นาบิล ฮันนาน, Field CISO ที่ NetSPI – สัมภาษณ์ซีรีส์

นาบิล ฮันนาน เป็น Field CISO (Chief Information Security Officer) ที่ NetSPI เขาเป็นผู้นำในการให้คำปรึกษาด้านความปลอดภัยของข้อมูลและช่วยเหลือลูกค้าในการแก้ไขปัญหาด้านความปลอดภัยของข้อมูลและจัดการความเสี่ยง เขามีประสบการณ์ในการสร้างและปรับปรุงโครงการริเริ่มด้านความปลอดภัยของซอฟต์แวร์ที่มีประสิทธิภาพ โดยมีความเชี่ยวชาญอย่างลึกซึ้งในการให้บริการด้านการเงิน

NetSPI เป็นโซลูชันความปลอดภัยที่มีการออกแบบมาเพื่อค้นหา จัดลำดับความสำคัญ และแก้ไขช่องโหว่ด้านความปลอดภัยที่สำคัญที่สุด ช่วยให้องค์กรปกป้องสิ่งที่สำคัญที่สุดสำหรับธุรกิจของตนโดยการให้ความชัดเจน ความเร็ว และขนาดที่มากกว่าที่เคยเป็นมา

คุณสามารถแบ่งปันเรื่องราวของคุณในด้านความปลอดภัยของข้อมูลและเหตุผลที่คุณเข้าร่วม NetSPI ได้หรือไม่?

ฉันเริ่มเขียนโปรแกรมตั้งแต่ฉันอายุ 7 ขวบ เทคโนโลยีได้สร้างความตื่นเต้นให้กับฉันเสมอ เพราะฉันต้องการทราบว่าสิ่งต่างๆ ทำงานอย่างไร ซึ่งทำให้ฉันต้องแยกสิ่งของออกและเรียนรู้วิธีการประกอบพวกมันใหม่เมื่อฉันยังเด็ก

ในระหว่างที่ฉันศึกษาวิชาวิทยาการคอมพิวเตอร์ที่มหาวิทยาลัย ฉันเริ่มอาชีพของฉันที่ Blackberry โดยทำงานเป็นผู้จัดการผลิตภัณฑ์สำหรับ Blackberry Messenger Platform และสนใจในด้านการออกแบบฮาร์ดแวร์ จากนั้นฉันถูกชักชวนให้เข้าร่วมบริษัทเล็กๆ ในด้านความปลอดภัยของแอปพลิเคชัน – ฉันรู้สึกหลงใหลในเรื่องนี้มากจนยินดีจะย้ายไปประเทศใหม่เพื่อทำงาน

เมื่อฉันพิจารณาเรื่องราวของฉันในด้านความปลอดภัยของข้อมูล มันเริ่มต้นจากด้านล่างขึ้นบน ฉันเริ่มต้นเป็นที่ปรึกษาด้านความปลอดภัยโดยทำการทดสอบการเจาะระบบ การทบทวนโค้ด การสร้างแบบจำลองภัยคุกคาม การทดสอบฮาร์ดแวร์ และสิ่งอื่นๆ ที่เจ้านายของฉันสั่งให้ทำ ในที่สุดฉันก็สร้างบริการการทดสอบการเจาะระบบให้กับ Cigital ซึ่งภายหลังถูกซื้อโดย Synopsys ทุกสิ่งนี้นำฉันมาถึง NetSPI เพื่อช่วยสนับสนุนการเติบโตในด้านความปลอดภัยเชิงรุก

ประสบการณ์ของคุณในด้านการให้บริการทางการเงินมีผลกระทบต่อแนวทางของคุณในด้านความปลอดภัยของข้อมูลอย่างไร?

