คารา สปราก, ซีอีโอของ HackerOne – สัมภาษณ์เชิงลึก

คารา สปราก ซีอีโอของ HackerOne เป็นผู้บริหารเทคโนโลยีมือเก๋า มีประสบการณ์มากกว่าสองทศวรรษในด้านความเป็นผู้นำผลิตภัณฑ์ การจัดการทั่วไป และการให้คำปรึกษาทางยุทธศาสตร์ ในอุตสาหกรรมซอฟต์แวร์และความปลอดภัย เธอรับตำแหน่งซีอีโอในเดือนพฤศจิกายน 2024 หลังจากดำรงตำแหน่งผู้บริหารระดับสูงหลายตำแหน่งที่ F5 รวมถึงผู้บริหารระดับสูงและประธานเจ้าหน้าที่ผลิตภัณฑ์ ซึ่งเธอได้นำโครงการผลิตภัณฑ์และแพลตฟอร์มขนาดใหญ่ รวมถึงบทบาทผู้จัดการทั่วไปที่监督ธุรกิจขนาดใหญ่ ก่อนที่จะเข้าร่วม F5 เธอใช้เวลาเกินกว่าหนึ่งทศวรรษในฐานะหุ้นส่วนของ McKinsey & Company โดยให้คำปรึกษากับบริษัทเทคโนโลยีชั้นนำเกี่ยวกับการเติบโตและยุทธศาสตร์ และเริ่มต้นอาชีพของเธอในฐานะพนักงานเทคนิคที่ Oracle (ORCL ) นอกเหนือจากบทบาทของเธอใน HackerOne เธอยังดำรงตำแหน่งในคณะกรรมการบริหารของ Trimble Inc. (TRMB )

HackerOne เป็นบริษัทด้านความปลอดภัยทางไซเบอร์ที่มีชื่อเสียงในด้านการรักษาความปลอดภัยที่ได้รับการสนับสนุนจากแฮกเกอร์ โดยเชื่อมโยงองค์กรกับชุมชนแฮกเกอร์ที่มีจริยธรรมทั่วโลก เพื่อระบุและแก้ไขช่องโหว่ความปลอดภัยก่อนที่จะถูกใช้ประโยชน์ แพลตฟอร์มสนับสนุนองค์กรและรัฐบาลผ่านโปรแกรม bug bounty การเปิดเผยช่องโหว่ การทดสอบการเจาะระบบ และบริการทดสอบความปลอดภัยที่รวมทั้งความเชี่ยวชาญของมนุษย์และการทำงานอัตโนมัติและ AI ที่ขับเคลื่อนด้วย AI โดยการเปลี่ยนความปลอดภัยจากแบบตอบสนองเป็นแบบคาดการณ์ HackerOne ได้กลายเป็นส่วนสำคัญของสแต็กความปลอดภัยของแอปพลิเคชันสมัยใหม่สำหรับองค์กรที่ต้องการลดความเสี่ยงและปรับปรุงความยืดหยุ่น

คุณได้เข้ารับตำแหน่งซีอีโอของ HackerOne ในเดือนพฤศจิกายน 2024 หลังจากผ่านการเป็นผู้นำใน F5, McKinsey, Oracle และองค์กรเทคโนโลยีอื่นๆ มาหลายทศวรรษ สิ่งใดที่ดึงดูดคุณให้เข้ารับบทบาทนี้ในขณะนี้ และสิ่งใดคือลำดับความสำคัญแรกที่คุณตั้งไว้เมื่อคุณเริ่มนำทีมบริษัท?

