Tsahy Shapsa, medgrundare och medVD på Jit – Cybersäkerhetsintervjuer

Tsahy Shapsa är medgrundare och med-VD på Jit, en plattform som möjliggör förenkling av kontinuerlig säkerhet, så att utvecklare kan bygga säkra molnappar genom design från dag noll.

Du har varit involverad i cybersäkerhet under större delen av din karriär, vad lockade dig från början till branschen?

När jag växte upp drogs jag alltid till science fiction, och det var filmen "WarGames" som verkligen väckte min fantasi om vilken roll datorer skulle spela för säkerheten i vår värld. När jag såg filmens unga hacker oavsiktligt snubbla in i en cyberkonflikt med hög insats, blev jag fängslad av möjligheterna och utmaningarna i en digital framtid. Senare i livet, som vuxen omgiven av den innovativa andan från Israels "Startup Nation", kände jag ett starkt kall att bidra till denna spännande och avgörande domän. Denna inspiration, i kombination med min immigration till USA, "möjligheternas land", ledde till att jag startade mitt första cybersäkerhetsföretag. Jag har haft turen att spela en roll i att forma framtiden för cybersäkerhet samtidigt som jag anammat entreprenörsandan i mina två hemländer – USA och Israel.

Kan du dela med dig av uppkomstberättelsen bakom Jit?

Tillkomstberättelsen om Jit.io började med att jag och mina medgrundare identifierade en kritisk lucka i cybersäkerhetslandskapet. Eftersom moderna ingenjörsteam snabbt anammade CI/CD-metoden, släpade integrationen av cybersäkerhet ofta efter, vilket ledde till ökad risk för sårbarheter. En del av problemet var den överväldigande uppsjön av säkerhetsverktyg för vänsterväxling som fanns tillgängliga, där ingenjörsteam ofta behövde sy ihop 15-20 verktyg över AppSec, CI/CD, Cloud och DAST för att skapa en heltäckande säkerhetslösning. Vart och ett av dessa verktyg kom med sin egen introduktion, hantering och utvecklarupplevelse, vilket avsevärt saktade ner utvecklingshastigheten.

Driven av uppdraget att göra det löjligt enkelt för dessa team att införliva cybersäkerhet i sina CI/CD-pipelines, föddes Jit.io. Mitt team satte sig för att accelerera DevSecOps genom att noggrant kurera världens bästa säkerhetsverktyg med öppen källkod och paketera dem i en enda, enhetlig plattform. Genom att erbjuda en strömlinjeformad DevX ger Jit.io moderna ingenjörsteam möjlighet att sömlöst integrera och hantera sin produktsäkerhet, vilket eliminerar behovet av komplexa verktygskedjeintegrationer och tidskrävande onboardingprocesser. Detta säkerställer att robusta programsäkerhetsåtgärder inte bara är en eftertanke, utan en viktig och lättillgänglig komponent i utvecklingsprocessen.

Detta innovativa tillvägagångssätt har positionerat Jit.io som en spelväxlare inom cybersäkerhetsområdet, och revolutionerar hur ingenjörsteam hanterar det ständigt föränderliga digitala hotlandskapet genom att förenkla och konsolidera implementeringen av viktiga säkerhetsverktyg, vilket i slutändan ökar utvecklingshastigheten och effektiviteten.

För läsare som inte är bekanta med terminologin DevSecOps, kan du definiera den för oss?

DevSecOps är metoden att integrera säkerhet i varje steg i mjukvaruutvecklingen och distributionsprocessen för moderna ingenjörsteam, vilket förenar AppSec, CI/CD-säkerhet och molnsäkerhet. Detta gör det möjligt för utvecklare att äga sin produktsäkerhet precis som de äger CI och CD, samtidigt som de främjar samarbete och delat ansvar mellan utvecklings-, säkerhets- och driftteam.

Jit gör det möjligt för utvecklare att äga säkerhet för de produkter de bygger från dag noll, varför är det så viktigt att prioritera säkerhet i ett så tidigt skede?

Med hjälp av en byggnadskonstruktionsanalogi, låt oss överväga hur DevSecOps spänner över olika aspekter av mjukvaruutvecklingsprocessen, inklusive AppSec (Application Security), CI/CD (Continuous Integration/Continuous Deployment), Cloud och DAST (Dynamic Application Security Testing).