ในระหว่างที่ฉันทำงานที่ Synopsys ฉันช่วยสร้างกลยุทธ์ในการขายผลิตภัณฑ์และบริการด้านความปลอดภัยให้กับอุตสาหกรรมการให้บริการทางการเงิน ดังนั้น แม้ว่าฉันจะไม่ได้ทำงานโดยตรงในอุตสาหกรรมการให้บริการทางการเงิน แต่ฉันก็รับผิดชอบในการสร้างกลยุทธ์สำหรับภาคการให้บริการทางการเงิน ซึ่งต้องมีการศึกษาข้อมูลอย่างลึกซึ้งเกี่ยวกับปัจจัยขับเคลื่อนและจุดอ่อนของภาคการให้บริการทางการเงิน

การเติบโตในพื้นที่เทคโนโลยี ฉันใช้เวลาอย่างมากในการทำงานกับองค์กรการให้บริการทางการเงินขนาดใหญ่ทั่วโลก โดยมีประสบการณ์ในการพัฒนากลยุทธ์สำหรับการให้บริการทางการเงินโดยเฉพาะ และมุ่งเน้นในการสร้างบริการที่มุ่งเน้นไปที่อุตสาหกรรมการให้บริการทางการเงิน

สิ่งที่ฉันเรียนรู้มากที่สุดจากประสบการณ์ในอุตสาหกรรมการให้บริการทางการเงินคือ ว่าผู้โจมตีจะไปที่ที่มีเงิน ผู้โจมติไม่ได้ทำเพื่อความสนุกสนาน แต่เป็นแหล่งรายได้ของพวกเขา พวกเขาจะไปที่ที่มีผลกระทบทางการเงินมากที่สุด ไม่ว่าจะเป็นการขโมยเงินจริงๆ หรือทำให้เกิดความเสียหายทางการเงินต่อองค์กร จิตวิธีนี้ช่วยให้ฉันเข้าใจถึงความปลอดภัยของข้อมูลและนำไปสู่ความสำเร็จในบทบาทปัจจุบันของฉันเป็น Field CISO

คุณเห็นว่าความท้าทายด้านความปลอดภัยของข้อมูลที่ใหญ่ที่สุดสำหรับองค์กรในปัจจุบันคืออะไร?

ความท้าทายที่ใหญ่ที่สุดในปัจจุบันคือความเร็วที่ทุกองค์กรต้องดำเนินการเพื่อต่อสู้กับภัยคุกคามที่เปลี่ยนแปลงอย่างรวดเร็วและติดตามเทคโนโลยีที่เกิดขึ้นใหม่ๆ เช่น AI ในอดีตมีวิธีการพัฒนาซอฟต์แวร์แบบน้ำตก ซึ่งไม่ใช่กระบวนการที่เร็วเมื่อเทียบกับการปล่อยซอฟต์แวร์ในปัจจุบัน ซึ่งมีการใช้วิธีการแบบแอจิลมากขึ้น โดยที่องค์กรพยายามสร้างและปล่อยซอฟต์แวร์ให้เร็วที่สุดเท่าที่จะเป็นไปได้ และทำการนำไปใช้ในการผลิตโดยการแบ่งออกเป็นชิ้นเล็กๆ

ในช่วง 10 ปีที่ผ่านมา มีการเปลี่ยนแปลงและความเร่งรีบอย่างมากในระบบนิเวศด้านความปลอดภัย ทำให้เกิดปัญหามากมายสำหรับองค์กรขนาดใหญ่ เช่น การใช้ IT ในเงา ทำให้ยากต่อการมองเห็นพื้นผิวการโจมตีและทรัพย์สิน คุณไม่สามารถปกป้องสิ่งที่คุณไม่สามารถมองเห็นได้

การนำระบบคลาวด์มาใช้เพิ่มเข้าไปในไฟนี้ด้วย – เมื่อมีการปรับตัวและย้ายระบบไปสู่คลาวด์มากขึ้น ซอฟต์แวร์และทรัพย์สินจะกลายเป็นแบบยืดหยุ่นมากขึ้น ความสามารถในการปรับขนาดซอฟต์แวร์และฮาร์ดแวร์ขึ้นลงในลักษณะที่ยืดหยุ่น ทำให้การเปลี่ยนแปลงยากต่อการควบคุมมากขึ้น เมื่อระบบถูกสร้างขึ้นด้วยศักยภาพในการยืดหยุ่น จะทำให้เกิดความท้าทายที่ทรัพย์สินเปลี่ยนเจ้าของบ่อยขึ้น และสร้างโอกาสให้ผู้โจมตีสามารถหาทางเข้ามาในองค์กรได้

คุณคิดว่าภูมิทัศน์ด้านความปลอดภัยของข้อมูลจะเปลี่ยนแปลงไปอย่างไรในช่วง 5 ปีที่จะมาถึง?