ฉันใช้เวลาทั้งอาชีพของฉันที่จุดตัดระหว่างเทคโนโลยี ยุทธศาสตร์ และความเสี่ยง โดยช่วยให้องค์กรต่างๆ นำทางช่วงเวลาที่มีผลกระทบสูงและสถานการณ์ที่เปลี่ยนแปลงอย่างรวดเร็ว สิ่งที่ดึงดูดฉันให้เข้าร่วม HackerOne คือว่าเรากำลังอยู่ในจุดเปลี่ยนเช่นเดียวกันอีกครั้ง เนื่องจาก AI กำลังเปลี่ยนแปลงภูมิทัศน์ด้านความปลอดภัยทางไซเบอร์

ความปลอดภัยไม่ใช่แค่ฟังก์ชันหลังสำนักงานอีกต่อไป แต่เป็นตัวขับเคลื่อนหลักของความไว้วางใจ ความยืดหยุ่น และความเร็วทางธุรกิจ องค์กรต่างๆ ปัจจุบันทำงานบนระบบที่เชื่อมต่อกันลึกซึ้ง การไหลของข้อมูลที่ไม่หยุดยั้ง และการตัดสินใจอัตโนมัติที่ไม่เคยเกิดขึ้นมาก่อน AI กำลังเร่งนวัตกรรม แต่ก็แนะนำช่องโหว่ใหม่ๆ ความพึ่งพา และรูปแบบการล้มเหลวที่แบบจำลองความปลอดภัยแบบดั้งเดิมไม่ได้ถูกออกแบบมาเพื่อรับมือ

นั่นเป็นเหตุผลที่ภารกิจของ HackerOne มีความสำคัญมากในขณะนี้ ภารกิจของเราคือการเพิ่มพลังให้กับโลกในการสร้างอินเทอร์เน็ตที่ปลอดภัยยิ่งขึ้น และในโลกที่ขับเคลื่อนด้วย AI ภารกิจนี้มีความสำคัญมากกว่าที่เคยเป็นมา HackerOne มีความแตกต่างเพราะเราผสมผสานชุมชนนักวิจัยด้านความปลอดภัยทั่วโลกเข้ากับข้อมูลเชิงลึกของแพลตฟอร์มเพื่อค้นหาและแก้ไขช่องโหว่ความปลอดภัยก่อนที่ผู้โจมตีจะสามารถใช้ประโยชน์จากมันได้

ตั้งแต่วันแรก ฉันเน้นไปที่สามลำดับความสำคัญ: ขยายความสามารถของแพลตฟอร์ม Agentic ของเรา ลงทุนในชุมชนนักวิจัยของเรา และเสริมสร้างความไว้วางใจกับลูกค้าและพันธมิตร ซึ่งหมายถึงการปรับขนาดการโจมตี AI ทีมแดง การพัฒนา Hai จากคู่ขับรถเป็นทีมตัวแทน AI ที่ประสานงานเพื่อช่วยให้องค์กรจัดลำดับความสำคัญ ตรวจสอบ และแก้ไขความเสี่ยงได้เร็วขึ้น และเปิดตัว HackerOne Code เพื่อเพิ่มความปลอดภัยของซอฟต์แวร์ในระยะเริ่มต้นของวงจรพัฒนาซอฟต์แวร์

ภูมิทัศน์กำลังเปลี่ยนแปลงอย่างรวดเร็ว แต่จุดมุ่งเน้นของเราคือคงที่: ระบุและแก้ไขความเสี่ยงก่อนที่จะส่งผลกระทบต่อองค์กร คือการทำให้ความปลอดภัยเป็นเรื่องต่อเนื่อง เป็นเรื่องปฏิบัติ และออกแบบมาเพื่อความเร็วของนวัตกรรมสมัยใหม่

HackerOne ได้เห็นการเพิ่มขึ้น 200% ในการตรวจสอบการเจาะระบบและทีมแดง AI เช่นเดียวกับการเปลี่ยนแปลงเชิงกลยุทธ์ไปสู่การบริหารจัดการการเปิดเผยภัยคุกคามอย่างต่อเนื่อง สิ่งเหล่านี้ส่งผลกระทบต่อวิสัยทัศน์ระยะยาวของคุณสำหรับบริษัทอย่างไร และสิ่งเหล่านี้บ่งบอกถึงอะไรเกี่ยวกับอนาคตของความปลอดภัยทางธุรกิจ?