I byggnadskonstruktionsprocessen liknar AppSec att säkerställa att byggmaterial och arkitektonisk design är säkra och följer säkerhetsstandarder. CI/CD är besläktad med sömlös koordinering av byggaktiviteter, vilket möjliggör effektiv montering och integrering av olika komponenter, såsom VVS-, el- och säkerhetssystem. Molnsäkerhet representerar infrastrukturen och verktygen som stödjer byggnaden, såsom vattenförsörjning, el och internetanslutning. Slutligen är DAST jämförbart med att genomföra regelbundna säkerhetsinspektioner och tester för att identifiera och åtgärda potentiella sårbarheter i byggnadens säkerhetssystem.

Genom att införliva DevSecOps under hela mjukvaruutvecklingens livscykel kan organisationer säkerställa att säkerheten är en integrerad del av varje steg, från att designa säker applikationskod (AppSec) och att effektivt integrera säkerhetsåtgärder i CI/CD-pipelinen, till att säkra molninfrastrukturen och genomföra pågående dynamiska säkerhetstester (DAST). Detta holistiska tillvägagångssätt hjälper till att skapa säkrare, pålitligare applikationer och minimerar sårbarheter och säkerhetsrisker i alla aspekter av mjukvaruutvecklingsprocessen.

Kan du beskriva hur Jit skiljer sig från andra cybersäkerhetsverktyg?

Jit skiljer sig från andra cybersäkerhetsverktyg genom att erbjuda en omfattande, enhetlig DevSecOps-plattform som förenklar integrationen och hanteringen av flera "vänstervänster"-säkerhetsverktyg över AppSec, CI/CD, Cloud och DAST. Detta tillvägagångssätt effektiviserar säkerhetsoperationer och utvecklarupplevelsen, vilket möjliggör sömlöst samarbete.

Genom att eliminera behovet av komplexa verktygskedjeintegrationer och leverantörslåsning, gör Jit det möjligt för produkt- och applikationssäkerhetsingenjörer att välja de bästa säkerhetslösningarna skräddarsydda för deras specifika behov. Denna anpassningsförmåga ger team möjlighet att bygga robusta säkerhetsåtgärder samtidigt som de bibehåller en enhetlig, inbyggd utvecklarupplevelse.

Jits fokus på en sömlös, konsekvent upplevelse för både utvecklare och säkerhetsteam möjliggör mer effektiv övervakning, analys och svar på hot över alla aspekter av mjukvaruutvecklingens livscykel. Som ett resultat påskyndar Jit implementeringen av DevSecOps bästa praxis och främjar ett delat ansvar för säkerhet i hela organisationen.

Du diskuterar ofta att undvika 'verktygslåsning' för att få en framtidssäker DevSecOps-plattform, skulle du kunna beskriva vad verktygslåsning är och varför det är ett sådant problem?

I samband med DevSecOps och växelvänstersäkerhetsleverantörer kan verktygslåsning vara särskilt problematisk av flera anledningar:

1. Mediokra produktportföljer: Många växelvänstersäkerhetsleverantörer vinner initialt framgång på grund av en enastående produkt. Men när de utökar sina erbjudanden, ofta genom förvärv, kan de sluta med en portfölj av mediokra produkter som inte nödvändigtvis integreras väl eller tillhandahåller de bästa lösningarna för alla aspekter av säkerhet.
2. Försäljnings- och marknadsföringstaktik: Leverantörer med en mångsidig portfölj använder ofta olika försäljnings- och marknadsföringstaktiker för att "tvinga" kunder att köpa hela sin produktserie. Detta tillvägagångssätt förhindrar användare från att ha friheten att välja de bästa lösningarna och kan leda till suboptimala säkerhetsresultat.
3. Hindrad anpassningsförmåga: Verktygslåsning begränsar en organisations förmåga att anpassa sig till föränderliga säkerhetshot eller dra fördel av tekniska framsteg. När det är låst till en specifik leverantörs erbjudanden blir det utmanande att utforska och anta bättre säkerhetslösningar när de blir tillgängliga.
4. Minskad innovation: Att förlita sig på en enskild leverantörs portfölj för säkerhet kan kväva innovation, eftersom organisationen kan bli alltför fokuserad på kapaciteten hos de nuvarande verktygen snarare än att söka alternativa, potentiellt överlägsna lösningar.

För att bygga en framtidssäker DevSecOps-verktygskedja och undvika fallgroparna med verktygslåsning är det avgörande för organisationer att behålla flexibiliteten att välja de bästa säkerhetslösningarna som är skräddarsydda för deras behov. Detta tillvägagångssätt gör det möjligt för organisationer att skapa en mer robust och effektiv säkerhetsställning, vilket i slutändan främjar innovation och anpassningsförmåga inför ständigt föränderliga säkerhetslandskap.

Hur skapar Jit en enhetlig "one-stop"-lösning som undviker detta problem?

