Shrav Mehta, Fundador e CEO da Secureframe – Série de Entrevistas

Shrav Mehta, Fundador e CEO da Secureframe, é um empreendedor e líder de tecnologia focado em simplificar a segurança cibernética e a conformidade regulatória por meio da automação. Ele fundou a Secureframe em 2020, após construir experiência em funções de engenharia e crescimento em startups de rápido crescimento, incluindo Pilot, Scale AI, Lob e Hired. No início de sua carreira, ele fundou e escalou um portfólio de aplicações e jogos de Android de sucesso que alcançaram milhões de usuários. Sob sua liderança, a Secureframe se tornou uma das principais plataformas de automação de conformidade de segurança, ajudando as organizações a simplificar processos de certificação complexos, enquanto obtém apoio de principais firmas de venture capital, incluindo Kleiner Perkins, Accomplice, Gradient Ventures, Base10 Partners e outras.

Secureframe é uma plataforma de automação de segurança cibernética e conformidade que permite que as organizações alcancem e mantenham certificações de segurança e privacidade de ponta da indústria com significativamente menos esforço manual. A plataforma automatiza a coleta de evidências, monitoramento contínuo, treinamento de conscientização de segurança, gerenciamento de risco de fornecedores e preparação para auditorias por meio de centenas de integrações com provedores de nuvem, plataformas de identidade, ferramentas de desenvolvimento e aplicações de negócios. Com suporte a frameworks como SOC 2, ISO 27001, HIPAA, PCI DSS, NIST, CMMC, FedRAMP e GDPR, a Secureframe ajuda as empresas a fortalecer sua postura de segurança, enquanto acelera as vendas empresariais, tornando a conformidade mais rápida, escalável e fácil de manter ao longo do ano.

Antes de fundar a Secureframe, você trabalhou em funções de engenharia, marketing e crescimento em empresas como Pilot, Scale AI, Lob e Hired, e até construiu aplicativos de Android que alcançaram milhões de usuários. Quais experiências específicas o convenceram de que a conformidade de segurança estava quebrada o suficiente para dedicar uma empresa a resolvê-la?

Tudo começou com minha própria frustração. Ao longo de minha carreira, eu observei equipes de engenharia muito talentosas paralisadas no momento em que um cliente empresarial importante lhes entregava um questionário de segurança ou exigia um relatório SOC 2. A conformidade de segurança cibernética se tornou um obstáculo ao crescimento dos negócios, em vez de um acelerador.

Eu comecei a perguntar às pessoas em minha rede se elas gostariam de ter ferramentas para automatizar isso. Muitas disseram sim, mas eu não sabia ao certo se elas estavam falando sério até que alguém me ligou um mês depois perguntando onde estava o produto. Eu pedi demissão naquela semana e oficialmente comecei a Secureframe. Quando tínhamos um MVP, mais de 40 empresas estavam em nossa lista de espera.

Hoje, ajudamos milhares de empresas a navegar, manter e escalar esse trabalho crítico. É muito gratificante ver como nossa plataforma remove a fricção, transformando um gargalo histórico em um acelerador competitivo para nossos clientes.

Sua recente cúpula de segurança cibernética descobriu que seis em cada dez profissionais de segurança acreditam que têm lacunas críticas de inteligência de ameaças. Por que você acha que tantas organizações ainda lutam para entender sua verdadeira exposição ao risco, apesar de gastar muito em segurança cibernética?

Uma coisa que vimos consistentemente trabalhando com milhares de organizações é que a maioria das equipes de segurança não falta dados, falta contexto. Eles estão recebendo alertas de dezenas de ferramentas, mas ainda estão lutando para responder a perguntas básicas como onde os dados sensíveis estão, quem tem acesso a eles e quais são os riscos específicos. De fato, nossa pesquisa mostrou que, embora 60% consumam feeds governamentais padrão, apenas 29% participam do compartilhamento de ISAC setorial. Os alertas do governo são valiosos, mas, no momento em que um deles chega à sua caixa de entrada, a ameaça já evoluiu.

