Шрав Мехта, Основатель и Генеральный Директор Secureframe – Интервью

Шрав Мехта, Основатель и Генеральный Директор Secureframe, является предпринимателем и технологическим лидером, ориентированным на упрощение кибербезопасности и соблюдение нормативных требований посредством автоматизации. Он основал Secureframe в 2020 году после получения опыта в области инженерии и роста в быстро развивающихся стартапах, включая Pilot, Scale AI, Lob и Hired. Ранее в своей карьере он основал и расширил портфель успешных приложений и игр для Android, которые достигли миллионов пользователей. Под его руководством Secureframe стал одним из ведущих платформ для автоматизации безопасности и соблюдения нормативных требований, помогая организациям упростить сложные процессы сертификации, одновременно получая поддержку от ведущих венчурных фирм, включая Kleiner Perkins, Accomplice, Gradient Ventures, Base10 Partners и других.

Secureframe является платформой для автоматизации кибербезопасности и соблюдения нормативных требований, которая позволяет организациям достигать и поддерживать ведущие стандарты безопасности и конфиденциальности с значительно меньшими ручными усилиями. Платформа автоматизирует сбор доказательств, непрерывный мониторинг, обучение безопасности, управление рисками поставщиков и подготовку к аудиту посредством сотен интеграций с облачными провайдерами, платформами идентификации, инструментами разработки и бизнес-приложениями. Поддерживая такие стандарты, как SOC 2, ISO 27001, HIPAA, PCI DSS, NIST, CMMC, FedRAMP и GDPR, Secureframe помогает компаниям укреплять свою безопасность, одновременно ускоряя продажи на рынке предприятий, делая соблюдение нормативных требований быстрее, более масштабируемым и легким в поддержании на протяжении всего года.

До основания Secureframe вы работали в области инженерии, маркетинга и роста в компаниях, таких как Pilot, Scale AI, Lob и Hired, и даже создали приложения для Android, которые достигли миллионов пользователей. Какие конкретные опыт убедили вас, что соблюдение требований безопасности сломано и требует посвящения компании для решения этой проблемы?

Все началось с моего собственного разочарования. На протяжении всей своей карьеры я наблюдал, как очень умные инженерные команды останавливались, когда им давали вопросник безопасности или требовали отчет SOC 2. Соблюдение требований безопасности стало препятствием для роста бизнеса, вместо того, чтобы быть ускорителем.

Я начал спрашивать людей в моей сети, хотели бы они инструменты для автоматизации этого. Многие сказали да, но я не был уверен, насколько они были серьезны, пока один человек не позвонил мне через месяц, спросив, где продукт. Я уволился с работы на той же неделе и официально начал Secureframe. К тому времени, когда у нас был минимально жизнеспособный продукт, более 40 компаний были в нашем списке ожидания.

Сегодня мы помогаем тысячам компаний ориентироваться, поддерживать и масштабировать эту критически важную работу. Это очень приятно видеть, как наша платформа удаляет трение, превращая историческое узкое место в конкурентное преимущество для наших клиентов.

Ваш недавний кибербезопасный саммит показал, что шесть из десяти специалистов по безопасности считают, что у них есть критические пробелы в разведке угроз. Почему вы думаете, что многие организации все еще борются с пониманием своей истинной уязвимости к риску, несмотря на значительные расходы на кибербезопасность?

Работая с тысячами организаций, мы постоянно убеждаемся в том, что большинству служб безопасности не хватает не данных, а контекста. Они получают предупреждения от десятков инструментов, но по-прежнему затрудняются ответить на основные вопросы, например, где хранятся конфиденциальные данные, кто имеет к ним доступ и каковы связанные с ними риски. Фактически, наш опрос показал, что, хотя 60% используют стандартные государственные каналы данных об угрозах, только 29% из них участвуют в отраслевом обмене информацией о ISAC. Правительственные предупреждения ценны, но к тому времени, когда они попадают в ваш почтовый ящик, угроза часто уже возникает.

Более серьезная проблема заключается в том, что сети расширяются быстрее, чем количество хранящихся в них данных. Если у вас нет четкой и актуальной информации о том, где хранятся ваши конфиденциальные данные и кто к ним прикасается, добавление еще одного средства защиты вас не спасет.

