per le organizzazioni mantenere la flessibilità di scegliere le soluzioni di sicurezza all’avanguardia adatte alle loro esigenze. Questo approccio consente alle organizzazioni di creare una postura di sicurezza più robusta e efficace, promuovendo l’innovazione e l’adattabilità di fronte a paesaggi di sicurezza in continua evoluzione.

Come Jit crea una soluzione unificata e “one-stop” che evita questo problema?

Jit affronta il problema del vendor lock-in dando priorità alla flessibilità, all’integrazione e all’adattabilità. Ecco come Jit raggiunge questo obiettivo:

1. Integrazione senza soluzione di continuità di多pli strumenti: la piattaforma Jit è progettata per integrare le migliori soluzioni di sicurezza across AppSec, CI/CD, Cloud e DAST. Ciò consente alle organizzazioni di scegliere gli strumenti più adatti alle loro esigenze specifiche, mentre Jit gestisce le complessità della gestione e dell’integrazione di questi strumenti diversi in un sistema coerente.
2. Flessibilità e scelta: Jit consente alle organizzazioni di evitare il vendor lock-in offrendo la libertà di selezionare e passare tra diverse soluzioni di sicurezza man mano che le loro esigenze evolvono. Questa flessibilità garantisce che le organizzazioni possano sempre adottare le soluzioni di sicurezza più efficaci per le loro esigenze, senza essere vincolate dal portafoglio di un solo fornitore.
3. Esperienza unificata per gli sviluppatori e i team di sicurezza: Jit semplifica l’esperienza degli sviluppatori e delle operazioni di sicurezza offrendo un’interfaccia utente coerente e facile da usare per la gestione e l’interazione con diverse soluzioni di sicurezza. Questa esperienza unificata semplifica il processo di incorporazione delle pratiche di sicurezza nel ciclo di vita dello sviluppo del software e garantisce che gli sviluppatori e i team di sicurezza possano collaborare efficacemente.
4. Innovazione e adattabilità continua: consentendo alle organizzazioni di sfruttare le migliori soluzioni di sicurezza, Jit promuove l’innovazione e l’adattabilità continua. Man mano che emergono nuove soluzioni di sicurezza e tecnologie, la piattaforma Jit può facilmente accogliere questi progressi, garantendo che le organizzazioni abbiano sempre accesso alle soluzioni di sicurezza all’avanguardia.

Offrendo una piattaforma unificata e flessibile che integra senza soluzione di continuità多pli strumenti di sicurezza, mantenendo un’esperienza coerente per gli sviluppatori e i team di sicurezza, Jit evita efficacemente le insidie del vendor lock-in e consente alle organizzazioni di costruire piattaforme DevSecOps a prova di futuro che possano adattarsi e crescere con le loro esigenze di sicurezza in evoluzione.

Jit-DevSecOps si descrive come un approccio “lean” e iterativo per aggiungere la sicurezza “Just-In-Time”, potresti spiegare l’importanza di applicare la sicurezza in questo modo?

Jit-DevSecOps, un approccio “lean” e iterativo per aggiungere la sicurezza “Just-In-Time”, enfatizza l’importanza di un’integrazione della sicurezza tempestiva ed efficiente. Questo metodo consente la rilevazione e la correzione precoce delle vulnerabilità, cicli di sviluppo più rapidi e una migliore collaborazione. L’approccio basato sui cambiamenti/delta di Jit si concentra sull’affrontare le questioni di sicurezza man mano che si presentano, garantendo che le vulnerabilità più critiche vengano risolte per prime. Priorizzando una mentalità “fix-first” e adattandosi ai mutevoli paesaggi di sicurezza, Jit-DevSecOps consente alle organizzazioni di mantenere una sicurezza robusta mentre garantisce agilità ed efficienza nel processo di sviluppo.

Qual è la tua visione per il futuro della DevSecOps e della sicurezza informatica in generale?

La mia visione per il futuro della DevSecOps e della sicurezza informatica è quella di sfruttare il potere di tecnologie avanzate come l’intelligenza artificiale, il machine learning e l’automazione per identificare e rispondere alle minacce in tempo reale. Ad esempio, le soluzioni di sicurezza guidate dall’AI possono aiutare a rilevare anomalie e potenziali vulnerabilità, mentre la risposta agli incidenti automatizzata può aiutare a contenere e mitigare gli incidenti di sicurezza.

Inoltre, esploreremo tecnologie emergenti come blockchain e crittografia per migliorare la sicurezza e la privacy dei dati. Queste tecnologie possono aiutare a garantire l’integrità e la riservatezza dei dati, prevenendo l’accesso o la manipolazione non autorizzati.

Nel complesso, la mia visione sottolinea l’importanza della collaborazione, dell’innovazione e delle misure proattive per stare al passo con le minacce emergenti. E, naturalmente, ricorderemo sempre la regola d’oro della sicurezza informatica: l’unico computer sicuro è quello che è spento, sepolto nel cemento e mai acceso.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Jit.