Nir Valtman, CEO & ຜູ້ກໍ່ຕັ້ງຢູ່ Arnica - ຊຸດສໍາພາດ

Nir Valtman ເປັນ CEO ແລະຜູ້ກໍ່ຕັ້ງຢູ່ ອານິກາ, ເວທີທີ່ຊ່ວຍໃຫ້ວິສາຫະກິດສາມາດປົກປ້ອງລະບົບຕ່ອງໂສ້ການສະຫນອງຊອບແວຈາກຄວາມສ່ຽງໂດຍອັດຕະໂນມັດການດໍາເນີນງານຄວາມປອດໄພປະຈໍາວັນແລະສ້າງຄວາມເຂັ້ມແຂງໃຫ້ນັກພັດທະນາເປັນເຈົ້າຂອງຄວາມປອດໄພໂດຍບໍ່ມີຄວາມສ່ຽງຫຼືຄວາມໄວປະນີປະນອມ.

ໃນເບື້ອງຕົ້ນແມ່ນຫຍັງທີ່ດຶງດູດເຈົ້າໄປສູ່ຄວາມປອດໄພທາງອິນເຕີເນັດ?

ຂ້າ​ພະ​ເຈົ້າ​ໄດ້​ເຕີບ​ໂຕ​ຂຶ້ນ​ມາ​ມີ​ແນວ​ຄວາມ​ຄິດ hacking. ຂ້າພະເຈົ້າໄດ້ເລີ່ມຕົ້ນໂດຍການທໍາລາຍຫ້ອງທົດລອງຄອມພິວເຕີໃນຫຼັກສູດການເຂົ້າລະຫັດຄັ້ງທໍາອິດຂອງຂ້ອຍແລະ hack ເຂົ້າໄປໃນຄອມພິວເຕີອື່ນໆທີ່ມີທັກສະການຂຽນລະຫັດຫນ້ອຍທີ່ສຸດ, ທັງຫມົດໃນເວລາທີ່ຂ້ອຍອາຍຸ 13 ປີ. ໃນເວລາທີ່ຂ້າພະເຈົ້າໄດ້ເຂົ້າຮ່ວມການບໍລິການກອງທັບໃນອິດສະຣາເອນ, ຂ້າພະເຈົ້າໄດ້ຮັບການສຶກສາພາກປະຕິບັດໃນດ້ານປ້ອງກັນຂອງຄວາມປອດໄພ, ເຊິ່ງໃນທີ່ສຸດກໍ່ນໍາໄປສູ່ການເຮັດວຽກທີ່ເປັນມືອາຊີບຂອງຂ້າພະເຈົ້າໃນຄວາມປອດໄພທາງອິນເຕີເນັດ. 

ເຈົ້າສາມາດແບ່ງປັນເລື່ອງຕົ້ນກໍາເນີດທີ່ຢູ່ເບື້ອງຫຼັງ Arnica ໄດ້ບໍ?