ความต้องการความชัดเจนในการมองเห็นทรัพย์สินภายในและภายนอกจะยังคงมีความสำคัญในช่วง 5 ปีที่จะมาถึง และจะเปลี่ยนแปลงวิธีการทำงานร่วมกับลูกค้าและผู้ให้บริการ ในเดือนมิถุนายน เรา ได้ซื้อกิจการ โซลูชันการจัดการพื้นผิวการโจมตีทรัพย์สินไซเบอร์ (CAASM) และโซลูชันการจัดการท่าทางความปลอดภัยไซเบอร์ (Cybersecurity Posture Management) ที่เรียกว่า Hubble Technology การเพิ่ม CAASM เข้ากับความสามารถในการจัดการพื้นผิวการโจมตีภายนอก (EASM) ที่มีอยู่แล้วของเรา ทำให้ลูกค้าของเราสามารถระบุทรัพย์สินและความเสี่ยงใหม่ๆ ได้อย่างต่อเนื่อง แก้ไขจุดบอดของการควบคุมความปลอดภัย และมองเห็นท่าทางความปลอดภัยของตนเองได้อย่างครอบคลุม โดยให้การบัญชีทรัพย์สินไซเบอร์ที่ถูกต้อง ซึ่งเป็นสิ่งที่ขาดหายไปในอุตสาหกรรมจนถึงจุดนี้

การรวมความสามารถ EASM และ CAASM ของเราเข้ากับ The NetSPI Platform ช่วยให้เราสามารถให้ลูกค้าของเรามีเครื่องมือที่จำเป็นในการแก้ไขปัญหาความท้าทายด้านความชัดเจนอย่างต่อเนื่อง นอกจากนี้ยังเพิ่มความสามารถในการจัดลำดับความสำคัญของความเสี่ยงที่เกี่ยวข้องกับทรัพย์สินและช่องโหว่ได้อย่างแม่นยำ นอกจากนี้ยังช่วยให้ผู้นำด้านความปลอดภัยสามารถประเมินความเสี่ยงของทรัพย์สินที่สำคัญที่สุดของตนได้เมื่อเทียบกับความเสี่ยงเหล่านี้

แนวทางของ NetSPI ในการจัดการช่องโหว่แตกต่างจากบริษัทอื่นๆ ในอุตสาหกรรมอย่างไร?

เมื่อเร็วๆ นี้ เราได้เปิดตัวแพลตฟอร์มความปลอดภัยเชิงรุกที่รวมเป็นหนึ่งเดียว ซึ่งรวมการให้บริการการทดสอบการเจาะระบบ (PTaaS), การจัดการพื้นผิวการโจมตีภายนอก (EASM), การจัดการพื้นผิวการโจมตีทรัพย์สินไซเบอร์ (CAASM) และการจำลองการโจมตีและการละเมิด (BAS) เข้าด้วยกันในโซลูชันเดียว ด้วย The NetSPI Platform ลูกค้าของเราสามารถใช้แนวทางเชิงรุกในการรักษาความปลอดภัยได้ด้วยความชัดเจน ความเร็ว และขนาดที่มากกว่าที่เคยเป็นมา แนวทางเชิงรุกใหม่นี้สะท้อนถึงแนวโน้มที่เราเห็นในอุตสาหกรรม และการเปลี่ยนแปลงไปสู่การนำโซลูชันแบบแพลตฟอร์มที่ครอบคลุมมาใช้แทนการแก้ปัญหาแบบจุดต่างๆ

AI ถูกนำมาใช้เพื่อเพิ่มมาตรการรักษาความปลอดภัยที่ NetSPI อย่างไร?

