Ian Riopel ซีอีโอและผู้ร่วมก่อตั้ง Root.io – ซีรีส์สัมภาษณ์

Ian Riopel ซีอีโอและผู้ร่วมก่อตั้ง Root.io นำภารกิจของบริษัทในการรักษาความปลอดภัยของซอฟต์แวร์โดยใช้โซลูชันที่เป็นมัลติคลาวด์ มีประสบการณ์มากกว่า 15 ปีในด้านเทคโนโลยีและความปลอดภัยทางไซเบอร์ และ曾ดำรงตำแหน่งผู้นำที่ Slim.AI และ FXP โดยมุ่งเน้นไปที่การขายให้กับองค์กร ยุทธศาสตร์การตลาด และการเติบโตในภาคสาธารณะ เขาได้รับ ACE จาก MIT Sloan และจบการศึกษาจากโรงเรียนข่าวกรองกองทัพสหรัฐฯ

Root.io เป็นแพลตฟอร์มความปลอดภัยที่เป็นมัลติคลาวด์ ซึ่งออกแบบมาเพื่อช่วยให้องค์กรต่างๆ รักษาความปลอดภัยของซอฟต์แวร์ โดยการทำให้การตรวจสอบและปฏิบัติตามข้อกำหนดเป็นอัตโนมัติตลอดทั้งกระบวนการพัฒนา Root.io ช่วยให้ทีม DevOps รุ่นใหม่สามารถจัดส่งซอฟต์แวร์ได้เร็วขึ้นและเชื่อถือได้มากขึ้น

อะไรเป็นแรงบันดาลใจในการก่อตั้ง Root และความคิดเกี่ยวกับการซ่อมแซมความเสี่ยงอัตโนมัติ (AVR) มาจากไหน?

Root เกิดขึ้นจากความ沮ใจที่เราเผชิญอย่างต่อเนื่อง ซึ่งองค์กรต่างๆ ใช้เวลามากและทรัพยากรในการตามหาความเสี่ยงที่ไม่เคยหายไป การประเมินความเสี่ยงได้กลายเป็นเพียงการป้องกันเท่านั้น แต่ด้วยอัตราการเกิดขึ้นของความเสี่ยงใหม่ๆ การประเมินความเสี่ยงเพียงอย่างเดียวไม่เพียงพอ

ในฐานะผู้ดูแล Slim Toolkit (เดิมชื่อ DockerSlim) เราได้เข้าไปมีส่วนร่วมอย่างลึกซึ้งในการเพิ่มประสิทธิภาพและความปลอดภัยของコンテนเนอร์ ดังนั้นจึงเป็นเรื่องธรรมดาที่เราจะถามว่า ถ้าコンテนเนอร์สามารถแก้ไขตัวเองได้โดยอัตโนมัติในระหว่างชีวิตของซอฟต์แวร์ การซ่อมแซมโดยอัตโนมัติ ซึ่งเรียกว่า Automated Vulnerability Remediation (“AVR”) เป็นวิธีแก้ปัญหาของเรา – วิธีการที่ไม่ได้มุ่งเน้นไปที่การประเมินความเสี่ยงและการสร้างรายการสิ่งที่ต้องทำ แต่ลบความเสี่ยงออกโดยตรงจากซอฟต์แวร์ของคุณ โดยไม่ทำให้เกิดการเปลี่ยนแปลงที่ขัดข้อง

Root เดิมชื่อ Slim.AI สิ่งใดกระตุ้นให้เกิดการเปลี่ยนชื่อ และบริษัทเปลี่ยนแปลงไปอย่างไรในช่วงการเปลี่ยนแปลง?