O problema mais profundo é que as redes expandem mais rápido do que o inventário do que está nelas. Se você não tiver uma visão clara e atualizada de onde seus dados sensíveis estão e quem os toca, adicionar outra ferramenta de segurança não o salvará.

Você descreveu um futuro em que a segurança cibernética se torna uma forma de “guerra de IA simétrica”, com ambos os atacantes e defensores usando sistemas cada vez mais autônomos. Como isso muda fundamentalmente a forma como as equipes de segurança empresarial precisam operar?

Quando a IA pode executar a maior parte de uma operação de forma autônoma, reconhecimento, exploração e movimento lateral com mínimo envolvimento humano, um analista de segurança que abre um ticket às 9h da manhã para um alerta que foi enviado às 2h da manhã já perdeu a batalha.

O papel do profissional de segurança muda de respondente ativo para orquestrador: definindo políticas, validando a integridade dos sistemas defensivos e eliminando pontos cegos, em vez de triar uma fila interminável de alertas de baixo nível.

Durante nossa cúpula, o ex-diretor de cibersegurança da NSA, Rob Joyce, disse claramente: “Não há volta ao modelo de ameaça pré-IA. As decisões que você toma sobre sua defesa são decisões sobre o novo normal. Não estamos nos preparando para um futuro possível.”

Se a IA permite que os atacantes reduzam os tempos de quebra de horas para segundos, quais são as principais fraquezas nos modelos tradicionais de segurança e conformidade que tornam as organizações vulneráveis?

A principal fraqueza é a validação estática, manual ou pontual. A conformidade tradicional depende de compilar documentação uma vez por ano para provar que um controle estava funcionando em uma data específica. Esse modelo desmorona quando o software está sendo gerado, iterado e implantado continuamente. Uma fotografia tirada no trimestre passado pode não dizer muito sobre sua postura de segurança hoje. É por isso que frameworks como o FedRAMP estão se movendo em direção à validação automática e persistente.

Outra grande fraqueza é como muitas redes empresariais ainda são planas. Quando sistemas operacionais sensíveis estão na mesma rede que ferramentas corporativas comuns, uma conta comprometida pode se tornar um problema muito maior muito rapidamente.

Muitas organizações ainda tratam a conformidade como um exercício de auditoria periódico. Por que você acredita que essa mentalidade está se tornando perigosa em uma era em que as ameaças evoluem continuamente?

Porque os adversários não atacam de acordo com o seu cronograma de auditoria. Eles exploram a lacuna entre como seus sistemas pareciam durante uma avaliação e como estão configurados três meses depois. As configurações mudam, os funcionários vão e vêm, novos softwares são integrados; tudo isso cria exposição que uma revisão anual nunca capturará.

Frameworks de conformidade, como o SOC 2 ou o CMMC, são projetados para definir um piso operacional, não uma linha de chegada. Tratar esses frameworks como um projeto periódico é como as empresas acabam tendo problemas em reavaliações ou, pior, em incidentes de segurança entre os ciclos de avaliação.

O que um modelo de proteção contínua impulsionado por IA realmente parece na prática e como ele difere dos centros de operações de segurança que a maioria das empresas confia hoje?

Hoje, as equipes de segurança gastam a maior parte do tempo triando manualmente uma enxurrada de alertas, investigando incidentes um a um e coletando evidências para auditorias por meio de capturas de tela, planilhas e documentação pontual.

Um modelo impulsionado por IA inverte isso. Em vez de analistas perseguirem alertas, sistemas automatizados monitoram continuamente padrões de comportamento em dados, identidades e infraestrutura. Quando algo se desvia de uma linha de base estabelecida, fluxos de trabalho automatizados fecham a lacuna imediatamente, em vez de esperar que um humano note e aja.

A IA também pode assumir a carga de documentação por completo, gerando e mantendo avaliações de risco, evidências de controle e registros de conformidade com base no estado ao vivo do ambiente, em vez de uma fotografia tirada antes de uma auditoria. A equipe de segurança muda de fazer esse trabalho para supervisionar os sistemas que o fazem.

