Nabil Hannan, Field CISO na NetSPI – Série de Entrevistas

Nabil Hannan é o Field CISO (Chief Information Security Officer) da NetSPI. Ele lidera a prática de consultoria de assessoria da empresa, com foco em ajudar os clientes a resolverem suas necessidades de avaliação de segurança cibernética e gerenciamento de ameaças e vulnerabilidades. Sua formação é em construir e melhorar iniciativas de segurança de software eficazes, com profunda especialização no setor de serviços financeiros.

NetSPI é uma solução de segurança proativa projetada para descobrir, priorizar e remediar as vulnerabilidades de segurança mais críticas. Ela ajuda as organizações a proteger o que é mais importante para seus negócios, permitindo uma abordagem proativa de segurança cibernética com maior clareza, velocidade e escala do que nunca.

Pode compartilhar um pouco sobre sua jornada na segurança cibernética e o que o levou a se juntar à NetSPI?

Eu comecei a programar desde os sete anos de idade. A tecnologia sempre me fascinou porque eu queria saber como as coisas funcionavam, o que me levou a desmontar e remontar muitas coisas quando era jovem.

Enquanto estudava ciência da computação na faculdade, comecei minha carreira na Blackberry, onde trabalhei como gerente de produto para a plataforma Blackberry Messenger e me interessei pelo design de hardware. De lá, fui recrutado para ingressar em uma pequena empresa no domínio de segurança de aplicativos – eu estava tão apaixonado por isso que estava disposto a me mudar para um novo país para conseguir o emprego.

Quando considero minha jornada na segurança cibernética, ela começou de baixo para cima. Eu comecei como consultor associado fazendo testes de penetração, revisão de código, modelagem de ameaças, testes de hardware e qualquer outra coisa que meus chefes me pedissem. Eventualmente, eu trabalhei meu caminho até construir um serviço de teste de penetração para a Cigital, que mais tarde foi adquirida pela Synopsys. Tudo isso me levou à NetSPI para ajudar a apoiar sua trajetória de crescimento no espaço de segurança proativa.

Como sua experiência no setor de serviços financeiros moldou sua abordagem à segurança cibernética?

Enquanto trabalhava na Synopsys, ajudei a construir a estratégia para vender serviços e produtos de segurança para a indústria de serviços financeiros. Então, embora eu não estivesse trabalhando diretamente nos serviços financeiros, eu era responsável por construir estratégias para aquele setor, o que exigia mergulhar fundo naquele vertical para entender seus impulsionadores e pontos de dor.

Crescendo no espaço de tecnologia, eu passei bastante tempo trabalhando com grandes organizações de serviços financeiros em todo o mundo. Com essa formação, eu me concentrei em desenvolver uma estratégia para direcionar e construir serviços personalizados para a indústria de serviços financeiros como um todo.

A maior coisa que eu aprendi com a exposição ao setor de serviços financeiros é que os hackers vão para onde o dinheiro está. Os hackers não estão nisso apenas por diversão; é sua fonte de renda. Eles vão para onde há o maior impacto financeiro – seja roubando dinheiro de alguma forma ou causando dano financeiro a uma organização. Essa mentalidade me ajudou a moldar minha compreensão da segurança cibernética e me levou a ser bem-sucedido em meu papel atual como Field CISO.

Com as ameaças cibernéticas evoluindo rapidamente, quais são os maiores desafios de segurança cibernética que as organizações enfrentam hoje?

O maior desafio hoje é a velocidade com que todas as organizações precisam operar para combater ameaças em evolução e manter o ritmo com a tecnologia emergente, como a IA. Historicamente, havia uma metodologia em cascata para construir software, que não era necessariamente um processo rápido em comparação com como o software é implantado hoje. Agora, temos uma metodologia mais ágil, onde as organizações estão tentando construir software e liberá-lo para produção o mais rápido possível e fazer implementações mais bite-sized.