สิ่งที่เรากำลังเห็นไม่ใช่การเพิ่มขึ้นชั่วคราว แต่เป็นการเปลี่ยนแปลงพื้นฐาน การเพิ่มขึ้น 200% ในการตรวจสอบการเจาะระบบและทีมแดง AI ยืนยันว่าความปลอดภัยแบบจุดเดียวไม่สามารถตามทันความเร็วที่องค์กรสมัยใหม่เปลี่ยนแปลงได้

ความเป็นจริงนี้กำลังกำหนดวิสัยทัศน์ระยะยาวของเราให้มุ่งเน้นไปที่การบริหารจัดการการเปิดเผยภัยคุกคามอย่างต่อเนื่องตลอดวงจรชีวิตผลิตภัณฑ์ – ตั้งแต่โค้ดและคลาวด์ไปจนถึงระบบ AI เมื่อ AI เร่งความเร็วของนวัตกรรมและความเร็วในการโจมตี ความท้าทายไม่ใช่การค้นหาช่องโหว่ แต่เป็นการพิสูจน์อะไรที่สามารถใช้ประโยชน์ได้ จัดลำดับความสำคัญของสิ่งที่สำคัญที่สุด และแก้ไขมันอย่างรวดเร็ว

สำหรับผู้นำองค์กร สัญญาณนั้นชัดเจน: ความปลอดภัยกำลังจะกลายเป็นวินัยทางธุรกิจที่ต่อเนื่อง ไม่ใช่การตรวจสอบแบบครั้งเดียว บริษัทที่มีประสิทธิภาพสูงสุดจะเป็นบริษัทที่ระบุความเสี่ยงเร็วขึ้น ทำงานเร็วขึ้น และบรรเทาผลกระทบก่อนที่จะกลายเป็นปัญหาทางธุรกิจ การเปลี่ยนแปลงนี้กำหนดอนาคตของความปลอดภัยทางธุรกิจ

ระบบ AI ของคุณ Hai รวมเข้ากับกระบวนการค้นหาช่องโหว่ความปลอดภัยอย่างไร และที่ไหนที่มันให้ประโยชน์มากที่สุดแก่นักวิจัยและลูกค้า?

Hai เป็นทีมตัวแทน AI ที่ประสานงานซึ่งฝังตัวลงในกระบวนการบริหารจัดการช่องโหว่ความปลอดภัยเพื่อวิเคราะห์และให้ข้อมูลเชิงลึกเกี่ยวกับการค้นพบอย่างต่อเนื่องเพื่อช่วยให้องค์กรจัดลำดับความสำคัญ ตรวจสอบ และแก้ไขความเสี่ยงได้เร็วขึ้น มันทำงานตลอดวงจรชีวิตของรายงาน โดยทำหน้าที่เป็นตัวคูณผลกระทบสำหรับผู้ป้องกันเมื่อปริมาณและความซับซ้อนของภัยคุกคามเพิ่มขึ้น

Hai ให้ประโยชน์มากที่สุดโดยการตัดเสียงรบกวน มันปรับปรุงการไตร่ตรองและความเข้าใจโดยการสรุปรายงาน ระบุรูปแบบ ตรวจสอบการค้นพบ และเน้นย้ำถึงปัญหาที่อาจมีผลกระทบมากที่สุด

มีการค้นพบช่องโหว่ใหม่ๆ อะไรบ้างที่เกิดขึ้นในช่วงปีที่ผ่านมา เมื่อองค์กรต่างๆ นำ AI มาใช้กับซอฟต์แวร์ของตนอย่างจริงจัง?

เมื่อ AI ถูกฝังตัวลงในผลิตภัณฑ์และกระบวนการทำงาน เรากำลังเห็นช่องโหว่ใหม่ๆ เกิดขึ้นในระดับที่มีนัยสำคัญ ในรายงาน Hacker-Powered Security ล่าสุด การรายงานช่องโหว่ AI ที่ถูกต้องเพิ่มขึ้น 210% เมื่อเทียบเป็นรายปี และเกือบ 80% ของ CISO รวมทรัพย์สิน AI ไว้ในขอบเขตการตรวจสอบความปลอดภัย

