Sam King, CEO ta’ Veracode – Serje ta’ Intervisti

Sam King huwa l-Uffiċjal Kap Eżekuttiv ta’ veracode u espert rikonoxxut fil-ġestjoni tan-negozju u ċ-ċibersigurtà. Membru fundatur ta 'Veracode, Sam kellu rwol sinifikanti fit-trajettorja tat-tkabbir tal-kumpanija matul l-aħħar 17-il sena, u għen biex timmaturaha minn startup żgħira għal kumpanija b'valutazzjoni ta' $2.5 biljun flimkien.

Veracode huwa an aApplikazzjoni kumpanija tas-sigurtà. Imwaqqfa fl-2006, jipprovdi sigurtà tal-applikazzjoni SaaS li tintegra l-analiżi tal-applikazzjoni fil-pipelines tal-iżvilupp.

Int kont involut fiċ-ċibersigurtà għal aktar minn għoxrin sena, x'inizjalment ġibdek lejn l-industrija?

L-interess tiegħi fiċ-ċibersigurtà ma wasalx qabel diversi snin fil-karriera tiegħi fit-teknoloġija. Ħdimt fil-kompjuters u fit-teknoloġija għal żmien twil u madwar 2000 xi ħadd li kont naf waqqaf kumpanija tas-cybersecurity u stidinni biex ningħaqad magħhom. Qabel kelli ftit għarfien dwar iċ-ċibersigurtà, iżda ladarba involvejt, il-bqija hija storja.

Inizjalment bdejt il-karriera tiegħek ma' Veracode bħala VP tal-Konsenja tas-Servizzi fl-2006 u minn dakinhar ħdimt sal-CEO. X'kienu xi riżultati ewlenin minn din l-esperjenza?

Inħossni privileġġjat li kont f’dan il-vjaġġ. Ħdimt fi kważi kull funzjoni f'Veracode matul is-17-il sena tiegħi fil-kumpanija u l-idea ewlenija għalija hija li t-tkabbir ta 'negozju ta' suċċess huwa - fuq kollox - sport ta 'tim. Waqt li għaddej minn VP tal-Konsenja tas-Servizzi għal CEO, tgħallimt li mhix persuna waħda iżda t-tessut konnettiv u l-isforzi kollettivi madwar l-organizzazzjoni li jirregolaw il-veloċità u l-iskala tal-kisbiet tiegħek. Ksibt ukoll empatija għat-talbiet ta 'rwoli differenti li kelli nwettaq ħafna minnhom mill-jiem ta' qabel id-dħul tagħna għall-organizzazzjoni globali li aħna issa.

Veracode jipprevedi dinja fejn is-softwer jiġi żviluppat b'mod sigur mill-bidu. Tista 'tiddiskuti għaliex l-intrapriżi għandhom jintegraw is-sigurtà tal-applikazzjoni kmieni fiċ-ċiklu tal-ħajja tal-iżvilupp tas-softwer?

Is-softwer huwa t-tessut sottostanti tal-organizzazzjonijiet u l-intrapriżi jeħtieġ li jirrealizzaw li l-integrazzjoni tas-sigurtà tal-applikazzjoni kmieni fiċ-ċiklu tal-ħajja tal-iżvilupp tas-softwer (SDLC) mhix biss il-ħaġa tajba li tagħmel, iżda hija wkoll il-ħaġa intelliġenti li tagħmel. L-ispiża tal-istennija biex tiskopri u tiffissa l-vulnerabbiltajiet fl-istadji ta 'wara tal-SDLC jew wara li l-applikazzjoni tkun ħarġet hija estremament għolja. Skont NIST, huwa 30X l-ispiża biex jiġu ffissati l-vulnerabbiltajiet fil-produzzjoni minn qabel. Barra minn hekk, tagħmel esperjenza frustranti għal żviluppatur meta jkun qed jipprova jġib il-funzjonalità fis-suq, u l-kontrolli tas-sigurtà jżommu l-proċess. Il-proċess ideali jinkludi l-ittestjar fl-IDE u l-pipeline CI/CD. Il-proċess stess tal-iżvilupp tal-kodiċi jsir il-proċess tal-iżvilupp tal-kodiċi sikur meta l-ittestjar tas-sigurtà u r-rimedju huma integrati fil-fond fil-katina tal-għodda SDLC.