Jit tar upp frågan om verktygslåsning genom att prioritera flexibilitet, integration och anpassningsförmåga. Så här uppnår Jit detta:

1. Sömlös integration av flera verktyg: Jits plattform är designad för att integrera de bästa säkerhetslösningarna över AppSec, CI/CD, Cloud och DAST. Detta gör att organisationer kan välja de mest lämpliga verktygen för deras specifika behov, medan Jit hanterar komplexiteten i att hantera och integrera dessa olika verktyg i ett sammanhållet system.
2. Flexibilitet och valmöjligheter: Jit ger organisationer möjlighet att undvika leverantörslåsning genom att ge friheten att välja och växla mellan olika säkerhetsverktyg allteftersom deras krav utvecklas. Denna flexibilitet säkerställer att organisationer alltid kan anta de mest effektiva lösningarna för sina säkerhetsbehov, utan att begränsas av en enda leverantörs portfölj.
3. Enhetlig upplevelse av utvecklare och säkerhetsdrift: Jit effektiviserar upplevelsen av utvecklare och säkerhetsdrift genom att tillhandahålla ett konsekvent, användarvänligt gränssnitt för att hantera och interagera med olika säkerhetsverktyg. Denna enhetliga upplevelse förenklar processen att införliva säkerhetspraxis i mjukvaruutvecklingens livscykel och säkerställer att utvecklare och säkerhetsteam kan samarbeta effektivt.
4. Kontinuerlig innovation och anpassningsförmåga: Genom att tillåta organisationer att utnyttja de bästa säkerhetslösningarna, främjar Jit kontinuerlig innovation och anpassningsförmåga. När nya säkerhetsverktyg och -tekniker dyker upp kan Jits plattform enkelt ta emot dessa framsteg, vilket säkerställer att organisationer alltid har tillgång till banbrytande säkerhetslösningar.

Genom att erbjuda en enhetlig, flexibel plattform som sömlöst integrerar flera säkerhetsverktyg samtidigt som den bibehåller en konsekvent upplevelse av utvecklare och säkerhetsdrift, undviker Jit effektivt fallgroparna med verktygslåsning och gör det möjligt för organisationer att bygga framtidssäkra DevSecOps-plattformar som kan anpassa sig och växa med sina föränderliga säkerhetsbehov

Jit-DevSecOps beskriver sig själv som ett smidigt, iterativt tillvägagångssätt för att lägga till säkerhet "Just-In-Time". Skulle du kunna utveckla hur viktigt det är att tillämpa säkerhet på detta sätt?

Jit-DevSecOps, ett smidigt och iterativt tillvägagångssätt för att lägga till säkerhet "Just-In-Time", betonar vikten av snabb och effektiv säkerhetsintegration. Denna metod möjliggör tidig upptäckt och åtgärdande av sårbarheter, snabbare utvecklingscykler och förbättrat samarbete. Jits förändrings-/deltabaserade tillvägagångssätt fokuserar på att ta itu med säkerhetsproblem när de uppstår, vilket säkerställer att de mest kritiska sårbarheterna åtgärdas först. Genom att prioritera en fix-först-mentalitet och anpassa sig till föränderliga säkerhetslandskap, gör Jit-DevSecOps det möjligt för organisationer att upprätthålla robust säkerhet samtidigt som den säkerställer smidighet och effektivitet i utvecklingsprocessen.

Vad är din vision för framtiden för DevSecOps och cybersäkerhet i allmänhet?

Min vision för framtiden för DevSecOps och cybersäkerhet är att utnyttja kraften i avancerad teknik som artificiell intelligens, maskininlärning och automatisering för att identifiera och svara på hot i realtid. Till exempel kan AI-drivna säkerhetslösningar hjälpa till att upptäcka anomalier och potentiella sårbarheter, medan automatiserad incidentrespons kan hjälpa till att begränsa och mildra säkerhetsincidenter.

Dessutom kommer vi att utforska nya teknologier som blockchain och kryptering för att förbättra datasäkerhet och integritet. Dessa tekniker kan hjälpa till att säkerställa datas integritet och konfidentialitet och förhindra obehörig åtkomst eller manipulering.

Sammantaget betonar min vision vikten av samarbete, innovation och proaktiva åtgärder för att ligga steget före nya hot. Och naturligtvis kommer vi alltid att komma ihåg den gyllene regeln för cybersäkerhet: den enda säkra datorn är en som är frånkopplad, begravd i betong och aldrig påslagen.

Tack för den fina intervjun, läsare som vill veta mer bör besöka Jit.