แซม คิง ซีอีโอของ Veracode – ชุดบทสัมภาษณ์

แซม คิง (Sam King) เป็นประธานเจ้าหน้าที่บริหารของVeracodeและเป็นผู้เชี่ยวชาญด้านการบริหารธุรกิจและความปลอดภัยไซเบอร์ที่ได้รับการยอมรับ ในฐานะสมาชิกทีมผู้ก่อตั้ง Veracode เธอมีบทบาทสำคัญต่อการเติบโตของบริษัทตลอด 17 ปีที่ผ่านมา ช่วยพัฒนาจากสตาร์ทอัพเล็ก ๆ สู่บริษัทที่มีมูลค่ามากกว่า 2.5 พันล้านดอลลาร์

Veracode เป็นบริษัทด้านความปลอดภัยของแอปพลิเคชัน ก่อตั้งในปี 2006 ให้บริการความปลอดภัยของแอปพลิเคชันแบบ SaaS ซึ่งผสานการวิเคราะห์แอปพลิเคชันเข้ากับกระบวนการพัฒนา

คุณทำงานด้านความปลอดภัยไซเบอร์มากว่าสองทศวรรษแล้ว อะไรดึงดูดให้เข้าสู่อุตสาหกรรมนี้ในตอนแรก?

ฉันเริ่มสนใจความปลอดภัยไซเบอร์หลังจากทำงานด้านเทคโนโลยีมาหลายปี ฉันทำงานด้านคอมพิวเตอร์และเทคโนโลยีมานาน แล้วประมาณปี 2000 คนรู้จักก่อตั้งบริษัทความปลอดภัยไซเบอร์และชวนฉันเข้าร่วม ก่อนหน้านั้นฉันรู้น้อยมากเกี่ยวกับเรื่องนี้ แต่เมื่อเข้ามาแล้ว เส้นทางอาชีพก็เดินหน้าต่อจากจุดนั้น

คุณเริ่มที่ Veracode ในตำแหน่งรองประธานฝ่ายให้บริการในปี 2006 ก่อนเติบโตขึ้นเป็น CEO คุณได้บทเรียนสำคัญอะไรจากประสบการณ์นี้?

ฉันรู้สึกโชคดีที่ได้ร่วมเส้นทางนี้ ตลอด 17 ปีที่ Veracode ฉันทำงานแทบทุกหน้าที่ และบทเรียนสำคัญคือการสร้างธุรกิจให้ประสบความสำเร็จเป็นกีฬาประเภททีม ระหว่างเติบโตจากรองประธานฝ่ายให้บริการเป็น CEO ฉันเรียนรู้ว่าไม่ใช่คนคนเดียว แต่เป็นความเชื่อมโยงและความร่วมมือทั้งองค์กรที่กำหนดความเร็วและขนาดของความสำเร็จ ฉันยังเข้าใจความต้องการของแต่ละบทบาทมากขึ้น เพราะเคยทำงานเหล่านั้นเองตั้งแต่ช่วงที่บริษัทยังไม่มีรายได้ จนกลายเป็นองค์กรระดับโลกในปัจจุบัน

Veracode ต้องการเห็นซอฟต์แวร์ถูกพัฒนาอย่างปลอดภัยตั้งแต่ต้น เหตุใดองค์กรจึงควรผสานความปลอดภัยของแอปพลิเคชันตั้งแต่ช่วงแรกของวงจรพัฒนาซอฟต์แวร์?

