Shrav Mehta, grunnlegger og CEO av Secureframe – Intervju-serie

Shrav Mehta, grunnlegger og CEO av Secureframe, er en entrepreneur og teknologileder som fokuserer på å forenkle cybersikkerhet og regulativ compliance gjennom automatisering. Han grunnla Secureframe i 2020 etter å ha bygget erfaring fra ingeniør- og vekstroller i raskt voksende startups, inkludert Pilot, Scale AI, Lob og Hired. Tidligere i sin karriere grunnla og skala han en portefølje av suksessfulle Android-applikasjoner og spill som nådde millioner av brukere. Under hans ledelse har Secureframe blitt ett av de ledende sikkerhetskompliance-automatiseringsplattformene, som hjelper organisasjoner å strømlinje komplekse sertifiseringsprosesser samtidig som de mottar støtte fra topp venture-selskaper, inkludert Kleiner Perkins, Accomplice, Gradient Ventures, Base10 Partners og andre.

Secureframe er en cybersikkerhets- og compliance-automatiseringsplattform som gjør det mulig for organisasjoner å oppnå og kontinuerlig opprettholde bransjeledende sikkerhet og personverncertifikater med betydelig mindre manuell innsats. Plattformen automatiserer bevisinnsamling, kontinuerlig overvåking, sikkerhetsbevissthetstreningsprogrammer, leverandør-risikostyring og revisjonsforberedelse gjennom hundrevis av integrasjoner med skytjenesteleverandører, identitetsplattformer, utviklingsverktøy og forretningsapplikasjoner. Plattformen støtter rammer som SOC 2, ISO 27001, HIPAA, PCI DSS, NIST, CMMC, FedRAMP og GDPR, og hjelper selskaper å styrke sin sikkerhetsposture samtidig som de akselererer bedriftssalg ved å gjøre compliance raskere, mer skalerbar og enklere å opprettholde gjennom året.

Før du grunnla Secureframe, arbeidet du i ingeniør-, markedsførings- og vekstroller i selskaper som Pilot, Scale AI, Lob og Hired, og du bygget også Android-applikasjoner som nådde millioner av brukere. Hva var det spesifikke som overbeviste deg om at sikkerhetskompliance var så dårlig at du måtte dedikere et selskap til å løse det?

Det begynte egentlig med min egen frustrasjon. Gjennom hele min karriere så jeg hvordan svært dyktige ingeniørteam ble stoppet når en stor bedriftskunde ga dem en sikkerhets-spørsmål eller krevde en SOC 2-rapport. Cybersikkerhetskompliance ble en hindring for bedriftsvækst, i stedet for en akselerator.

Jeg begynte å spørre mennesker i mitt nettverk om de ville ha verktøy for å automatisere dette. Mange sa ja, men jeg var ikke sikker på hvor alvorlige de var før en person ringte meg tilbake en måned senere og spurte hvor produktet var. Jeg sluttet i jobben min den uken og startet offisielt Secureframe. Da vi hadde en MVP, var over 40 selskaper på vår venteliste.

I dag hjelper vi tusenvis av selskaper å navigere, opprettholde og skalerer dette kritiske arbeidet. Det er svært belønning å se hvordan vår plattform fjerner friksjon, og omdanner en historisk flaskehals til en konkurranse-akselerator for våre kunder.

Ditt nylige cybersikkerhetstoppmøte fant at seks av ti sikkerhetsproffesionelle tror de har kritiske trussel-intelligens-gap. Hvorfor tror du at så mange organisasjoner fortsatt sliter med å forstå sin virkelige risiko-eksponering, til tross for å bruke store summer på cybersikkerhet?

En ting vi har sett jevnt over i arbeidet med tusenvis av organisasjoner, er at de fleste sikkerhets-teamene ikke mangler data, men kontekst. De mottar varslinger fra dusinvis av verktøy, men de sliter fortsatt med å svare på grunnleggende spørsmål som hvor sensitiv data bor, hvem har tilgang til den og hva deres spesifikke risiko ser ut. I virkeligheten viste vår polling at mens 60% konsumerer standard regjeringsspørsmål, bare 29% deltar i bransje-spesifikke ISAC-deling. Regjeringsspørsmål er verdifulle, men når en spørsmål kommer i din inbox, har truslen ofte allerede utviklet seg.

