ชราว เมห์ตา ผู้ก่อตั้งและซีอีโอของ Secureframe – สัมภาษณ์รายการ

ชราว เมห์ตา ผู้ก่อตั้งและซีอีโอของ Secureframe เป็นผู้ประกอบการและผู้นำด้านเทคโนโลยีที่มุ่งเน้นในการทำให้การรักษาความปลอดภัยทางไซเบอร์และการปฏิบัติตามกฎระเบียบเป็นอัตโนมัติ เขาก่อตั้ง Secureframe ในปี 2020 หลังจากมีประสบการณ์ในการทำงานด้านวิศวกรรมและการเติบโตในบริษัทสตาร์ทอัพหลายแห่ง รวมถึง Pilot, Scale AI, Lob และ Hired ในช่วงแรกของอาชีพ เขาได้ก่อตั้งและขยายพอร์ตโฟลิโอของแอปพลิเคชันและเกม Android ที่ประสบความสำเร็จซึ่งมีผู้ใช้หลายล้านคน ภายใต้การนำของเขา Secureframe ได้กลายเป็นหนึ่งในแพลตฟอร์มการปฏิบัติตามกฎระเบียบด้านความปลอดภัยที่มีการใช้งานมากที่สุด ช่วยให้องค์กรสามารถทำให้กระบวนการรับรองการปฏิบัติตามกฎระเบียบที่ซับซ้อนเป็นไปอย่างราบรื่น ในขณะเดียวกันก็ได้รับการสนับสนุนจากบริษัททุน rizik หลายแห่ง รวมถึง Kleiner Perkins, Accomplice, Gradient Ventures, Base10 Partners และอื่นๆ

Secureframe เป็นแพลตฟอร์มการรักษาความปลอดภัยทางไซเบอร์และการปฏิบัติตามกฎระเบียบที่ช่วยให้องค์กรสามารถบรรลุและรักษาความปลอดภัยและความเป็นส่วนตัวที่เป็นมาตรฐานอุตสาหกรรมด้วยความพยายามของมนุษย์ที่ลดลง แพลตฟอร์มนี้ทำให้การรวบรวมหลักฐาน การตรวจสอบอย่างต่อเนื่อง การฝึกอบรมความตระหนักรู้ด้านความปลอดภัย การจัดการความเสี่ยงของซัพพลายเออร์ และการเตรียมการสำหรับการตรวจสอบเป็นอัตโนมัติผ่านการเชื่อมต่อหลายร้อยรายการกับคลาวด์ไพรเวเดอร์ แพลตฟอร์มด้านตัวตน เครื่องมือพัฒนา และแอปพลิเคชันทางธุรกิจ โดยการสนับสนุนเฟรมเวิร์ก รวมถึง SOC 2, ISO 27001, HIPAA, PCI DSS, NIST, CMMC, FedRAMP และ GDPR Secureframe ช่วยให้บริษัทต่างๆ มีความเข้มแข็งด้านความปลอดภัย ในขณะเดียวกันก็เร่งการขายองค์กรโดยการทำให้การปฏิบัติตามกฎระเบียบเร็วขึ้น มีประสิทธิภาพมากขึ้น และง่ายต่อการรักษาตลอดทั้งปี

ก่อนที่คุณจะก่อตั้ง Secureframe คุณ曾ทำงานในหลายบทบาททั้งด้านวิศวกรรม การตลาด และการเติบโตในบริษัทต่างๆ เช่น Pilot, Scale AI, Lob และ Hired และแม้กระทั่งสร้างแอป Android ที่มีผู้ใช้หลายล้านคน คุณมีประสบการณ์ใดที่ทำให้คุณเชื่อว่าการปฏิบัติตามกฎระเบียบด้านความปลอดภัยมีปัญหาเพียงพอที่จะอุทิศบริษัทให้กับการแก้ไขปัญหา