Ameaças cibernéticas de nações-estado estão se tornando mais sofisticadas e melhor financiadas. Quais capacidades você acredita que as empresas devem desenvolver nos próximos três anos para permanecer resilientes contra esse tipo de adversário?

Definição precisa de escopo de dados, verificação automática de cadeia de suprimentos e arquiteturas de segurança baseadas em comportamento.

Atores de nações-estado são excelentes em se misturarem usando credenciais roubadas e ferramentas de sistema legítimas para se mover pelas redes sem disparar alertas convencionais. Capturar esse tipo de atividade requer monitorar padrões de comportamento, não apenas escanear assinaturas de malware conhecidas.

No lado da cadeia de suprimentos, nossos dados de pesquisa mostraram que 58% dos profissionais de segurança citam o risco de fornecedores terceirizados como a maior lacuna não resolvida. Revisar manualmente planilhas de fornecedores uma vez por ano, enquanto atores sofisticados estão visando seus fornecedores, não é uma defesa real.

Finalmente, manter ambientes sensíveis isolados do restante da rede corporativa reduz drasticamente a exposição. As organizações que controlaram melhor seus custos de conformidade fizeram isso limitando quão longe seus dados sensíveis podiam se espalhar desde o início.

À medida que a IA se torna mais capaz, você acredita que a lacuna de habilidades de segurança cibernética se ampliará ou diminuirá? Quais papéis de segurança provavelmente se tornarão mais importantes e quais podem se tornar cada vez mais automatizados?

Acho que a lacuna de habilidades de segurança cibernética se ampliará em complexidade, mas diminuirá em volume. A IA lidará com o trabalho rotineiro e repetitivo que historicamente consumiu analistas juniores, como revisões de logs, documentação básica e patching simples. Isso libera capacidade, mas também eleva a barra para o que os profissionais qualificados precisam saber.

Os papéis que mais importarão no futuro são aqueles focados em arquitetura e governança: profissionais que possam projetar sistemas resilientes, avaliar a segurança de pipelines de IA e interpretar um ambiente regulatório em rápida mudança.

A Secureframe expandiu da automação de conformidade para o monitoramento de segurança mais amplo e remediação impulsionada por IA. Onde você vê a linha entre governança, gerenciamento de risco, conformidade e defesa cibernética ativa começando a se desfocar?

Essas funções sempre foram artificialmente separadas. Na prática, são todas expressões da mesma pergunta: você pode demonstrar que seus sistemas estão fazendo o que você diz que estão fazendo?

Quando um sistema automatizado fecha uma lacuna de segurança em tempo real, ele atualizou simultaneamente sua postura de risco, registrou um evento de governança e gerou evidências de conformidade. A mudança que estamos vendo é da conformidade pontual para a confiança contínua, e a IA está cada vez mais validando essa confiança. Não apenas mantendo.

Olhando para o futuro, você acredita que estamos nos aproximando de um ponto em que os sistemas de IA serão responsáveis por defender a infraestrutura crítica com intervenção humana mínima, ou a julgamento humano permanecerá a salvaguarda final contra ataques cibernéticos em larga escala?

Sempre será necessário ambos, e a cultura de liderança determinará como bem cada elemento funciona.

O ex-CIO da CISA, Bob Costello, fez esse ponto em nossa cúpula, quando descreveu como o SolarWinds mudou a conversa federal: passando do tratamento da conformidade como um exercício de caixa de seleção para entender realmente a postura de risco em tempo real de um ambiente inteiro. Essa mudança de mentalidade é o que separa organizações resilientes das vulneráveis.

As empresas que saem à frente sabem onde seus dados sensíveis estão antes que alguém pergunte, substituíram a coleta manual de evidências por sistemas automatizados e construíram uma cultura em que os comportamentos de segurança estão incorporados no trabalho diário, em vez de reservados para treinamento anual. Para aqueles que operam em ambientes regulamentados ou de alto risco, a janela para a modernização gradual está se fechando.

Obrigado pela grande entrevista, leitores que desejam aprender mais devem visitar Secureframe.