Veracode jgħin lill-intrapriżi jibnu u jeżegwixxu programmi AppSec u DevSecOps skalabbli. Għal qarrejja li mhumiex familjari ma 'dawn it-termini tista' tiddefinixxihom għalina?

AppSec hija qasira għal "sigurtà tal-applikazzjoni" u tirreferi għall-għodod, il-politiki u l-prattiki li jistgħu jintużaw biex jiġi żviluppat programm li jiżgura li l-kodiċi huwa sigur fl-iżvilupp intern tas-softwer kif ukoll fl-applikazzjonijiet ta’ partijiet terzi, il-kodiċi open source u l-provvista ta’ softwer estiż. katina. DevSecOps, magħrufa wkoll bħala "devops siguri", hija l-mentalità li s-sigurtà hija integrata fl-SDLC kollu, mir-rekwiżiti għall-arkitettura u d-disinn, il-kodifikazzjoni, l-ittestjar, ir-rilaxx u l-iskjerament. Essenzjalment, dan ifisser li kull min hu involut fl-iżvilupp tas-softwer huwa responsabbli għas-sigurtà tal-applikazzjoni. It-tnejn imorru id f’id peress li jaqsmu l-għan li jieħdu deċiżjonijiet ta’ sigurtà aħjar u li jwasslu softwer aktar sikur b’veloċità u effiċjenza akbar.

Tista' tiddiskuti fil-qosor xi wħud mis-soluzzjonijiet differenti li huma offruti bħal Veracode SAST, Veracode SCA, u Veracode DAST?

Analiżi Statika ta' Veracode (SAST), li jinkorpora s-sigurtà fl-SDLC kollu ta' organizzazzjoni sabiex l-iżviluppaturi jkunu jistgħu jiktbu kodiċi sigur fl-ambjent ta' żvilupp integrat (IDE) tagħhom, awtomatizza l-iskans fil-pipeline ta' integrazzjoni kontinwa u integrazzjoni kontinwa/skjerament kontinwu (CI/CD) u jiżgura konformità tal-politika qabel skjerament. Jgħin biex jimmaniġġja r-riskju billi jiskenja l-kodiċi u jsib difetti – imbagħad jagħmel trija tas-sejbiet u jagħti lill-iżviluppaturi gwida kuntestwali biex jagħtu prijorità lill-isforz, jiffissaw id-difetti kritiċi u jnaqqsu r-riskju.

Analiżi tal-Kompożizzjoni tas-Software ta' Veracode (SCA) awtomat is-sejba tal-komponenti kollha li jiffurmaw applikazzjoni u jippreskrivi azzjonijiet biex jimmaniġġjaw ir-riskju fihom. Il-kapaċitajiet ta' tagħlim tal-magni u ta' awtorimedju ta' SCA jippreskrivu soluzzjonijiet – bil-għan li jagħmlu dan bl-inqas ammont ta' tfixkil fil-produzzjoni possibbli.

Fl-aħħar nett, Analiżi Dinamika (DAST) hija l-parti tal-pjattaforma tas-sigurtà tas-softwer intelliġenti ta' Veracode li tippermetti lit-timijiet tas-sigurtà jikxfu uċuħ ta' attakk li qatt ma kienu jafu li jeżistu, isibu vulnerabbiltajiet f'ambjenti ta' runtime, u jiksbu ħarsa komprensiva tal-qagħda tas-sigurtà tal-applikazzjonijiet tal-web u l-APIs tagħhom.