ทุกอย่างเริ่มต้นจากความ沮เสียของฉันเองตลอดอาชีพการงานของฉัน ฉันสังเกตเห็นว่าทีมวิศวกรรมที่มีความสามารถสูงจะหยุดชะงักเมื่อลูกค้าองค์กรขนาดใหญ่มอบแบบสอบถามด้านความปลอดภัยหรือต้องการรายงาน SOC 2 ให้พวกเขา การปฏิบัติตามกฎระเบียบด้านความปลอดภัยกลายเป็นอุปสรรคต่อการเติบโตทางธุรกิจ แทนที่จะเป็นตัวเร่ง

ฉันเริ่มถามคนในเครือข่ายของฉันว่าพวกเขาต้องการเครื่องมือเพื่อทำให้กระบวนการนี้เป็นอัตโนมัติหรือไม่ หลายคนบอกว่าใช่ แต่ฉันไม่แน่ใจว่าพวกเขาพูดจริงจังแค่ไหน จนกระทั่งหนึ่งคนโทรหาฉันกลับมาหลังจากหนึ่งเดือนเพื่อถามว่าผลิตภัณฑ์นั้นอยู่ที่ไหน ฉันลาออกจากงานในอาทิตย์นั้นและเริ่ม Secureframe อย่างเป็นทางการ เมื่อเรามีผลิตภัณฑ์ขั้นต้น มีบริษัทมากกว่า 40 แห่งที่อยู่ในรายชื่อรอของเรา

ปัจจุบัน เราช่วยให้บริษัทหลายพันแห่งสามารถนำทาง รักษา และขยายงานสำคัญนี้ได้ เป็นเรื่องที่น่าพึงพอใจมากที่ได้เห็นว่าแพลตฟอร์มของเราช่วยลดการขัดขวางและเปลี่ยนจุดอ่อนในอดีตให้เป็นตัวเร่ง竞争สำหรับลูกค้าของเรา

การประชุมสัมมนาด้านความปลอดภัยทางไซเบอร์ล่าสุดของคุณพบว่าหกใน十分ของมืออาชีพด้านความปลอดภัยเชื่อว่าพวกเขาเหลือช่องว่างด้านข่าวกรองภัยคุกคามที่สำคัญ คุณคิดว่าทำไมหลายองค์กรยังคงดิ้นรนในการทำความเข้าใจความเสี่ยงด้านความปลอดภัยที่แท้จริงของตนเอง尽管ที่พวกเขามีงบประมาณมากสำหรับการรักษาความปลอดภัยทางไซเบอร์

สิ่งหนึ่งที่เราเห็นอย่างต่อเนื่องในการทำงานกับองค์กรหลายพันแห่งคือทีมความปลอดภัยส่วนใหญ่ไม่ได้ขาดข้อมูล แต่ขาดบริบท พวกเขารับแจ้งเตือนจากเครื่องมือหลายเครื่อง แต่ยังคงดิ้นรนในการตอบคำถามพื้นฐาน เช่น ข้อมูลที่ละเอียดอ่อนอยู่ที่ไหน ใครที่เข้าถึงมันได้ และความเสี่ยงเฉพาะของพวกเขาอยู่ที่ไหน จริงๆ แล้วการสำรวจของเราแสดงให้เห็นว่าในขณะที่ 60% บริโภคฟีดมาตรฐานของรัฐบาล แต่มีเพียง 29% เท่านั้นที่เข้าร่วมในการแบ่งปัน ISAC ของอุตสาหกรรม ฟีดการแจ้งเตือนของรัฐบาลมีคุณค่า แต่เมื่อใดก็ตามที่ฟีดหนึ่งมาถึงในกล่องจดหมายของคุณ อาจเป็นไปได้ว่าภัยคุกคามนั้นได้พัฒนาไปแล้ว

ปัญหาที่ลึกซึ้งกว่าคือเครือข่ายขยายเร็วกว่าการสำรวจของสิ่งที่อยู่บนเครือข่าย หากคุณไม่มีภาพที่ชัดเจนและเป็นปัจจุบันของข้อมูลที่ละเอียดอ่อนและใครที่สัมผัสกับมัน การเพิ่มเครื่องมือด้านความปลอดภัยอีกตัวจะไม่ช่วยคุณ