Вы описали будущее, в котором кибербезопасность станет формой “симметричной войны с использованием искусственного интеллекта”, когда как атакующие, так и защищающиеся будут использовать все более автономные системы. Как это коренным образом изменит работу корпоративных служб безопасности?

Когда ИИ может выполнять большую часть операций автономно, включая разведку, эксплуатацию и перемещение в разные стороны с минимальным участием человека, аналитик-человек, открывающий заявку в 9 утра на получение предупреждения, которое было отправлено в 2 часа ночи, уже проиграл битву.

Роль специалиста по безопасности переходит от активного реагирования к организации: он устанавливает политику, проверяет целостность защитных систем и устраняет “слепые зоны”, а не сортирует бесконечную очередь низкоуровневых предупреждений.

Во время нашего саммита бывший директор АНБ по кибербезопасности Роб Джойс сформулировал это предельно ясно: “Возврата к модели угроз, существовавшей до появления искусственного интеллекта, нет. Решения, которые вы принимаете о своей защите, являются решениями о новой норме. Мы не готовимся к возможному будущему”.

Если искусственный интеллект позволяет злоумышленникам сократить время взлома с часов до секунд, то каковы самые большие недостатки в современных традиционных моделях обеспечения безопасности и соответствия требованиям, которые делают организации уязвимыми?

Самым большим недостатком является проверка на определенный момент времени, статическая проверка или проверка вручную. Традиционное соответствие требованиям предполагает составление документации раз в год, подтверждающей работоспособность элемента управления на определенную дату. Эта модель разваливается, когда программное обеспечение постоянно создается, повторяется и развертывается. Снимок, сделанный в прошлом квартале, может мало что сказать о состоянии вашей безопасности на сегодняшний день. Вот почему такие платформы, как FedRAMP, переходят к автоматической и постоянной проверке.

Вторым серьезным недостатком является то, что многие корпоративные сети по-прежнему не работают. Когда уязвимые операционные системы подключены к той же сети, что и обычные корпоративные инструменты, одна скомпрометированная учетная запись может очень быстро стать гораздо более серьезной проблемой.

Многие организации по-прежнему рассматривают соблюдение требований законодательства как периодический аудит. Почему вы считаете, что такое мышление становится опасным в эпоху постоянного развития угроз?

Потому что злоумышленники не нарушают ваш график аудита. Они используют разницу между тем, как ваши системы выглядели во время оценки, и тем, как они были настроены на самом деле три месяца спустя. Изменения в конфигурациях, сотрудники приходят и уходят, внедряется новое программное обеспечение – все это создает видимость, которую никогда не охватишь обзором, проводимым раз в год.

Системы обеспечения соответствия, такие как SOC 2 или CMMC, предназначены для определения минимального уровня эксплуатации, а не конечной цели. Рассматривая их как периодический проект, компании в конечном итоге сталкиваются с проблемами при проведении повторных оценок или, что еще хуже, с инцидентами безопасности в промежутках между циклами оценки.

Как на самом деле выглядит модель непрерывной защиты, управляемая искусственным интеллектом, на практике и чем она отличается от центров обеспечения безопасности, на которые сегодня полагается большинство предприятий?

Сегодня специалисты по безопасности тратят большую часть своего времени на ручную сортировку потока предупреждений, расследование инцидентов один за другим и сбор доказательств для аудита с помощью скриншотов, электронных таблиц и документации на определенный момент времени.

Модель, управляемая искусственным интеллектом, меняет это. Вместо того, чтобы аналитики гонялись за предупреждениями, автоматизированные системы постоянно отслеживают поведенческие модели в данных, идентификационных данных и инфраструктуре. Когда что-то отклоняется от установленного базового уровня, автоматизированные рабочие процессы немедленно устраняют пробел, не дожидаясь, пока человек заметит это и начнет действовать.

Искусственный интеллект также может полностью взять на себя документирование, генерируя и поддерживая оценки рисков, контролируя фактические данные и записи о соблюдении требований на основе текущего состояния среды, а не моментальных снимков, сделанных перед аудитом. Команда безопасности переходит от выполнения этой работы к надзору за системами, которые ее выполняют.