Slim.AI เริ่มต้นเป็นเครื่องมือที่ช่วยให้นักพัฒนาลดขนาดและเพิ่มประสิทธิภาพของコンテนเนอร์ แต่เราก็รู้ว่าเทคโนโลยีของเรามีผลกระทบมากขึ้น – แพลตฟอร์มที่มีประสิทธิภาพในการรักษาความปลอดภัยของซอฟต์แวร์สำหรับการผลิตในระดับใหญ่ การเปลี่ยนชื่อเป็น Root สะท้อนถึงการเปลี่ยนแปลงครั้งใหญ่นี้ – จากเครื่องมือเพิ่มประสิทธิภาพสำหรับนักพัฒนามาเป็นโซลูชั่นด้านความปลอดภัยที่แข็งแกร่ง ซึ่งช่วยให้องค์กรใดๆ ก็ตามสามารถตอบสนองความต้องการด้านความปลอดภัยที่เข้มงวดเกี่ยวกับซอฟต์แวร์เปิด源ในเวลาเพียงไม่กี่นาที Root แสดงถึงภารกิจของเรา: การไปถึงแก่นของความเสี่ยงด้านซอฟต์แวร์และการแก้ไขความเสี่ยงก่อนที่จะเกิดเหตุการณ์

ทีมของคุณมีประสบการณ์มากมายในด้านความปลอดภัยทางไซเบอร์จาก Cisco, Trustwave และ Snyk ประสบการณ์ร่วมกันของทีมของคุณมีอิทธิพลต่อ DNA ของ Root อย่างไร?

ทีมของเราสร้างเครื่องมือตรวจสอบความปลอดภัย ป้องกันองค์กรระดับโลก และออกแบบโซลูชันสำหรับโครงสร้างพื้นฐานที่มีความเสี่ยงสูงและความสำคัญสูง เราได้เผชิญกับการแลกเปลี่ยนระหว่างความเร็ว ความปลอดภัย และประสบการณ์ของผู้พัฒนา ประสบการณ์ร่วมกันของเรามีอิทธิพลต่อ DNA ของ Root อย่างลึกซึ้ง เราให้ความสำคัญกับการทำให้กระบวนการเป็นอัตโนมัติและรวมเข้ากับระบบ – ไม่เพียงแต่ระบุปัญหา แต่ยังแก้ไขปัญหาอย่างรวดเร็วโดยไม่ทำให้เกิดปัญหาใหม่ๆ ประสบการณ์ของเราสามารถชี้แนะการตัดสินใจทุกอย่าง เพื่อให้แน่ใจว่าความปลอดภัยจะเร่งการสร้างนวัตกรรม ไม่ใช่การชะลอการสร้างนวัตกรรม

Root อ้างว่าสามารถแก้ไขความเสี่ยงของコンテนเนอร์ได้ภายในไม่กี่วินาที โดยไม่ต้องสร้างใหม่หรือหยุดการทำงาน เทคโนโลยี AVR ของคุณทำงานอย่างไร?

AVR ทำงานโดยตรงบนระดับของコンテนเนอร์ โดยระบุแพ็คเกจที่มีความเสี่ยงและแก้ไขหรือเปลี่ยนโดยไม่ต้องสร้างใหม่ – โดยไม่ต้องมีการสร้างใหม่ที่ซับซ้อน คิดว่ามันเป็นการเปลี่ยนโค้ดที่มีความเสี่ยงด้วยโค้ดที่ปลอดภัยโดยไม่สูญเสียความสัมพันธ์ ระดับ และพฤติกรรมในการทำงาน ไม่ต้องรอการแก้ไขจากแหล่งที่มา ไม่ต้องเปลี่ยนแปลงพाइปลाइनใหม่ นี่คือการแก้ไขที่มีความเร็วเท่ากับการสร้างนวัตกรรม

คุณสามารถอธิบายได้อย่างไรว่า Root แตกต่างจากโซลูชันความปลอดภัยอื่นๆ เช่น Chainguard หรือ Rapidfort จุดเด่นของคุณในพื้นที่นี้คืออะไร?