คุณได้อธิบายถึงอนาคตที่การรักษาความปลอดภัยทางไซเบอร์จะกลายเป็นรูปแบบของ “สงคราม AI ที่สมมาตร” โดยทั้งผู้โจมตีและผู้ป้องกันใช้ระบบอัตโนมัติมากขึ้น เรื่องนี้เปลี่ยนแปลงวิธีการดำเนินงานของทีมความปลอดภัยทางไซเบอร์ขององค์กรขนาดใหญ่อย่างไร

เมื่อ AI สามารถดำเนินการได้มากที่สุดโดยอัตโนมัติ การสอดแนม การใช้ประโยชน์ และการเคลื่อนไหวในเครือข่ายด้วยการมีส่วนร่วมของมนุษย์ขั้นต่ำ นักวิเคราะห์คนหนึ่งที่เปิดตั๋วในเวลา 9.00 น. สำหรับการแจ้งเตือนซึ่งส่งไปเมื่อ 2.00 น. ก็เสียการรบไปแล้ว

บทบาทของนักวิเคราะห์ด้านความปลอดภัยเปลี่ยนจากผู้ตอบสนองอย่างแข็งขันไปเป็นผู้กำกับ: การตั้งค่านโยบาย การตรวจสอบความสมบูรณ์ของระบบป้องกัน และการกำจัดจุดบอด มากกว่าการไต่สวนการแจ้งเตือนระดับต่ำอย่างไม่มีที่สิ้นสุด

ระหว่างการประชุมสัมมนาของเรา อดีตผู้อำนวยการด้านความปลอดภัยทางไซเบอร์ของ NSA Rob Joyce กล่าวอย่างชัดเจน ว่า “ไม่มีทางกลับไปสู่รูปแบบภัยคุกคามก่อน AI การตัดสินใจเกี่ยวกับการป้องกันของคุณคือการตัดสินใจเกี่ยวกับสถานการณ์ปกติใหม่ เราไม่ได้เตรียมพร้อมสำหรับอนาคตที่เป็นไปได้”

หาก AI ช่วยให้ผู้โจมตีลดเวลาในการโจมตีจากชั่วโมงลงเหลือวินาที อะไรคือจุดอ่อนที่ใหญ่ที่สุดในแบบจำลองการรักษาความปลอดภัยและความปลอดภัยแบบดั้งเดิมที่ทำให้องค์กรต่างๆ เหลือเปราะบาง

จุดอ่อนที่ใหญ่ที่สุดคือการตรวจสอบแบบจุดเวลาหรือแบบคงที่หรือแบบแมนนวล แบบจำลองการปฏิบัติตามกฎระเบียบที่มีการยืนยันเอกสารเพียงครั้งเดียวต่อปีเพื่อพิสูจน์ว่าการควบคุมทำงานเมื่อวันที่เฉพาะเจาะจง โมเดลนี้ล้มเหลวเมื่อซอฟต์แวร์ถูกสร้างขึ้น ซ้ำ และใช้งานอย่างต่อเนื่อง ภาพถ่ายที่ถ่ายเมื่อไตรมาสที่แล้วอาจไม่บอกอะไรคุณเกี่ยวกับสถานะความปลอดภัยของคุณในวันนี้ นั่นคือเหตุผลที่เฟรมเวิร์กเช่น FedRAMP กำลังย้ายไปสู่การตรวจสอบอัตโนมัติและคงอยู่

จุดอ่อนหลักที่สองคือเครือข่ายองค์กรขนาดใหญ่หลายแห่งยังคงแบน แฟลต เมื่อระบบปฏิบัติการที่ละเอียดอ่อนอยู่บนเครือข่ายเดียวกันกับเครื่องมือองค์กรทั่วไป บัญชีผู้ใช้ที่ถูกบุกรุกเพียงบัญชีเดียวอาจกลายเป็นปัญหาใหญ่มากในเวลาอันสั้น