สิ่งที่ทำให้ความเสี่ยงเหล่านี้มีผลกระทบมากคือว่าพวกมันไม่เพียงแต่ส่งผลต่อระบบเท่านั้น แต่ยังรวมถึงการตัดสินใจ กระบวนการทำงาน และความไว้วางใจของลูกค้าด้วย AI นำเส้นทางความล้มเหลวที่การตรวจสอบแบบดั้งเดิมไม่ได้ครอบคลุมอย่างเต็มที่

แนวทางของเราคือการผสมผสานการทำงานอัตโนมัติด้วย AI เพื่อเพิ่มการค้นพบและตรวจจับรูปแบบกับความเชี่ยวชาญของมนุษย์ในการค้นหาการล้มเหลวที่ซับซ้อน อ่อนแอใหม่ๆ และผลกระทบทางโลก – ทำให้ผู้ป้องกันสามารถทำงานได้พร้อมกับความเร็วและขนาดเดียวกับผู้โจมตี

เมื่อชุมชนนักวิจัยระดับโลกขยายตัว คุณรักษาความไว้วางใจ คุณภาพ และความยุติธรรมได้อย่างไร ในขณะเดียวกันก็ส่งเสริมความมุ่งมั่นในการเพิ่มความหลากหลายและความ包容ให้กับระบบนิเวศที่ขับเคลื่อนด้วยฝูงชนที่มีขนาดใหญ่?

ความไว้วางใจเป็นรากฐานของแบบจำลองความปลอดภัยที่ขับเคลื่อนโดยฝูงชนที่ต้องสร้างขึ้นอย่างตั้งใจเมื่อชุมชนกำลังขยายตัว สำหรับเรา สิ่งนี้เริ่มต้นด้วยมาตรฐานที่ชัดเจน สิ่งจูงใจที่สอดคล้องกัน และการกำกับดูแลที่เข้มแข็ง

ชุมชนของเราคือชุมชนนักวิจัยด้านความปลอดภัยที่ได้รับการตรวจสอบแล้ว ซึ่งร่วมมือกับลูกค้าในการระบุ ตรวจสอบ และช่วยแก้ไขช่องโหว่ความปลอดภัยที่แท้จริงทั่วทั้งเทคโนโลยีต่างๆ

เรารักษาคุณภาพและความยุติธรรมโดยการผสมผสานข้อมูลเชิงลึกของแพลตฟอร์มกับการกำกับดูแลของมนุษย์ – ตรวจสอบการค้นพบ การบังคับใช้กฎเกณฑ์ และการให้รางวัลแก่นักวิจัยตามผลกระทบ ไม่ใช่ภูมิหลัง ที่ตั้ง หรืออาวุโส

เรามุ่งมั่นในการช่วยเหลือนักวิจัยให้ประสบความสำเร็จ โดยการฝึกอบรม การฝึกอบรม และเส้นทางการเติบโตที่ชัดเจน เราช่วยให้นักวิจัยใหม่ๆ สร้างทักษะและความน่าเชื่อถือ

คุณมีมาตรการใดบ้างที่ HackerOne ใช้เพื่อให้แน่ใจว่าการค้นพบช่องโหว่ด้วยความช่วยเหลือของ AI ยังคงรับผิดชอบและหลีกเลี่ยงความลำเอียงหรือการใช้ในทางที่ผิด?

ทั่วทั้งแพลตฟอร์มของเรา ตัวแทน AI ถูกออกแบบมาเพื่อปรับปรุงความชัดเจน ตรวจสอบการค้นพบ และเร่งการแก้ไข – ในขณะที่มนุษย์ยังคงรับผิดชอบต่อการตัดสินใจเกี่ยวกับการยอมรับ ความรุนแรง และการตอบสนอง

เราตั้งมาตรฐานเดียวกับที่เราคาดหวังจากลูกค้า เราใช้ความสามารถของ AI ของเราภายในบ้าน ตรวจสอบอย่างต่อเนื่องในกระบวนการทำงานจริง และให้รางวัลแก่นักวิจัยของเราสำหรับการค้นพบช่องโหว่ความปลอดภัยที่มีผลกระทบสูงในโซลูชันของเราเอง