เช่นเดียวกับผู้นำด้านความปลอดภัยของข้อมูลคนอื่นๆ ที่จะบอกคุณ AI มีศักยภาพในการกระตุ้นความสำเร็จทางธุรกิจ แต่ก็มีศักยภาพในการให้อาหารการโจมตีแบบก่อการร้ายที่เป็นปฏิปักษ์ ที่ NetSPI เรากำลังพยายามช่วยให้ลูกค้าของเรายังคงอยู่ข้างหน้าของการเปลี่ยนแปลงโดยการนำโมเดลการทดสอบการเจาะระบบ AI/ML มาใช้ ซึ่งรับประกันว่าความปลอดภัยถูกพิจารณาตั้งแต่ความคิดสร้างสรรค์จนถึงการนำไปใช้ โดยการระบุ วิเคราะห์ และบรรเทาความเสี่ยงที่เกี่ยวข้องกับการโจมตีแบบก่อการร้ายที่เป็นปฏิปักษ์ต่อระบบ ML โดยมุ่งเน้นไปที่ LLMs ในด้านความปลอดภัยของข้อมูล ความสามารถของ AI ได้เพิ่มและปรับปรุงความสามารถของเราในการติดตามและบรรเทาความเสี่ยงในเวลาจริง

มีความเสี่ยงที่อาจเกิดขึ้นจากการใช้ AI ในด้านความปลอดภัยของข้อมูล และสามารถบรรเทาได้อย่างไร?

ตามการอภิปรายที่ฉันมีกับผู้นำด้านความปลอดภัยของข้อมูลคนอื่นๆ ความเสี่ยงที่ใหญ่ที่สุดของ AI คือการขาดการดูแลข้อมูลพื้นฐานและความปลอดภัยของข้อมูลขององค์กร เนื่องจากเราทราบกันว่าโซลูชัน AI มีประสิทธิภาพเท่ากับข้อมูลที่โมเดลเหล่านั้นถูกฝึกฝน หากองค์กรไม่มีการควบคุมข้อมูลและความปลอดภัยของข้อมูลที่ดีแล้ว โมเดลเหล่านั้นจะเสียและเสี่ยงต่อช่องโหว่ด้านความปลอดภัย

เมื่อคนเห็นคำว่า “ความฉลาด” ใน AI พวกเขาจะสับสนกับความฉลาดที่ “มีประสิทธิภาพโดยธรรมชาติ” หรือมีจิตสำนึก แต่ไม่ใช่เช่นนั้น ผู้ปฏิบัติงานด้านความปลอดภัยยังคงต้องเขียนโปรแกรมโมเดล AI เพื่อให้พวกมันเข้าใจว่าทรัพย์สินใดเป็นส่วนตัว ส่วนบุคคล สาธารณะ และอื่นๆ หากไม่มีกลไกเหล่านั้น AI จะล่มลงสู่ความวุ่นวาย นั่นคือความกังวลที่ใหญ่ที่สุดในหมู่ CISO ในขณะนี้

คุณสามารถอธิบายได้อย่างไรว่าบริการการทดสอบการเจาะระบบ (PTaaS) ของ NetSPI ช่วยให้องค์กรรักษาความปลอดภัยที่แข็งแกร่ง?

การทดสอบการเจาะระบบมีความสำคัญต่อท่าทางความปลอดภัยของข้อมูลโดยรวมขององค์กร เนื่องจากให้ความเข้าใจที่ดีขึ้นเกี่ยวกับช่องโหว่ที่เฉพาะเจาะจงสำหรับธุรกิจของตน

การทดสอบการเจาะระบบยังเป็นการทดสอบที่ดีในการตรวจสอบประสิทธิภาพของการควบคุมความปลอดภัยอื่นๆ เช่น การทบทวนโค้ด การสร้างแบบจำลองภัยคุกคาม การทดสอบความปลอดภัยของแอปพลิเคชันแบบคงที่ (SAST) การทดสอบความปลอดภัยของแอปพลิเคชันแบบไดนามิก (DAST) การทดสอบความปลอดภัยของแอปพลิเคชันแบบโต้ตอบ (IAST) และอื่นๆ ที่คุณอาจได้ใช้มาก่อน