หลายองค์กรยังคอรักษาการปฏิบัติตามกฎระเบียบเป็นการออกกำลังกายในการตรวจสอบแบบจัดระยะ คุณเชื่อว่าความคิดนี้กำลังจะกลายเป็นอันตรายในยุคที่ภัยคุกคามเปลี่ยนแปลงอย่างต่อเนื่องหรือไม่

เพราะว่าผู้โจมตีไม่โจมตีตามตารางการตรวจสอบของคุณ พวกเขาขยายช่องว่างระหว่างวิธีการที่ระบบของคุณดูระหว่างการประเมินและการกำหนดค่าจริงสามเดือนต่อมา การกำหนดค่าเปลี่ยนแปลง พนักงานมาและไป ซอฟต์แวร์ใหม่ถูกบูรณาการ สิ่งเหล่านี้สร้างการเปิดเผยที่การตรวจสอบครั้งเดียวจะไม่พบ

เฟรมเวิร์กการปฏิบัติตามกฎระเบียบ เช่น SOC 2 หรือ CMMC มีจุดมุ่งหมายเพื่อกำหนดพื้นฐานการปฏิบัติงาน ไม่ใช่เส้นชัย การปฏิบัติตามกฎระเบียบเป็นโครงการระยะเวลาคือวิธีที่บริษัทต่างๆ มักจะพบปัญหาในการประเมินซ้ำหรือในเหตุการณ์ด้านความปลอดภัยระหว่างรอบการประเมิน

รูปแบบการป้องกันที่ขับเคลื่อนด้วย AI อย่างต่อเนื่องมีลักษณะอย่างไรในทางปฏิบัติ และแตกต่างจากศูนย์ปฏิบัติการด้านความปลอดภัยที่องค์กรส่วนใหญ่นิยมใช้อย่างไร

ปัจจุบัน ทีมความปลอดภัยใช้เวลาส่วนใหญ่ในการไต่สวนการแจ้งเตือนด้วยตนเอง ตรวจสอบเหตุการณ์อย่างหนึ่งๆ และรวบรวมหลักฐานสำหรับการตรวจสอบผ่านการบันทึกหน้าจอ สเปรดชีต และเอกสาร ณ จุดเวลา

รูปแบบที่ขับเคลื่อนด้วย AI กลับกัน แทนที่จะให้นักวิเคราะห์ตามการแจ้งเตือน ระบบอัตโนมัติจะตรวจสอบรูปแบบพฤติกรรมอย่างต่อเนื่องข้ามข้อมูล ตัวตน และโครงสร้างพื้นฐาน เมื่อมีการเปลี่ยนแปลงจากเส้นฐานที่กำหนด ระบบการทำงานอัตโนมัติจะปิดช่องว่างทันที แทนที่จะรอให้มนุษย์สังเกตเห็นและดำเนินการ

AI ยังสามารถรับช่วงภาระงานเอกสารทั้งหมดได้ โดยสร้างและบำรุงรักษาการประเมินความเสี่ยง หลักฐานการควบคุม และบันทึกการปฏิบัติตามกฎระเบียบตามสถานะจริงของสภาพแวดล้อม แทนที่จะเป็นภาพถ่ายที่ถ่ายก่อนการตรวจสอบ ทีมความปลอดภัยเปลี่ยนจากการทำงานนี้ไปสู่การดูแลระบบที่ทำมัน

ภัยคุกคามทางไซเบอร์ของรัฐชาติกำลังจะซับซ้อนและได้รับการสนับสนุนมากขึ้น คุณเชื่อว่าองค์กรจะต้องพัฒนาความสามารถใดในช่วงสามปีหน้าเพื่อรักษาความยืดหยุ่นต่อผู้โจมตีดังกล่าว

การกำหนดขอบเขตข้อมูลที่แม่นยำ การตรวจสอบซัพพลายเออร์อัตโนมัติ และสถาปัตยกรรมความปลอดภัยตามพฤติกรรม