Det dypere problemet er at nettverk utvides raskere enn inventaret av hva som er på dem. Hvis du ikke har en klar, oppdatert bilde av hvor din sensitiv data bor og hvem berører den, vil tillegging av et nytt sikkerhetsverktøy ikke redde deg.

Du har beskrevet en fremtid hvor cybersikkerhet blir en form for “symmetrisk AI-krig”, hvor både angripere og forsvarere bruker stadig mer autonome systemer. Hvorfor endrer dette grunnleggende måten bedriftssikkerhetsteamene må operere på?

Når AI kan kjøre de fleste operasjoner autonomt, rekognosering, utnytting og lateralmbevegelse med minimalt menneskelig innbland, har en menneskelig analytiker åpnet en billett klokken 9 om morgenen for en varsling som ble sendt klokken 2 om natten, allerede tapt slaget.

Sikkerhetsprofesjonellens rolle endrer seg fra aktiv responder til orkestrator: å sette policy, validere integriteten til defensive systemer og eliminere blindsoner i stedet for å prioritere en endeløs kø av lav-nivå-varslinger.

Under vårt toppmøte sa tidligere NSA Cyber-sikkerhetsdirektør Rob Joyce det rett ut: “Det er ingen vei tilbake til det pre-AI-trusselmodellen. Beslutningene du tar om din forsvar er beslutninger om den nye normalen. Vi forbereder oss ikke på en mulig fremtid.”

Hvis AI gjør det mulig for angripere å redusere gjennombruddstider fra timer til sekunder, hva er de største svakhetene i dagens tradisjonelle sikkerhets- og compliance-modeller som gjør organisasjoner sårbare?

Den største svakheten er punkt-i-tiden, statisk eller manuell validering. Tradisjonell compliance avhenger av å samle inn dokumentasjon en gang i året for å bevise at en kontroll fungerte på en bestemt dato. Den modellen bryter sammen når programvare genereres, itereres og deployes kontinuerlig. En øyeblikksbilde tatt forrige kvartal kan ikke fortelle deg mye om din sikkerhetsposture i dag. Derfor flytter rammer som FedRAMP mot automatisert og persistent validering.

En annen stor svakhet er hvor flatt mange bedriftsnettverk fortsatt er. Når sensitive operasjonssystemer sitter på samme nettverk som hverdagslige bedriftsverktøy, kan en enkelt kompromittert konto bli et mye større problem svært raskt.

Mange organisasjoner behandler fortsatt compliance som en periodisk revisjonsøvelse. Hvorfor tror du at denne holdningen blir farlig i en æra hvor trusler utvikler seg kontinuerlig?

Fordi motstanderne angriper ikke på din revisjonsskema. De utnytter gapet mellom hvordan dine systemer så ut under en vurdering og hvordan de faktisk er konfigurert tre måneder senere. Konfigurasjoner glider, ansatte kommer og går, ny programvare integreres; all dette skaper eksponering som en årlig gjennomgang aldri vil fange.

Compliance-rammer som SOC 2 eller CMMC er ment å definere en operativ gulv, ikke en finish-line. Å behandle dem som en periodisk prosjekt er hvordan selskaper havner i problemer under gjennomgang eller, verre, under sikkerhets hendelser mellom vurderings-syklusene.

Hva ser en AI-drevet kontinuerlig beskyttelsesmodell ut som i praksis, og hvordan forskjeller det seg fra sikkerhetsoperasjonssentrene de fleste bedrifter avhenger av i dag?

I dag bruker sikkerhets-teamene det meste av sin tid på å manuelt prioritere en flom av varslinger, etterforske hendelser en og en, og samle inn bevis for revisjoner gjennom skjermbilder, regneark og punkt-i-tiden-dokumentasjon.

En AI-drevet modell inverterer dette. I stedet for at analytikerne jakter på varslinger, overvåker automatiserte systemer kontinuerlig atferdsmønster over data, identiteter og infrastruktur. Når noe glir fra en etablert baseline, lukker automatiserte arbeidsflyter gapet umiddelbart i stedet for å vente på at en menneskelig skal merke og handle.

AI kan også ta over dokumentasjonsbyrden fullstendig, generere og opprettholde risikovurderinger, kontrollbevis og compliance-rekorder basert på den live-tilstanden til miljøet, i stedet for et øyeblikksbilde tatt før en revisjon. Sikkerhets-teamet skifter fra å gjøre dette arbeidet til å overvåke systemene som gjør det.