เมื่อ AI ถูกฝังตัวลงในกระบวนการทำงานด้านความปลอดภัยเป็นอย่างมาก วัตถุประสงค์ของเราคือการกำหนดมาตรฐานที่ทีมต่างๆ สามารถไว้วางใจ – มีพื้นฐานมาจากความโปร่งใส การทดสอบอย่างต่อเนื่อง และความรับผิดชอบของมนุษย์

การเพิ่มขึ้น 120% ในการค้นพบช่องโหว่และรางวัลชี้ให้เห็นว่ามีการเปลี่ยนแปลงครั้งใหญ่ในภูมิทัศน์ภัยคุกคาม คุณตีความสิ่งนี้ว่าเป็นความก้าวหน้าในการตรวจจับหรือสัญญาณที่ว่าซอฟต์แวร์ขององค์กรมีความเสี่ยงมากขึ้น?

เป็นทั้งสองอย่าง – และนั่นคือจุดสำคัญ

การเพิ่มขึ้นนี้สะท้อนถึงความก้าวหน้าในการตรวจจับ นักวิจัยกำลังค้นพบช่องโหว่ความปลอดภัยที่มีคุณภาพสูงและสามารถดำเนินการได้มากขึ้น และรางวัลที่เพิ่มขึ้นแสดงให้เห็นว่าองค์กรต่างๆ มีคุณค่าในการค้นพบและแก้ไขความเสี่ยงจริง

ในขณะเดียวกัน ซอฟต์แวร์ขององค์กรกำลัง变得ซับซ้อนและเชื่อมโยงกันมากขึ้น AI ความพึ่งพาทางด้านที่สาม และรอบการปล่อยที่เร็วขึ้นกำลังขยายพื้นที่โจมตีได้เร็วกว่าที่การควบคุมแบบดั้งเดิมได้ถูกออกแบบมา

ข้อสรุปนั้นง่ายมาก: ความเสี่ยงมีพลวัต และความปลอดภัยต้องมีพลวัตเช่นกัน องค์กรที่มีความยืดหยุ่นสูงสุดคือองค์กรที่ถือว่าการสัมผัสเป็นสิ่งที่หลีกเลี่ยงไม่ได้ และมุ่งเน้นไปที่การแก้ไขสิ่งที่สำคัญจริงๆ

คุณเห็นว่าความท้าทายที่ยิ่งใหญ่ที่สุดสำหรับแพลตฟอร์มความปลอดภัยที่ขับเคลื่อนด้วยฝูงชนในช่วงหลายปีที่จะมาถึงนั้นคืออะไร เมื่อ AI มีความสามารถมากขึ้น?

ความท้าทายที่ยิ่งใหญ่ที่สุดสำหรับแพลตฟอร์มความปลอดภัยใดๆ คือการรักษาสัญญาณและความไว้วางใจเมื่อความเร็วและขนาดเพิ่มขึ้น

เมื่อ AI ลดความยากในการค้นพบ แพลตฟอร์มจะเห็นการเพิ่มขึ้นของปริมาณจากกระบวนการทำงานอัตโนมัติและไฮบริด ความเสี่ยงไม่ใช่การค้นพบที่ไม่เพียงพอ แต่เป็นเสียงรบกวนที่ทำให้ลูกค้าและแรงจูงใจที่ไม่สอดคล้องกันทำให้ความไว้วางใจลดลง

แพลตฟอร์มที่ประสบความสำเร็จจะเป็นแพลตฟอร์มที่ตรวจสอบความสามารถในการใช้ประโยชน์ จัดลำดับความสำคัญของผลกระทบ และจัดสรรรางวัลตามผลลัพธ์ – ในขณะเดียวกันก็รักษาการกำกับดูแลและความรับผิดชอบของมนุษย์ไว้ อนาคตไม่ใช่เรื่องการค้นหาปัญหาเพิ่มเติม แต่เป็นการค้นหาปัญหาเดิมให้เร็วขึ้นและเปลี่ยนข้อมูลเชิงลึกให้เป็นการดำเนินการก่อนที่จะกลายเป็นปัญหาทางธุรกิจ

คุณเห็น HackerOne ขยายตัวไปไกลกว่าการค้นพบช่องโหว่เข้าสู่พื้นที่ต่างๆ เช่น การตรวจสอบอย่างต่อเนื่อง การแก้ไขด้วย AI หรือการสร้างแบบจำลองภัยคุกคามเชิงคาดการณ์?