ซอฟต์แวร์เป็นโครงสร้างพื้นฐานที่เชื่อมโยงองค์กร ธุรกิจต้องตระหนักว่าการผสานความปลอดภัยของแอปพลิเคชันตั้งแต่ต้นวงจรพัฒนาซอฟต์แวร์ (SDLC) ไม่เพียงเป็นสิ่งที่ถูกต้อง แต่ยังเป็นทางเลือกที่ชาญฉลาด การรอค้นหาและแก้ช่องโหว่ในระยะท้ายหรือหลังเปิดใช้งานแล้วมีต้นทุนสูงมาก ตามข้อมูล NIST ค่าแก้ช่องโหว่ในระบบใช้งานจริงสูงกว่าการแก้ในช่วงต้นถึง 30 เท่า นอกจากนี้ยังสร้างความหงุดหงิดให้ผู้พัฒนาที่กำลังนำฟังก์ชันออกสู่ตลาด แต่ต้องหยุดรอการตรวจความปลอดภัย กระบวนการที่เหมาะสมควรมีการทดสอบใน IDE และไปป์ไลน์ CI/CD เมื่อการทดสอบและแก้ไขความปลอดภัยผสานอย่างลึกซึ้งกับชุดเครื่องมือ SDLC การพัฒนาโค้ดก็กลายเป็นการพัฒนาโค้ดที่ปลอดภัยไปพร้อมกัน

Veracode ช่วยสร้างและดำเนินโครงการ AppSec และ DevSecOps ที่ขยายขนาดได้ ช่วยอธิบายสองคำนี้ให้ผู้อ่านได้ไหม?

AppSec ย่อจาก application security หมายถึงเครื่องมือ นโยบาย และแนวปฏิบัติสำหรับสร้างโครงการที่ทำให้โค้ดปลอดภัย ทั้งซอฟต์แวร์ที่พัฒนาภายใน แอปพลิเคชันบุคคลภายนอก โค้ดโอเพนซอร์ส และห่วงโซ่อุปทานซอฟต์แวร์ที่เกี่ยวข้อง DevSecOps หรือ secure devops เป็นแนวคิดที่ผสานความปลอดภัยตลอด SDLC ตั้งแต่ข้อกำหนด สถาปัตยกรรมและการออกแบบ การเขียนโค้ด การทดสอบ การออกเวอร์ชัน และการนำขึ้นใช้งาน กล่าวคือทุกคนที่ร่วมพัฒนาซอฟต์แวร์มีหน้าที่รับผิดชอบความปลอดภัย ทั้งสองแนวทางทำงานร่วมกัน โดยมุ่งตัดสินใจด้านความปลอดภัยให้ดีขึ้นและส่งมอบซอฟต์แวร์ที่ปลอดภัยเร็วขึ้นอย่างมีประสิทธิภาพ

ช่วยอธิบายโซลูชันอย่าง Veracode SAST, Veracode SCA และ Veracode DAST โดยย่อได้ไหม?

Static Analysis ของ Veracode(SAST) ผสานความปลอดภัยตลอด SDLC ให้ผู้พัฒนาเขียนโค้ดปลอดภัยในสภาพแวดล้อมพัฒนาแบบบูรณาการ (IDE) สแกนอัตโนมัติในไปป์ไลน์การบูรณาการและส่งมอบ/นำขึ้นใช้งานอย่างต่อเนื่อง (CI/CD) และตรวจการปฏิบัติตามนโยบายก่อนใช้งาน ระบบสแกนโค้ดเพื่อหาข้อบกพร่อง จัดลำดับผลตรวจ และให้คำแนะนำตามบริบท เพื่อให้ผู้พัฒนาจัดลำดับงาน แก้ข้อบกพร่องสำคัญ และลดความเสี่ยง

Software Composition Analysis ของ Veracode(SCA) ค้นหาส่วนประกอบทั้งหมดของแอปพลิเคชันโดยอัตโนมัติ และเสนอวิธีจัดการความเสี่ยงในส่วนประกอบเหล่านั้น ความสามารถด้านแมชชีนเลิร์นนิงและการแก้ไขอัตโนมัติของ SCA แนะนำวิธีแก้ โดยมุ่งรบกวนระบบที่ใช้งานจริงให้น้อยที่สุด

สุดท้ายDynamic Analysis(DAST) เป็นส่วนของแพลตฟอร์มความปลอดภัยซอฟต์แวร์อัจฉริยะของ Veracode ที่ช่วยให้ทีมความปลอดภัยค้นพบพื้นผิวการโจมตีที่ไม่เคยทราบมาก่อน หาช่องโหว่ในสภาพแวดล้อมขณะทำงาน และเห็นภาพรวมสถานะความปลอดภัยของเว็บแอปพลิเคชันและ API

เมื่อวันที่ 18 เมษายน 2023Veracode เปิดตัวความปลอดภัยซอฟต์แวร์อัจฉริยะพร้อม Veracode Fix ซึ่งใช้เทคโนโลยี GPT (Generative Pre-trained Transformer) เหตุใด GPT จึงเป็นความก้าวหน้าสำคัญด้านความปลอดภัยไซเบอร์?