Nasjonale cybersikkerhetstrusler blir mer sofistikerte og bedre finansierte. Hva kapasiteter tror du bedrifter må utvikle de neste tre årene for å forbli motstandsdyktige mot slike trusler?

Presise dataspektering, automatisert leverandør-verifisering og atferd-basert sikkerhetsarkitektur.

Nasjonale aktører er svært dyktige til å blande seg inn ved å bruke stjålne legitimasjoner og legitime systemverktøy for å flytte seg gjennom nettverk uten å utløse konvensjonelle varslinger. Å fange slike aktiviteter krever overvåking av atferdsmønster, ikke bare skanning av kjente malware-signaturer.

På leverandør-siden viste vår undersøkelse at 58% av sikkerhetspraktikerne peker på tredjeparts-leverandør-risiko som deres største uløste gap. Manuell gjennomgang av leverandør-regneark en gang i året mens sofistikerte aktører målretter dine leverandører, er ikke en virkelig forsvar.

Til slutt reduserer isolering av sensitive miljøer fra resten av bedriftsnettverket dramatisk din eksponering. Organisasjoner som kontrollerte sine compliance-kostnader mest effektivt, gjorde det ved å begrense hvor langt deres sensitive data kunne sprede seg fra første sted.

Ettersom AI blir mer kapabel, forventer du at cybersikkerhetsskill-gapet vil øke eller minske? Hvilke sikkerhetsroller er sannsynligvis å bli mer viktige, og hvilke kan bli mer automatiserte?

Jeg tror cybersikkerhetsskill-gapet vil øke i kompleksitet, men minske i volum. AI vil håndtere det rutinemessige, repetitive arbeidet som historisk har forbrukt junior-analytikere som logg-gjennomgang, grunnleggende dokumentasjon og enkle patching. Dette frigjør kapasitet, men det hever også standarden for hva dyktige praktikere må vite.

Rollene som vil være viktigst fremover, er de som fokuserer på arkitektur og styring: profesjonelle som kan designe resiliente systemer, vurdere sikkerheten til AI-pipelines selv, og tolke en raskt skiftende regulativ miljø.

Secureframe har utvidet fra compliance-automatisering til bredere sikkerhets-overvåking og AI-drevet remediering. Hvor ser du grensen mellom styring, risikostyring, compliance og aktiv cyber-forsvar begynner å bli utydelig?

Disse funksjonene var alltid kunstig adskilte. I praksis er de alle uttrykk for samme spørsmål: kan du demonstrere at dine systemer gjør hva du sier de gjør?

Når et automatisert system lukker en sikkerhets-luke i sanntid, har det samtidig oppdatert din risiko-posture, logget en styrings-hendelse og generert compliance-bevis. Skiftet vi ser, er fra punkt-i-tiden-compliance til kontinuerlig tillit, og AI er stadig mer hvordan denne tilliten blir validert. Ikke bare opprettholdt.

Ser du frem til en fremtid hvor AI-systemer vil være ansvarlige for å forsvare kritisk infrastruktur med minimalt menneskelig innbland, eller vil menneskelig dømmekraft forbli den ultimate sikkerhetsgaranti mot store cybersikkerhetstrusler?

Det vil alltid kreve begge, og ledelseskultur vil bestemme hvor godt hver komponent fungerer.

Tidligere CISA CIO Bob Costello gjorde dette poenget under vårt toppmøte da han beskrev hvordan SolarWinds endret den føderale samtalen: fra å behandle compliance som en checkbox-øvelse til å forstå den sanntids-risiko-posturen til et helt miljø. Denne skiftet i holdning er hva skiller resiliente organisasjoner fra sårbare.

Selskapene som kommer ut foran, vet hvor deres sensitive data bor før noen spør, har erstattet manuell bevisinnsamling med automatiserte systemer og har bygget en kultur hvor sikkerhets-atferd er innbygget i daglig arbeid, i stedet for å reserveres for årlig opplæring. For de som opererer i regulerte eller høy-utsatte miljøer, lukker vinduet for gradvis modernisering.

Takk for det flotte intervjuet, lesere som ønsker å lære mer, kan besøke Secureframe.