F’April 18, 2023, Veracode introduċa Sigurtà tas-Software Intelliġenti bit-tnedija ta 'Veracode Fix, għodda li tissaħħaħ il-qawwa tat-teknoloġija GPT (Generative Pre-trained Transformer). Għaliex il-GPT kien avvanz daqshekk importanti fiċ-ċibersigurtà?

L-iżvilupp tas-software u t-timijiet tas-sigurtà kienu sprinting biss biex joqogħdu wieqfa. Għal snin sħaħ, is-sigurtà tas-softwer iddur madwar l-ittestjar biex jinstabu kwistjonijiet, iżda għal kull kwistjoni misjuba, hemm kompitu manwali biex issolvi. L-iżviluppaturi ħafna drabi huma inkarigati li jqattgħu ħin li m'għandhomx, li jiffissaw difetti tas-sigurtà li ma jifhmux, f'kodiċi li ma ħolqux... biex isibu biss fiż-żmien li tieħu biex tirranġa difett wieħed, jinħolqu tnejn oħra x'imkien ieħor. Il-ħtieġa għal trasformazzjoni hija evidenti.

Veracode Fix tagħti dik it-trasformazzjoni, billi tbiddel il-paradigma minn ssib għal tiffissa u timmarka l-miġja tas-sigurtà tas-softwer intelliġenti. Billi tisfrutta l-qawwa tal-intelliġenza artifiċjali (AI) biex tiġġenera awtomatikament soluzzjonijiet għal softwer mhux sikur, Veracode Fix finalment iġib l-awtomazzjoni għar-rimedju tad-difetti u jibbilanċja mill-ġdid il-pajsaġġ tas-sigurtà tas-softwer. B'differenza mill-biċċa l-kbira tal-għodod ġenerattivi tal-kodifikazzjoni tal-AI, Veracode Fix mhuwiex imħarreġ fuq kodiċi jew kodiċi open-source fis-selvaġġ u ma jużax jew iżomm id-dejta tal-klijenti biex iħarreġ il-mudell.

Minflok, aħna mħarrġa lil Veracode Fix fuq sett ta' dejta proprjetarju u kkurat b'tagħlim u allinjament sorveljat mit-tim tagħna ta' riċerkaturi ewlenin tas-sigurtà u konsulenti tas-sigurtà tal-applikazzjoni biex iwasslu l-esperjenza u l-kompetenza aggregata ta 'Veracode f'esperjenza sempliċi u qawwija: il-qawwa ta' Veracode fuq ponot subgħajk.

L-għodda Veracode Fix tbiddel il-paradigma minn AI li sempliċement tidentifika l-kwistjonijiet għal tirranġa kwistjonijiet. Tista' tiddiskuti xi wħud mill-benefiċċji ta' skalar li joffri dan? 

L-organizzazzjonijiet kellhom jagħżlu bejn li jirrimedjaw id-difetti tas-sigurtà tas-softwer u li jilħqu skadenzi aggressivi biex jimbuttaw il-kodiċi fil-produzzjoni. Imħaddem mill-AI u s-sett tad-dejta proprjetarju ta' Veracode, Veracode Fix jiffranka l-ħin lill-iżviluppaturi billi jippermettilhom jiktbu kodiċi aktar sigur, malajr. Dan ifisser li d-difetti li jieħdu sigħat biex jiġu rimedjati u inkella jdumu għal xhur issa jistgħu jiġu rranġati fi ftit minuti. Il-benefiċċju tal-iskala huwa ċar - l-iżviluppaturi issa jistgħu joħolqu aktar softwer aktar malajr u b'hekk jinnovaw b'mod sigur.

Kemm hu meħtieġ intervent uman qabel ma tissolva kwistjoni, u fejn fl-istampa l-bnedmin jieħdu sehem f'dan it-tip ta' ċibersigurtà?