ไม่เหมือนกับ Chainguard ซึ่งต้องสร้างใหม่โดยใช้ภาพที่ได้รับการดูแล หรือ Rapidfort ซึ่งลดพื้นที่โจมตีโดยไม่แก้ไขความเสี่ยงโดยตรง Root แก้ไขภาพコンテนเนอร์ที่มีอยู่โดยตรง เรารวมเข้ากับพाइปลाइनของคุณโดยไม่ทำให้เกิดปัญหา – ไม่มีการหยุดชะงัก ไม่มีการส่งต่อ เราไม่ได้มาเพื่อแทนที่กระบวนการของคุณ แต่เรามาเพื่อเร่งและเพิ่มประสิทธิภาพให้กับกระบวนการของคุณ ทุกๆ ภาพที่ผ่าน Root จะกลายเป็น “ภาพทอง” – มีการรักษาความปลอดภัยอย่างเต็มที่ มีความโปร่งใส มีการควบคุม – โดยให้ผลตอบแทนที่รวดเร็วโดยการลดความเสี่ยงและช่วยประหยัดเวลา แพลตฟอร์มของเราลดเวลาในการแก้ไขจากหลายสัปดาห์หรือหลายวันลงเหลือเพียง 120-180 วินาที ทำให้บริษัทต่างๆ ในอุตสาหกรรมที่มีการควบคุมอย่างเข้มงวดสามารถกำจัดความเสี่ยงที่คั่งค้างเป็นเวลาหลายเดือนในเซสชันเดียว

นักพัฒนาควรให้ความสำคัญกับการสร้างและจัดส่งผลิตภัณฑ์ใหม่ๆ – ไม่ใช่การใช้เวลาหลายชั่วโมงในการแก้ไขความเสี่ยงด้านความปลอดภัย ซึ่งเป็นส่วนหนึ่งของการพัฒนาซอฟต์แวร์ที่น่าเบื่อและกลัว นอกจากนี้ ความเสี่ยงเหล่านี้ไม่ได้เกิดจากความผิดพลาดของตนเอง แต่มาจากจุดอ่อนในซอฟต์แวร์จากผู้ขายหรือโครงการซอฟต์แวร์เปิด源 ซึ่งทำให้ทีมต้องใช้เวลามากในการแก้ไขปัญหาของผู้อื่น

นักพัฒนและทีมวิจัยและพัฒนาเป็นหนึ่งในศูนย์กลางค่าใช้จ่ายที่ใหญ่ที่สุดในองค์กรใดๆ ทั้งในด้านทรัพยากรบุคคลและซอฟต์แวร์以及โครงสร้างพื้นฐานคลาวด์ที่รองรับพวกเขา Root ช่วยลดภาระนี้โดยใช้ AI ที่มีเจตนา ไม่ใช่การพึ่งพาทีมนักพัฒนาที่ทำงานตลอดเวลาที่จะตรวจสอบและแก้ไขความเสี่ยงที่ทราบ

Root ใช้ AI ที่มีเจตนาอย่างไรในการทำให้กระบวนการแก้ไขความเสี่ยงเป็นอัตโนมัติและเพิ่มประสิทธิภาพ?

เครื่องยนต์ AVR ของเราสามารถจำลองกระบวนการคิดและการกระทำของวิศวกรความปลอดภัยที่มีประสบการณ์ – การประเมินผลกระทบของ CVE การระบุการแก้ไขที่ดีที่สุด การทดสอบอย่างเข้มงวด และการนำไปใช้อย่างปลอดภัย มันสามารถทำสิ่งที่ต้องใช้ความพยายามอย่างมากในการทำด้วยตนเองในเวลาเพียงไม่กี่วินาที และสามารถขยายได้พร้อมกันหลายพันภาพ การแก้ไขแต่ละครั้งจะสอนระบบให้ปรับปรุงประสิทธิภาพและความสามารถในการปรับตัว และฝังความเชี่ยวชาญของวิศวกรความปลอดภัยเต็มเวลาไว้ในภาพของคุณ

Root รวมเข้ากับกระบวนการทำงานที่มีอยู่ของนักพัฒนาอย่างไรโดยไม่ทำให้เกิดปัญหา?

Root รวมเข้ากับกระบวนการทำงานที่มีอยู่ได้อย่างง่ายดาย โดยเชื่อมต่อกับเครื่องมือจัดการภาพหรือพายพไลน์ของคุณ – ไม่ต้องสร้างใหม่ ไม่ต้องเพิ่มเอเจนต์ใหม่ และไม่ต้องเพิ่มส่วนประกอบใหม่ นักพัฒนาสามารถส่งภาพตามปกติ และ Root จะจัดการการแก้ไขและเผยแพร่ภาพที่อัปเดตโดยอัตโนมัติ โดยไม่สูญเสียความโปร่งใสผ่านการตรวจสอบโดยละเอียด การจัดทำ SBOM ที่ครอบคลุม และตัวเลือกการกลับไปยังรุ่นก่อนหน้าเมื่อต้องการ

คุณสร้างสมดุลระหว่างการทำให้เป็นอัตโนมัติและการควบคุมอย่างไร? สำหรับทีมที่ต้องการมองเห็นและควบคุมอย่างไร Root สามารถปรับแต่งได้?