ກ່ອນ Arnica, ຂ້າພະເຈົ້າໄດ້ເຮັດວຽກຢູ່ Finastra, ບໍລິສັດ FinTech ທີ່ໃຫຍ່ທີ່ສຸດອັນດັບສາມຂອງໂລກ, ເປັນ VP of Security. ຂີ້ຝຸ່ນຈາກ Solarwinds ທີ່ບໍ່ມີຊື່ສຽງແມ່ນພຽງແຕ່ຕົກລົງແລະ CEO ຂອງພວກເຮົາໄດ້ຖາມຂ້ອຍວ່າພວກເຮົາສາມາດຫຼຸດຜ່ອນຄວາມສ່ຽງຕໍ່ການໄດ້ຮັບຜົນກະທົບຈາກການໂຈມຕີລະບົບຕ່ອງໂສ້ການສະຫນອງຊອບແວ. ພວກເຮົາໄດ້ປະເມີນຜົນທີ່ສົມບູນແບບຂອງບໍລິສັດທີ່ສ້າງວິທີແກ້ໄຂໃນຊ່ອງນີ້, ຈໍານວນຫນ້ອຍທີ່ພວກເຮົາໄດ້ເຮັດຫຼັກຖານສະແດງແນວຄວາມຄິດ. ບໍ່ມີຜູ້ຂາຍໃດທີ່ເໝາະສົມກັບສິ່ງທີ່ພວກເຮົາກໍາລັງຊອກຫາ: ການຄຸ້ມຄອງທີ່ສົມບູນແບບ, ການຫຼຸດຜ່ອນຄວາມສ່ຽງຢ່າງຫ້າວຫັນ, ແລະປະສົບການນັກພັດທະນາທີ່ດີ. ໂດຍສະເພາະ, ລັກສະນະປະສົບການຂອງນັກພັດທະນາແມ່ນສໍາຄັນເພາະວ່າການແກ້ໄຂໃດໆທີ່ຂ້ອຍໄດ້ບັງຄັບໃຫ້ນັກພັດທະນາທີ່ຂັດຂວາງການເຮັດວຽກຂອງພວກເຂົາຈະຖືກປະຕິເສດແລະພວກເຮົາຈະກັບຄືນສູ່ສີ່ຫລ່ຽມ. 

ໂດຍບໍ່ມີການຊອກຫາວິທີແກ້ໄຂ, ຂ້າພະເຈົ້າໄດ້ຕັດສິນໃຈຄົ້ນຄວ້າທຸກໆການໂຈມຕີລະບົບຕ່ອງໂສ້ການສະຫນອງຊອບແວທີ່ໄດ້ເກີດຂຶ້ນໃນໄລຍະ 5 ປີທີ່ຜ່ານມາເພື່ອສ້າງຄວາມເຂົ້າໃຈກ່ຽວກັບອາການທີ່ສໍາຄັນແລະວິທີການປ້ອງກັນພວກມັນ. ໃນເວລາດຽວກັນ, ຂ້າພະເຈົ້າໄດ້ໂອ້ລົມກັບຫມູ່ເພື່ອນສອງຄົນ, Eran Medan (CTO) ແລະ Diko Dahan (COO), ຜູ້ທີ່ມີການພັດທະນາຢ່າງກວ້າງຂວາງແລະປະສົບການການນໍາພາການດໍາເນີນງານ. Eran ແລະ Diko, ສະແດງຄວາມທ້າທາຍທີ່ຄ້າຍຄືກັນໃນການຊອກຫາທາງອອກ - Diko ຈາກທັດສະນະດ້ານເຕັກໂນໂລຢີ, ແລະ Eran ຈາກທັດສະນະການພັດທະນາ. ເນື່ອງຈາກພວກເຮົາທຸກຄົນໄດ້ມາເປົ່າຫວ່າງໃນການແກ້ໄຂ, ພວກເຮົາໄດ້ສ້າງສົມມຸດຕິຖານວ່າການແກ້ໄຂຄວນຈະເປັນແນວໃດ. ພວກເຮົາໄດ້ດໍາເນີນການຜ່ານຫຼາຍສິບການໂທການກວດສອບກັບຄວາມປອດໄພ, ການດໍາເນີນງານແລະຫົວຫນ້າວິສະວະກໍາ, ເຊິ່ງໄດ້ກວດສອບທັງສອງບັນຫາແລະສົມມຸດຕິຖານຂອງພວກເຮົາກ່ຽວກັບການແກ້ໄຂທີ່ຈໍາເປັນ. ໄວໄປອີກສອງສາມເດືອນຈົນຮອດເດືອນສິງຫາ 2021 ແລະພວກເຮົາໄດ້ຮ່ວມກໍ່ຕັ້ງ Arnica. 

Arnica ສະຫນອງຄວາມປອດໄພທີ່ອີງໃສ່ພຶດຕິກໍາທີ່ສຸດ, ທ່ານສາມາດກໍານົດໄດ້ວ່າຄວາມປອດໄພໂດຍອີງໃສ່ພຶດຕິກໍາແມ່ນຫຍັງ?