ทีมพัฒนาและความปลอดภัยซอฟต์แวร์ต้องวิ่งเต็มที่เพียงเพื่อรักษาระดับเดิม หลายปีที่ผ่านมา ความปลอดภัยเน้นการทดสอบเพื่อค้นหาปัญหา แต่ทุกปัญหาที่พบต้องมีคนลงมือแก้ ผู้พัฒนามักต้องใช้เวลาที่ไม่มีเพื่อแก้ข้อบกพร่องที่ไม่เข้าใจในโค้ดที่ตนไม่ได้เขียน และระหว่างแก้หนึ่งจุด ก็อาจเกิดอีกสองจุดที่อื่น เห็นได้ชัดว่าต้องเปลี่ยนวิธีทำงาน

Veracode Fix เปลี่ยนกระบวนทัศน์จากการค้นหาเป็นการแก้ไข และเป็นจุดเริ่มของความปลอดภัยซอฟต์แวร์อัจฉริยะ โดยใช้ AI สร้างแนวทางแก้ซอฟต์แวร์ที่ไม่ปลอดภัยโดยอัตโนมัติ ทำให้การแก้ข้อบกพร่องมีระบบอัตโนมัติและปรับสมดุลงานความปลอดภัย ต่างจากเครื่องมือเขียนโค้ด Generative AI ส่วนใหญ่ Veracode Fix ไม่ได้ฝึกด้วยโค้ดโอเพนซอร์สหรือโค้ดที่หาได้ทั่วไป และไม่ใช้หรือเก็บข้อมูลลูกค้าไว้ฝึกโมเดล

เราใช้ชุดข้อมูลที่คัดสรรและเป็นกรรมสิทธิ์ ฝึกแบบมีผู้สอนและปรับให้สอดคล้องกับแนวทางของทีมนักวิจัยความปลอดภัยชั้นนำและที่ปรึกษาความปลอดภัยแอปพลิเคชัน เพื่อส่งมอบประสบการณ์และความเชี่ยวชาญสะสมของ Veracode ในรูปแบบที่เรียบง่ายและทรงพลัง ให้ความสามารถของ Veracode อยู่เพียงปลายนิ้ว

Veracode Fix เปลี่ยนจาก AI ที่เพียงระบุปัญหาไปสู่การแก้ปัญหา สิ่งนี้ช่วยขยายขนาดการทำงานอย่างไร?

องค์กรเคยต้องเลือกระหว่างแก้ข้อบกพร่องด้านความปลอดภัยกับการทำตามกำหนดส่งโค้ดที่เร่งรัด ด้วย AI และชุดข้อมูลของ Veracode เครื่องมือนี้ช่วยประหยัดเวลาผู้พัฒนา ให้เขียนโค้ดที่ปลอดภัยได้รวดเร็วขึ้น ข้อบกพร่องที่ต้องใช้เวลาหลายชั่วโมงแก้และอาจค้างอยู่นานหลายเดือน สามารถแก้ได้ในไม่กี่นาที ประโยชน์ต่อการขยายขนาดชัดเจน ผู้พัฒนาสร้างซอฟต์แวร์ได้มากขึ้นและเร็วขึ้น จึงสร้างนวัตกรรมอย่างปลอดภัยได้

ต้องมีมนุษย์เข้ามาเกี่ยวข้องมากเพียงใดก่อนแก้ปัญหา และมนุษย์มีบทบาทตรงไหนในความปลอดภัยไซเบอร์แบบนี้?