Nos últimos 10 anos, houve uma mudança e aceleração rápidas no ecossistema de segurança. Isso está causando muitos problemas para grandes organizações, como a TI sombra, tornando mais difícil obter visibilidade sobre sua superfície de ataque e ativos. Você não pode proteger o que não pode ver.

A adoção de nuvem adiciona a isso – quanto mais as pessoas se adaptam, adotam e migram para a nuvem, mais elásticos os sistemas de software e ativos se tornam. A capacidade de dimensionar software e hardware para cima e para baixo de forma elástica torna a mudança ainda mais difícil de gerenciar. À medida que os sistemas são construídos com potencial elástico, você causa desafios onde os ativos mudam de propriedade com mais frequência e criam oportunidades para atores mal-intencionados encontrarem maneiras de entrar em uma organização.

Como você acha que o cenário de segurança cibernética mudará nos próximos cinco anos?

A necessidade de maior visibilidade tanto de ativos internos quanto externos continuará a ser importante nos próximos cinco anos e mudará como os clientes trabalham com fornecedores. Já é uma área em que estamos fortemente focados na NetSPI. Em junho, adquirimos uma solução de gerenciamento de superfície de ataque de ativos cibernéticos (CAASM) e gerenciamento de postura de segurança cibernética chamada Hubble Technology. Adicionar CAASM às nossas capacidades de gerenciamento de superfície de ataque externa (EASM) estabelecidas permite que nossos clientes continuem identificando novos ativos e riscos, remediem pontos cegos de controle de segurança e obtenham uma visão holística de sua postura de segurança, fornecendo um inventário preciso de ativos cibernéticos, tanto internos quanto externos – algo que faltava na indústria até este ponto.

Mesclar nossas capacidades de EASM e CAASM na Plataforma NetSPI nos permite fornecer aos clientes as ferramentas necessárias para abordar os desafios de visibilidade contínua. Isso também melhora a capacidade de priorizar com precisão os riscos associados a ativos e vulnerabilidades. Além disso, ajuda os líderes de segurança a avaliar a exposição de seus ativos mais importantes em relação a esses riscos.

Como a abordagem da NetSPI para o gerenciamento de vulnerabilidades difere de outras empresas da indústria?

Recentemente, lançamos uma nova plataforma de segurança proativa unificada, que casa nossos serviços de teste de penetração como serviço (PTaaS), gerenciamento de superfície de ataque externa (EASM), gerenciamento de superfície de ataque de ativos cibernéticos (CAASM) e simulação de ataque e violação (BAS) juntos em uma solução única. Com a Plataforma NetSPI, os clientes podem adotar uma abordagem proativa de segurança cibernética com mais clareza, velocidade e escala do que nunca. Essa nova abordagem proativa espelha as tendências que estamos vendo na indústria, e a mudança para longe de soluções pontuais dispersas e em direção à adoção rápida de serviços de plataforma mais holísticos e de ponta a ponta.

Como a IA está sendo usada para melhorar as medidas de segurança cibernética na NetSPI?

Como qualquer líder de segurança cibernética dirá, a IA tem o potencial de catalisar o sucesso dos negócios, mas também tem o potencial de alimentar ataques adversários. Na NetSPI, estamos tentando ajudar nossos clientes a ficarem à frente da curva, implementando modelos de teste de penetração de IA/ML, que garantem que a segurança seja considerada desde a ideia até a implementação, identificando, analisando e mitigando os riscos associados a ataques adversários em sistemas de ML, com ênfase em LLMs. Na segurança cibernética, as capacidades de IA melhoraram e adotaram nossa capacidade de monitorar e remediar ameaças em tempo real.

Quais são os riscos potenciais associados à IA na segurança cibernética e como eles podem ser mitigados?

Com base em conversas que estou tendo com outros líderes de segurança cibernética, o maior risco de IA é a falta de higiene básica de dados e segurança cibernética das organizações. Como sabemos, as soluções de IA são apenas tão eficazes quanto os dados nos quais os modelos são treinados. Se as organizações não têm um firme controle sobre o inventário e classificação de dados, então há um risco de que seus modelos sofrerão e estarão propensos a lacunas de segurança.