ຖ້າມີຄົນເອົາບັນທຶກທີ່ຂຽນດ້ວຍມືໃຫ້ເຈົ້າ ແລະບອກເຈົ້າວ່າເຈົ້າຂຽນມັນ, ເຈົ້າອາດຈະສາມາດບອກໄດ້ວ່າ, ໃນຄວາມເປັນຈິງ, ມັນຂຽນໂດຍເຈົ້າ. ຍົກຕົວຢ່າງ, ຖ້າການຂຽນດ້ວຍມືບໍ່ແມ່ນຂອງເຈົ້າ, ບັນທຶກໄດ້ລົງວັນທີກ່ອນທີ່ທ່ານຈະເກີດ, ແລະມັນຖືກຂຽນເປັນພາສາຝຣັ່ງ (ເຊິ່ງເຈົ້າບໍ່ຮູ້ວິທີເວົ້າຫຼືຂຽນ), ມັນຈະແຈ້ງວ່າເຈົ້າບໍ່ແມ່ນຜູ້ຂຽນ. ພວກເຮົາໃຊ້ວິທີການທີ່ຄ້າຍຄືກັນກັບລະຫັດ, ຍົກເວັ້ນພວກເຮົາສ້າງໂປຣໄຟລ໌ຂອງນັກພັດທະນາແຕ່ລະຄົນທີ່ປະກອບດ້ວຍປັດໃຈຫຼາຍພັນ (ຫຼືເອີ້ນວ່າລັກສະນະໃນການຮຽນຮູ້ເຄື່ອງຈັກ). ໂດຍການສັງເກດເບິ່ງແນວໂນ້ມແລະພຶດຕິກໍາຂອງນັກພັດທະນາ, ພວກເຮົາສາມາດຢຸດເຊົາຄວາມສ່ຽງທີ່ deviate ຈາກຮູບແບບການພັດທະນາປົກກະຕິຂອງເຂົາເຈົ້າ. ນີ້ຈະຊ່ວຍໃຫ້ພວກເຮົາຢຸດເຊົາການຄອບຄອງບັນຊີ, ໄພຂົ່ມຂູ່ພາຍໃນ, ແລະຄວາມສ່ຽງອື່ນໆທີ່ກ່ຽວຂ້ອງກັບການພັດທະນາຊອບແວ. 

ທ່ານສາມາດສົນທະນາວິທີການທີ່ເວທີສາມາດກໍານົດ nuances ຂອງວິທີການພັດທະນາແຕ່ລະຄົນເຮັດວຽກ?

Arnica ນໍາໃຊ້ກິດຈະກໍາການກວດສອບປະຫວັດສາດແລະການປະກອບສ່ວນລະຫັດເພື່ອສ້າງລາຍນິ້ວມືພຶດຕິກໍາສໍາລັບຜູ້ພັດທະນາແຕ່ລະຄົນ. ລາຍນິ້ວມືນີ້ສະແດງເຖິງພຶດຕິກຳທີ່ຮູ້ຈັກ ແລະຄາດຫວັງຂອງການນຳໃຊ້ການອະນຸຍາດຂອງຜູ້ພັດທະນາ, ຮູບແບບການເຂົ້າລະຫັດ, ພາສາທີ່ໝັ້ນໝາຍ ແລະການປະຕິບັດການພັດທະນາ. ຫຼັງຈາກນັ້ນພວກເຮົາສາມາດປຽບທຽບກິດຈະກໍາໃນອະນາຄົດທັງຫມົດດ້ວຍລາຍນິ້ວມືນີ້ເພື່ອກໍານົດຄວາມເປັນໄປໄດ້ທີ່ລະຫັດໃນອະນາຄົດມາຈາກຜູ້ຂຽນນີ້.

ຈະເກີດຫຍັງຂຶ້ນເມື່ອລະບົບຊີ້ບອກພຶດຕິກໍາທີ່ຜິດປົກກະຕິ?