Киберугрозы со стороны национальных государств становятся все более изощренными и лучше финансируются. Какие возможности, по вашему мнению, предприятия должны развить в течение следующих трех лет, чтобы оставаться устойчивыми к такого рода угрозам?

Точный анализ объема данных, автоматизированная проверка цепочки поставок и архитектура безопасности, основанная на поведении.

Государственные структуры отлично справляются с использованием украденных учетных данных и законных системных инструментов для перемещения по сетям, не вызывая обычных предупреждений. Выявление такого рода активности требует мониторинга моделей поведения, а не просто сканирования на наличие известных сигнатур вредоносных программ.

Что касается цепочки поставок, то данные нашего опроса показали, что 58% специалистов по безопасности считают риски, связанные со сторонними поставщиками, самым большим нерешенным недостатком. Раз в год вручную просматривать электронные таблицы поставщиков, в то время как опытные злоумышленники нацелены на ваших поставщиков, не является реальной защитой.

Наконец, изоляция конфиденциальных сред от остальной корпоративной сети значительно снижает риск их использования. Организации, которые наиболее эффективно контролировали свои расходы на соблюдение требований законодательства, в первую очередь ограничивали распространение своих конфиденциальных данных.

Как вы ожидаете, по мере того, как ИИ становится все более функциональным, увеличится или сократится разрыв в навыках обеспечения кибербезопасности? Какие функции обеспечения безопасности, вероятно, станут более важными, а какие могут стать все более автоматизированными?

Я думаю, что разрыв в навыках кибербезопасности увеличится в плане сложности, но сократится в объеме. Искусственный интеллект будет выполнять рутинную повторяющуюся работу, которая традиционно занимала младших аналитиков, например, просмотр журналов, базовую документацию и простое внесение исправлений. Это не только высвобождает возможности, но и повышает планку того, что необходимо знать квалифицированным специалистам.

В будущем наиболее важными будут роли, связанные с архитектурой и управлением: профессионалы, способные проектировать устойчивые системы, самостоятельно оценивать безопасность конвейеров искусственного интеллекта и интерпретировать быстро меняющуюся нормативную среду.

Secureframe перешла от автоматизации соблюдения требований к безопасности к более широкому мониторингу безопасности и исправлению ошибок с помощью искусственного интеллекта. Где, по вашему мнению, граница между управлением, рисками, соблюдением требований и активной киберзащитой начинает стираться?

Эти функции всегда были искусственно разделены. На практике все они отражают один и тот же вопрос: можете ли вы продемонстрировать, что ваши системы выполняют то, о чем вы говорите?

Когда автоматизированная система в режиме реального времени устраняет брешь в системе безопасности, она одновременно обновляет вашу оценку рисков, регистрирует событие управления и генерирует доказательства соответствия требованиям. Мы наблюдаем переход от соблюдения требований на определенный момент времени к постоянному доверию, и ИИ все чаще используется для подтверждения этого доверия. Не просто поддерживается в рабочем состоянии.

Заглядывая в будущее, считаете ли вы, что мы приближаемся к тому моменту, когда системы искусственного интеллекта будут отвечать за защиту критически важной инфраструктуры с минимальным вмешательством человека, или человеческий разум останется главной гарантией от крупномасштабных кибератак?

Для этого всегда потребуется и то, и другое, и культура лидерства будет определять, насколько хорошо работает тот или иной элемент.

Бывший исполнительный директор CISA Боб Костелло подчеркнул эту мысль на нашем саммите, когда он рассказал о том, как SolarWinds изменила отношение к соблюдению требований на федеральном уровне: от рассмотрения соблюдения требований как простого упражнения с флажками к подлинному пониманию рисков в реальном времени во всей среде. Именно этот сдвиг в мышлении отличает устойчивые организации от уязвимых.

Компании, которые выходят на первый план, знают, где хранятся их конфиденциальные данные, еще до того, как кто-либо об этом спросит, заменили ручной сбор доказательств автоматизированными системами и создали культуру, в которой правила безопасности являются частью повседневной работы, а не частью ежегодного обучения. Для тех, кто работает в условиях регулирования или высоких ставок, возможности для постепенной модернизации закрываются.

Спасибо вам за отличное интервью, читатели, желающие узнать больше, должны посетить наш сайт. Secureframe.