Quando as pessoas veem a palavra “inteligência” na IA, elas a confundem com ser “inherentemente inteligente” ou mesmo tendo algum tipo de consciência. Mas isso não é o caso. Os profissionais de segurança ainda precisam programar os modelos de IA para que eles entendam o que os ativos são pessoais, privados, públicos, etc. Sem esses mecanismos, a IA pode mergulhar no caos. Isso, na minha opinião, é a maior preocupação entre os CISOs agora.

Pode elaborar sobre como o serviço de teste de penetração da NetSPI (PTaaS) ajuda as organizações a manter uma segurança robusta?

O teste de penetração é fundamental para a postura de segurança cibernética geral de uma organização, pois fornece às equipes um contexto maior sobre as vulnerabilidades específicas de seus negócios.

O teste de penetração também é um grande teste de litmus para ver quão eficazes os outros controles de segurança, como revisão de código, modelagem de ameaças, teste de segurança de aplicativos estático (SAST), teste de segurança de aplicativos dinâmico (DAST), teste de segurança de aplicativos interativo (IAST) e outros que você pode ter implementado anteriormente, são.

O teste de penetração regular fomenta a colaboração em tempo real com especialistas em segurança, o que pode trazer outra perspectiva que adiciona mais profundidade aos dados. No final de um teste de penetração bem-sucedido, as organizações terão uma visão melhor de quais partes de seu ambiente de TI são mais suscetíveis a violações. Quando um teste de penetração detecta vulnerabilidades, elas geralmente destacam lacunas nos controles mais cedo no ciclo de vida ou controles que estão faltando por completo. Elas também entenderão como alcançar a conformidade, onde se concentrar nos esforços de remediação e como as equipes de TI e segurança podem trabalhar juntas para permanecer à frente das implicações comerciais potenciais.

Ao trabalhar com fornecedores que se especializam em PTaaS para complementar uma postura de segurança robusta, as organizações podem estar mais preparadas para prevenir proativamente incidentes de segurança.

Como você integra tanto a tecnologia quanto a expertise humana para fornecer soluções de segurança abrangentes?

A NetSPI acredita que você precisa tanto de tecnologia quanto de humanos para fornecer uma estratégia sólida para ficar à frente de ameaças conhecidas e desconhecidas. Os humanos devem estar no loop para validar, priorizar e contextualizar as saídas que as ferramentas geram. Não estamos no negócio de dar às pessoas falsos positivos ou gerar ruído, levando-as a gastar mais tempo descobrindo o que realmente importa. Em outras palavras, você pode ter uma grande tecnologia, mas precisa de alguém para usá-la e interrompê-la para ser bem-sucedido.

Há muitas tarefas mundanas que a IA pode fazer mais rápido e com mais precisão do que os humanos. Se a tecnologia puder ser construída de forma confiável, então isso permitirá que automatem certas tarefas e liberem tempo para as equipes de segurança se concentrarem em pensamento mais criativo e resolução de problemas críticos que a IA simplesmente não pode substituir.

Qual é o conselho estratégico que você normalmente oferece aos clientes para fortalecer sua postura de segurança cibernética?

Uma armadilha comum em que as pessoas caem é investir em coisas que elas entendem. Por exemplo, uma empresa pode trazer um líder com experiência em segurança de nuvem. Naturalmente, eles então se concentram em construir uma equipe de segurança de nuvem, em vez de, digamos, conformidade, segurança de rede, segurança de aplicativos, etc., onde a organização pode realmente precisar de apoio.

É melhor ter um programa mais abrangente que se concentre em tudo holisticamente. Então, você começa a construir defesa em profundidade e tem controles que mitigam outras falhas que você pode ter em diferentes partes da organização. Construir um programa abrangente é melhor do que investir mais tempo, esforço e ferramentas em um setor particular.

Obrigado pela grande entrevista, leitores que desejam aprender mais devem visitar NetSPI.