ที่ Root การทำให้เป็นอัตโนมัติเพิ่มความสามารถในการควบคุม – ไม่ใช่ลดความสามารถในการควบคุม แพลตฟอร์มของเราสามารถปรับแต่งได้สูง โดยให้ทีมสามารถปรับระดับการทำให้เป็นอัตโนมัติให้เหมาะสมกับความต้องการเฉพาะของคุณ คุณสามารถตัดสินใจว่าจะนำการแก้ไขไปใช้โดยอัตโนมัติเมื่อไหร่ จะมีส่วนร่วมในการทบทวนโดยมือเมื่อไหร่ และจะยกเว้นเมื่อไหร่ เราให้ความโปร่งใสอย่างกว้างขวางผ่านการดูรายละเอียดที่แตกต่างกัน การบันทึกการเปลี่ยนแปลง และการวิเคราะห์ผลกระทบ เพื่อให้แน่ใจว่าทีมความปลอดภัยจะได้รับข้อมูลและสามารถควบคุมได้ ไม่ถูกทอดทิ้ง

เมื่อมีการแก้ไขความเสี่ยงหลายพันรายการโดยอัตโนมัติ คุณรับประกันความเสถียรและหลีกเลี่ยงการขัดข้องหรือการหยุดชะงักการผลิตได้อย่างไร?

ความเสถียรและความน่าเชื่อถือเป็นพื้นฐานของการดำเนินการของ AVR ของ Root โดยปริยาย เราใช้แนวทางที่ระมัดระวัง โดยติดตามกราฟของการอ้างอิงอย่างรอบคอบ ใช้การแก้ไขที่รู้จักถึงความเข้ากันได้ และทดสอบภาพที่ได้รับการแก้ไขทุกภาพอย่างเข้มงวดกับเฟรมเวิร์กการทดสอบที่เปิดเผยต่อสาธารณะสำหรับโครงการซอฟต์แวร์เปิด源ก่อนที่จะนำไปใช้ หากมีปัญหาเกิดขึ้น จะถูกจับได้เร็ว และการกลับไปยังรุ่นก่อนหน้าเป็นเรื่องง่าย ในทางปฏิบัติ เราได้รักษาอัตราการล้มเหลวต่ำกว่า 0.1% ในการแก้ไขอัตโนมัติหลายพันครั้ง

เมื่อ AI มีความก้าวหน้า ความเสี่ยงด้านความปลอดภัยที่อาจเกิดขึ้นก็เพิ่มขึ้นด้วย Root เตรียมพร้อมสำหรับความเสี่ยงด้านความปลอดภัยในยุค AI อย่างไร?

เรามอง AI ทั้งเป็นเวกเตอร์ที่เป็นไปได้และเป็นพลังในการป้องกัน Root กำลังฝังความสามารถในการฟื้นตัวโดยตรงเข้าไปในโซลูชันซอฟต์แวร์ เพื่อให้แน่ใจว่าเวิร์กโหลดที่เป็นコンテนเนอร์ รวมถึงสแต็ก AI/ML ที่ซับซ้อน จะถูกทำให้แข็งแกร่งอย่างต่อเนื่อง AI ที่มีเจตนาของเราพัฒนาไปพร้อมกับความเสี่ยง โดยปรับให้เข้ากับการป้องกันโดยอัตโนมัติเร็วกว่าที่ผู้โจมตีสามารถดำเนินการได้ เป้าหมายสูงสุดของเราคือความสามารถในการฟื้นตัวของโซลูชันซอฟต์แวร์ที่เป็นอิสระ: โครงสร้างพื้นฐานที่สามารถป้องกันตัวเองได้ด้วยความเร็วของความเสี่ยงที่เกิดขึ้นใหม่

ขอขอบคุณสำหรับการสัมภาษณ์ที่ดี ผู้อ่านสามารถเรียนรู้เพิ่มเติมได้ที่ Root.io