ພວກ​ເຮົາ​ສະ​ເຫມີ​ພະ​ຍາ​ຍາມ​ເພື່ອ​ເພີ່ມ​ມູນ​ຄ່າ​ຄວາມ​ປອດ​ໄພ​ສູງ​ສຸດ​ແລະ​, ໃນ​ເວ​ລາ​ດຽວ​ກັນ​, ລົບ​ລ້າງ friction ການ​ພັດ​ທະ​ນາ​. ເມື່ອ Arnica ກວດພົບພຶດຕິກໍາທີ່ຜິດປົກກະຕິຈາກບັນຊີຜູ້ພັດທະນາ, ພວກເຮົາລາຍງານມັນຢູ່ໃນ Arnica ແລະສົ່ງການພິສູດຢືນຢັນເພີ່ມເຕີມໂດຍອັດຕະໂນມັດຜ່ານການສົນທະນາໂດຍກົງກັບຜູ້ພັດທະນາໃນຄໍາຖາມ, ແລະທີມງານຄວາມປອດໄພໂດຍອີງໃສ່ການຕັ້ງຄ່ານະໂຍບາຍຂອງທ່ານ.

Arnica ຊ່ວຍເຫຼືອໃນການກວດສອບລະຫັດແນວໃດ?

Arnica ສະຫນອງການແຈ້ງເຕືອນໃນເວລາທີ່ແທ້ຈິງກັບນັກພັດທະນາໃນເວລາທີ່ພວກເຂົາຍູ້ການປ່ຽນແປງລະຫັດ, ຫຼຸດຜ່ອນຈໍານວນຄວາມສ່ຽງທີ່ສາມາດບັນລຸຄໍາຮ້ອງຂໍດຶງ. ສໍາລັບຄວາມສ່ຽງທີ່ສາມາດບັນລຸການຮ້ອງຂໍການດຶງ, Arnica ແນະນໍາການກວດສອບລະຫັດອັດຕະໂນມັດກ່ຽວກັບ PRs. ເມື່ອມີຄວາມສ່ຽງ, Arnica ປະກອບຄໍາຄິດຄໍາເຫັນທີ່ມີລາຍລະອຽດຄວາມສ່ຽງແລະສະພາບການຫຼຸດຜ່ອນສໍາລັບແຕ່ລະຄວາມສ່ຽງ. Arnica ຍັງສາມາດສະກັດການຜະສົມຜະສານອັດຕະໂນມັດບ່ອນທີ່ມີຄວາມສ່ຽງ, ປ້ອງກັນບໍ່ໃຫ້ພວກເຂົາເຂົ້າເຖິງລະຫັດການຜະລິດ.

Arnica ຍັງເຮັດໃຫ້ການກໍານົດຕົວຂຶ້ນກັບພາກສ່ວນທີສາມທີ່ມີຄວາມສ່ຽງ, ທ່ານສາມາດປຶກສາຫາລືວິທີການເຮັດວຽກນີ້ສໍາລັບນັກພັດທະນາບໍ?

Arnica ສະແກນແພັກເກັດພາກສ່ວນທີສາມທັງໝົດ ແລະຄວາມສ່ຽງຕໍ່ການກົດລະຫັດແຕ່ລະອັນ, ແລະແຈ້ງເຕືອນຜູ້ພັດທະນາໂດຍກົງຜ່ານ ChatOps ເມື່ອພວກເຂົາໃຊ້ເວີຊັນທີ່ມີຊ່ອງໂຫວ່ ຫຼືແນະນຳຊຸດຊື່ສຽງຕໍ່າໃຫ້ກັບຖານລະຫັດ. 

ມີຄຸນສົມບັດອື່ນໃດແດ່ທີ່ສະເໜີໃຫ້ໂດຍເວທີ Arnica?