การทดสอบการเจาะระบบเป็นประจำส่งเสริมการทำงานร่วมกันแบบเรียลไทม์กับผู้เชี่ยวชาญด้านความปลอดภัย ซึ่งสามารถนำมุมมองที่เพิ่มความลึกให้กับข้อมูลได้ เมื่อสิ้นสุดการทดสอบการเจาะระบบที่ประสบความสำเร็จ องค์กรจะมีความเข้าใจที่ดีขึ้นเกี่ยวกับส่วนใดของสภาพแวดล้อม IT ที่มีความเสี่ยงต่อการละเมิดมากที่สุด เมื่อการทดสอบการเจาะระบบตรวจพบช่องโหว่ มักจะเน้นย้ำถึงช่องว่างในการควบคุมในระยะเวลาก่อนหน้านี้หรือการควบคุมที่หายไปทั้งหมด นอกจากนี้ยังช่วยให้เข้าใจวิธีการบรรลุความสอดคล้องและจุดมุ่งเน้นในการบรรเทาความเสี่ยง และวิธีการที่ทีม IT และทีมความปลอดภัยสามารถทำงานร่วมกันเพื่อรักษาความปลอดภัยของผลกระทบทางธุรกิจที่อาจเกิดขึ้น

โดยการทำงานร่วมกับผู้ให้บริการที่เชี่ยวชาญด้าน PTaaS เพื่อเสริมสร้างท่าทางความปลอดภัยที่แข็งแกร่ง องค์กรสามารถเตรียมพร้อมในการป้องกันเหตุการณ์ด้านความปลอดภัยได้อย่างมีประสิทธิภาพ

คุณรวมทั้งเทคโนโลยีและความเชี่ยวชาญของมนุษย์เข้าด้วยกันเพื่อให้ได้โซลูชันด้านความปลอดภัยที่ครอบคลุมอย่างไร?

NetSPI เชื่อว่าคุณต้องมีทั้งเทคโนโลยีและมนุษย์เพื่อให้กลยุทธ์ที่มีเสียงในการรักษาความปลอดภัยที่ดี มนุษย์ต้องอยู่ในวงจรเพื่อยืนยัน จัดลำดับความสำคัญ และให้ความหมายกับผลลัพธ์ที่เครื่องมือสร้างขึ้น เราไม่ได้ให้คนเข้าใจผิดหรือสร้างเสียงรบกวนให้พวกเขาใช้เวลามากขึ้นในการค้นหาสิ่งที่แท้จริงมีความสำคัญ ในอีกคำหนึ่ง คุณสามารถมีเทคโนโลยีที่ยอดเยี่ยมได้ แต่คุณต้องมีคนใช้มันและตีความมันเพื่อให้ประสบความสำเร็จ

มีงานที่น่าเบื่อหลายอย่างที่ AI สามารถทำได้เร็วกว่าและแม่นยำกว่ามนุษย์ หากเทคโนโลยีสามารถสร้างขึ้นได้ด้วยวิธีการที่น่าเชื่อถือ มันจะช่วยให้เราสามารถทำให้บางงานเป็นอัตโนมัติและปล่อยให้ทีมความปลอดภัยมุ่งเน้นไปที่การคิดสร้างสรรค์และการแก้ปัญหาเชิงวิพากษ์ที่ AI ไม่สามารถแทนได้

คำแนะนำเชิงกลยุทธ์ที่คุณมักจะให้กับลูกค้าเพื่อเสริมสร้างท่าทางความปลอดภัยของข้อมูลคืออะไร?

การหลอกลวงที่คนตกอยู่คือการลงทุนในสิ่งที่พวกเขาคุ้นเคย ตัวอย่างเช่น องค์กรอาจนำผู้นำที่มีประสบการณ์ด้านความปลอดภัยของคลาวด์มา มักจะเน้นไปที่การสร้างทีมความปลอดภัยของคลาวด์ ไม่ใช่การปฏิบัติตามกฎระเบียบ ความปลอดภัยของเครือข่าย ความปลอดภัยของแอปพลิเคชัน และอื่นๆ ที่องค์กรอาจต้องการการสนับสนุนจริงๆ

มันคิดว่ามีโปรแกรมที่ครอบคลุมมากกว่าที่จะเน้นไปที่ด้านใดด้านหนึ่ง จากนั้นเริ่มสร้างการป้องกันในความลึกและควบคุมที่บรรเทาความล้มเหลวที่คุณอาจมีใน不同ส่วนขององค์กร การสร้างโปรแกรมที่ครอบคลุมมีประสิทธิภาพมากกว่าการลงทุนเวลา ความพยายาม และเครื่องมือมากขึ้นในภาคใดภาคหนึ่ง

ขอขอบคุณสำหรับการสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านสามารถเยี่ยมชม NetSPI เพื่อเรียนรู้เพิ่มเติม