Minkejja l-awtomazzjoni fil-proċess tal-iżvilupp tas-softwer, l-iffissar tad-difetti tas-sigurtà - partikolarment fil-kodiċi tal-ewwel parti - bbażat ruħha biss fuq sforz manwali minn żviluppaturi mgħobbija żżejjed u mhux appoġġjati biżżejjed. Sa issa.

Veracode Fix juża t-tagħlim tal-magni biex jiġġenera soluzzjonijiet suġġeriti li l-iżviluppaturi jistgħu jirrevedu u jimplimentaw mingħajr ma jiktbu l-ebda kodiċi.

Huwa importanti li wieħed jinnota li Veracode Fix ma jiffissax il-kodiċi awtomatikament iżda pjuttost jissuġġerixxi soluzzjonijiet. L-iżviluppatur imbagħad jirrevedi u jimplimenta t-tiswija mingħajr ma jikteb xi kodiċi. Dan jiffranka l-ħin lill-iżviluppaturi, jaċċellera l-iżvilupp sigur, u jagħmilha possibbli li jiġi mmaniġġjat ir-riskju u jħallas id-dejn tas-sigurtà fuq skala b'inqas sforz u spiża.

Hemm xi ħaġa oħra li tixtieq taqsam dwar Veracode?

It-teknoloġija qed tevolvi kontinwament u Veracode hija wkoll, iżda l-għan ilu l-istess mill-2006: li jiġi żgurat is-software fuq skala kbira. Hekk kif Veracode kien il-pijunieri ta’ AppSec aktar minn 17-il sena ilu, issa qed nibdew is-sigurtà tas-softwer intelliġenti. Il-prodotti u l-innovazzjonijiet tagħna, bħal Veracode Fix, huma xhieda ta’ dan.

Veracode twaqqfet minn Chris Wysopal, eks hacker tal-kpiepel abjad li sar influwenzatur tal-politika ċibernetika. Fl-1998, bħala parti mill-kollettiv tal-hackers L0pht, Chris xehed quddiem Kumitat tas-Senat tal-Istati Uniti li jinvestiga kwistjonijiet ċibernetiċi tal-gvern u qal li l-bejjiegħa ċibernetiċi jeħtieġ li jagħmlu aħjar - jeħtieġ li jkollhom il-problema.

Sa mit-twaqqif tagħha, Veracode kibret minn bidu għal negozju globali b'aktar minn 2,600 klijent – ​​u x'vjaġġ aqwa kien li tara li tiżvolġi matul dawn is-snin kollha. Huwa grazzi għall-impenn tagħna li ngħinu lill-klijenti bl-akbar sfidi tagħhom: l-integrazzjoni tas-sigurtà fl-SDLC; kompetenza tas-sigurtà tal-iżviluppatur tal-bini; il-protezzjoni tal-provvista ta' softwer; il-ġestjoni tar-riskju tal-wiċċ tal-attakk tal-app tal-web; u l-iżgurar tal-iżvilupp tal-applikazzjonijiet cloud-native. Aħna Mexxej 10X fil-Kwdrant Maġiku ta' Gartner għall-Ittestjar tas-Sigurtà tal-Applikazzjoni - waħda mill-aktar evalwazzjonijiet fil-fond tal-industrija tagħna - u rċevejna bosta rikonoxximenti mill-industrija matul is-snin.

Qasam li aħna partikolarment kburin bih huwa l-kultura li rawmu tul l-istorja tagħna. Proprju din is-sena li għaddiet, Veracode ingħata l-isem ta’ Top Post tax-Xogħol tal-2022 minn The Boston Globe u Top Workplaces USA tal-2023 minn Energage. Ġejna onorati u umiljati li ngħatajna dawn l-akkomodazzjonijiet għaliex aħna kburin b’kultura inklużiva li trawwem it-talent u tippermetti lill-impjegati jagħmlu l-aħjar tagħhom.

Grazzi għall-intervista mill-aqwa, il-qarrejja li jixtiequ jitgħallmu aktar għandhom iżuru veracode.