จุดมุ่งเน้นของเราคือการแก้ปัญหาหลักๆ ที่องค์กรต่างๆ ต้องเผชิญ: ทำความเข้าใจและบรรเทาความเสี่ยงจริงในสถานการณ์ที่เปลี่ยนแปลงอย่างต่อเนื่อง

สิ่งนี้หมายถึงการขยายตัวไปไกลกว่าการค้นพบแบบจุดเดียว เราได้ดำเนินการแล้วทั่วทั้งวงจรชีวิตของการเปิดเผยความเสี่ยง ตั้งแต่การโจมตี AI และการตรวจสอบการเจาะระบบไปจนถึงการตรวจสอบและการจัดลำดับความสำคัญ และเราจะยังคงลงทุนในความสามารถที่ช่วยให้ลูกค้าเห็นความเสี่ยงเร็วขึ้น เข้าใจผลกระทบได้เร็วขึ้น และขับเคลื่อนการแก้ไขให้เสร็จสิ้น

AI มีบทบาทสำคัญในกระบวนการนี้ โดยเฉพาะอย่างยิ่งในด้านการจัดลำดับความสำคัญและการเร่งกระบวนการ – แต่เสมอไปพร้อมกับความรับผิดชอบของมนุษย์เป็นศูนย์กลาง จุดมุ่งเน้นของเราคือความปลอดภัยที่ต่อเนื่อง ปฏิบัติได้ และออกแบบมาเพื่อความเร็วของนวัตกรรมสมัยใหม่

เมื่อฝ่ายตรงข้ามนำ AI มาใช้มากขึ้น HackerOne วางแผนจะอยู่ข้างหน้าและรับประกันว่าเครื่องมือป้องกันจะพัฒนาได้เร็วเท่ากัน?

เรายังคงอยู่ข้างหน้าฝ่ายตรงข้ามโดยการดำเนินงานที่การโจมตีจริงเกิดขึ้น ชุมชนนักวิจัยระดับโลกของเรากำลังทดสอบเทคนิคที่ได้รับการสนับสนุนจาก AI กับสภาพแวดล้อมจริงแล้ว ซึ่งให้ความเข้าใจเชิงลึกเกี่ยวกับวิธีการดำเนินงานของฝ่ายตรงข้าม

เรารวมข้อมูลเชิงลึกของมนุษย์นี้เข้ากับการทำงานอัตโนมัติด้วย AI เพื่อขยายการค้นพบ การตรวจสอบ การจัดลำดับความสำคัญ และการแก้ไข นอกจากนี้เรายังทดสอบแพลตฟอร์มของเราอย่างต่อเนื่องโดยใช้แนวทางโจมตี AI เหมือนกับที่เรานำเสนอให้กับลูกค้า

เป้าหมายของเราคือการสร้างระบบที่เรียนรู้ได้เร็วกว่าผู้โจมตี นั่นคือวิธีที่เครื่องมือป้องกันจะตามทันในภูมิทัศน์ภัยคุกคามที่ขับเคลื่อนด้วย AI

ขอขอบคุณสำหรับการสัมภาษณ์ที่ยอดเยี่ยม – ผู้อ่านสามารถเรียนรู้เพิ่มเติมเกี่ยวกับวิธีการที่บริษัทใช้ความเชี่ยวชาญของมนุษย์และความปลอดภัยที่ขับเคลื่อนด้วย AI เพื่อช่วยให้องค์กรระบุและบรรเทาความเสี่ยงจริงก่อนที่จะกลายเป็นปัญหาทางธุรกิจได้ที่ HackerOne