Arnica ແມ່ນສຸມໃສ່ການສະຫນອງເວທີສໍາລັບທີມງານຄວາມປອດໄພຂອງແອັບພລິເຄຊັນເພື່ອໃຫ້ສາມາດເບິ່ງເຫັນໄດ້ທົ່ວທຸກຄວາມສ່ຽງຂອງລະບົບຕ່ອງໂສ້ການສະຫນອງຊອບແວ, ເພື່ອສາມາດຈັດລໍາດັບຄວາມສໍາຄັນຂອງຄວາມສ່ຽງເຫຼົ່ານັ້ນ, ແລະສາມາດຢຸດຄວາມສ່ຽງໃຫມ່ໄດ້ຢ່າງງ່າຍດາຍແລະແກ້ໄຂຄວາມສ່ຽງທີ່ມີຢູ່. ພວກເຮົາສະຫນອງຄວາມສາມາດນີ້ໃນທົ່ວປະເພດຄວາມສ່ຽງທີ່ຫລາກຫລາຍລວມທັງການອະນຸຍາດນັກພັດທະນາຫຼາຍເກີນໄປ, ຄວາມສ່ຽງລະຫັດທີ່ເກີດຈາກການສະແກນ SAST (Static Application Security) ແລະ IaC (Infrastructure as Code), ຄວາມລັບ hardcoded, ການຂຶ້ນກັບພາກສ່ວນທີສາມ, ແລະອື່ນໆ. 

ມີຫຍັງອີກແດ່ທີ່ເຈົ້າຢາກແບ່ງປັນກ່ຽວກັບ Arnica?

ຢູ່ Arnica, ເທົ່າທີ່ພວກເຮົາພັດທະນາຄໍາຮ້ອງສະຫມັກແລະການສະຫນອງການແກ້ໄຂຄວາມປອດໄພລະບົບຕ່ອງໂສ້, ພວກເຮົາຄິດວ່າຕົນເອງເປັນບໍລິສັດປະສົບການນັກພັດທະນາ. ພວກເຮົາຕ້ອງການເຮັດໃຫ້ການແກ້ໄຂບັນຫາຄວາມປອດໄພເປັນປະສົບການທີ່ລຽບງ່າຍ ແລະມີຄວາມສຸກ. ເອົາການແກ້ໄຂຄວາມລັບຂອງພວກເຮົາເປັນຕົວຢ່າງ. ພວກ​ເຮົາ​ລະ​ບຸ​ຄວາມ​ລັບ​ທີ່​ກົດ​ລະ​ຫັດ​, ພວກ​ເຮົາ​ກວດ​ສອບ​ມັນ​, ແລະ​ພວກ​ເຮົາ​ຊຸກ​ຍູ້​ການ​ແຈ້ງ​ການ​ໃຫ້​ຜູ້​ພັດ​ທະ​ນາ​ໃນ​ເຄື່ອງ​ມື​ການ​ສົນ​ທະ​ນາ​ຂອງ​ເຂົາ​ເຈົ້າ​ທີ່​ເລືອກ​. ການແຈ້ງເຕືອນໃຫ້ຜູ້ພັດທະນາກົດປຸ່ມ - "ແກ້ໄຂມັນສໍາລັບຂ້ອຍ" - ເຊິ່ງລົບລ້າງຄວາມລັບຈາກປະຫວັດ git ທັງຫມົດໂດຍທີ່ນັກພັດທະນາບໍ່ຈໍາເປັນຕ້ອງຂຽນຄໍາສັ່ງ git ໃດໆ. ພຽງແຕ່ຄລິກ. 

ພວກເຮົາເຊື່ອວ່າຖ້າພວກເຮົາສາມາດເຮັດໃຫ້ຄວາມປອດໄພເປັນສ່ວນຫນຶ່ງທີ່ງ່າຍແລະມີຄວາມສຸກຂອງປະສົບການການພັດທະນາ, ທຸກໆອົງການທີ່ໃຊ້ Arnica ຈະດີກວ່າ.  

ຂອບໃຈສໍາລັບການສໍາພາດທີ່ຍິ່ງໃຫຍ່, ຜູ້ອ່ານທີ່ຕ້ອງການຮຽນຮູ້ເພີ່ມເຕີມຄວນໄປຢ້ຽມຢາມ ອານິກາ.