แม้กระบวนการพัฒนาจะมีระบบอัตโนมัติ การแก้ข้อบกพร่องด้านความปลอดภัย โดยเฉพาะโค้ดที่พัฒนาเอง ยังพึ่งแรงงานของผู้พัฒนาที่มีงานล้นมือและได้รับการสนับสนุนไม่พอ จนถึงตอนนี้

Veracode Fix ใช้แมชชีนเลิร์นนิงสร้างข้อเสนอการแก้ไข ให้ผู้พัฒนาตรวจสอบและนำไปใช้โดยไม่ต้องเขียนโค้ดเอง

สิ่งสำคัญคือ Veracode Fix ไม่ได้แก้โค้ดให้โดยอัตโนมัติ แต่เสนอวิธีแก้ ผู้พัฒนายังเป็นผู้ตรวจสอบและนำไปใช้ วิธีนี้ประหยัดเวลา เร่งการพัฒนาที่ปลอดภัย และช่วยจัดการความเสี่ยงกับลดหนี้ด้านความปลอดภัยในวงกว้าง ด้วยแรงงานและต้นทุนที่น้อยลง

มีอะไรเพิ่มเติมเกี่ยวกับ Veracode ที่อยากแบ่งปันไหม?

เทคโนโลยีเปลี่ยนแปลงอยู่เสมอ และ Veracode ก็เช่นกัน แต่เป้าหมายตั้งแต่ปี 2006 ไม่เปลี่ยน คือทำให้ซอฟต์แวร์ปลอดภัยในวงกว้าง เช่นเดียวกับที่เราบุกเบิก AppSec เมื่อกว่า 17 ปีก่อน ตอนนี้เราบุกเบิกความปลอดภัยซอฟต์แวร์อัจฉริยะ ผลิตภัณฑ์และนวัตกรรมอย่าง Veracode Fix เป็นหลักฐานของแนวทางนี้

Veracode ก่อตั้งโดย Chris Wysopal อดีตแฮ็กเกอร์สายขาวที่กลายเป็นผู้มีอิทธิพลด้านนโยบายไซเบอร์ ในปี 1998 เขาให้การในนามกลุ่มแฮ็กเกอร์ L0pht ต่อคณะกรรมาธิการวุฒิสภาสหรัฐฯ ที่ตรวจสอบปัญหาไซเบอร์ของรัฐบาล ว่าผู้ขายเทคโนโลยีไซเบอร์ต้องทำให้ดีกว่านี้และรับผิดชอบปัญหา

ตั้งแต่ก่อตั้ง Veracode เติบโตจากสตาร์ทอัพเป็นธุรกิจระดับโลกที่มีลูกค้ามากกว่า 2,600 ราย เป็นเส้นทางที่น่าทึ่งตลอดหลายปี ความสำเร็จมาจากความมุ่งมั่นช่วยลูกค้าแก้ความท้าทายใหญ่ ได้แก่ การผสานความปลอดภัยใน SDLC การพัฒนาทักษะความปลอดภัยของผู้พัฒนา การปกป้องห่วงโซ่อุปทานซอฟต์แวร์ การจัดการความเสี่ยงพื้นผิวโจมตีของเว็บแอป และการพัฒนาแอปพลิเคชันคลาวด์เนทีฟให้ปลอดภัย เราได้รับการจัดเป็นผู้นำใน Gartner Magic Quadrant ด้าน Application Security Testing ถึงสิบครั้ง ซึ่งเป็นการประเมินอุตสาหกรรมอย่างละเอียด และได้รับรางวัลอื่น ๆ มากมาย

อีกสิ่งที่ภูมิใจคือวัฒนธรรมที่สร้างมาตลอด ในปีที่ผ่านมา Veracode ได้รับรางวัลสถานที่ทำงานยอดเยี่ยมปี 2022 จาก The Boston Globe และ Top Workplaces USA ปี 2023 จาก Energage เรารู้สึกเป็นเกียรติและถ่อมตนต่อรางวัลเหล่านี้ เพราะภูมิใจในวัฒนธรรมที่เปิดรับความแตกต่าง ส่งเสริมความสามารถ และช่วยให้พนักงานทำงานได้ดีที่สุด

ขอบคุณสำหรับการสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านที่ต้องการทราบข้อมูลเพิ่มเติมสามารถเยี่ยมชมVeracodeได้