ผู้โจมตีระดับรัฐสามารถผสมผสานได้ด้วยการใช้เครดิตเชลล์ที่ถูกขโมยและเครื่องมือระบบที่ถูกต้องเพื่อเคลื่อนย้ายผ่านเครือข่ายโดยไม่กระตุ้นการแจ้งเตือนแบบดั้งเดิม การจับกิจกรรมประเภทนี้ต้องติดตามรูปแบบของพฤติกรรม ไม่ใช่แค่การสแกนสำหรับลายเซ็นของมัลแวร์ที่ทราบ

ในด้านซัพพลายเชน ข้อมูลการสำรวจของเราแสดงให้เห็นว่า 58% ของผู้ปฏิบัติงานด้านความปลอดภัยอ้างถึงความเสี่ยงของซัพพลายเออร์เป็นช่องว่างที่ไม่ได้รับการแก้ไขที่ใหญ่ที่สุด การทบทวนสเปรดชีตของซัพพลายเออร์เป็นครั้งคราวในแต่ละปี ในขณะที่ผู้โจมตีที่ซับซ้อนกำลังโจมตีซัพพลายเออร์ของคุณ ไม่ใช่การป้องกันที่แท้จริง

สุดท้าย การแยกสภาพแวดล้อมที่ละเอียดอ่อนออกจากเครือข่ายองค์กรทั่วไปจะลดการเปิดเผยของคุณอย่างมีนัยสำคัญ องค์กรที่ควบคุมต้นทุนการปฏิบัติตามกฎระเบียบได้อย่างมีประสิทธิภาพที่สุดทำได้โดยจำกัดไม่ให้ข้อมูลที่ละเอียดอ่อนแพร่กระจายไปทั่วทั้งเครือข่ายในตอนแรก

เมื่อ AI มีความสามารถมากขึ้น คุณคาดว่าช่องว่างทักษะด้านความปลอดภัยทางไซเบอร์จะกว้างขึ้นหรือแคบลง บทบาทด้านความปลอดภัยใดที่มีแนวโน้มว่าจะมีความสำคัญมากขึ้น และบทบาทใดที่อาจกลายเป็นอัตโนมัติมากขึ้น

ฉันคิดว่าช่องว่างทักษะด้านความปลอดภัยทางไซเบอร์จะกว้างขึ้นในแง่ของความซับซ้อน แต่แคบลงในปริมาณ AI จะจัดการงานซ้ำๆ ที่ใช้แรงงานซึ่งได้รับมาจากนักวิเคราะห์ระดับจูเนียร์ เช่น การตรวจสอบบันทึก การจัดทำเอกสารพื้นฐาน และการแพตช์แบบง่ายๆ สิ่งนี้ช่วยให้มีความสามารถ แต่ก็เพิ่มความต้องการให้กับผู้ปฏิบัติงานที่มีทักษะ

บทบาทที่จะมีความสำคัญมากที่สุดในอนาคตคือบทบาทที่มุ่งเน้นไปที่สถาปัตยกรรมและการกำกับดูแล: ผู้เชี่ยวชาญที่สามารถออกแบบระบบที่ยืดหยุ่น ประเมินความปลอดภัยของพายพайป์ไลน์ AI เอง และตีความสภาพแวดล้อมด้านกฎระเบียบที่เปลี่ยนแปลงอย่างรวดเร็ว

Secureframe ได้ขยายตัวจากความปลอดภัยแบบอัตโนมัติไปสู่การตรวจสอบความปลอดภัยและการฟื้นฟูโดยใช้ AI ที่กว้างขึ้น คุณเห็นเส้นแบ่งระหว่างการกำกับดูแล การจัดการความเสี่ยง การปฏิบัติตามกฎระเบียบ และการป้องกันทางไซเบอร์แบบกระตือรือร้นเริ่มพร่ามัวที่ไหน

ฟังก์ชันเหล่านี้ถูกแยกออกจากกันในทางเทคนิค ในทางปฏิบัติ ทั้งหมดนี้เป็นการแสดงออกของคำถามเดียวกัน: คุณสามารถแสดงให้เห็นว่าระบบของคุณทำสิ่งที่คุณบอกว่ามันทำได้หรือไม่

เมื่อระบบอัตโนมัติปิดช่องว่างด้านความปลอดภัยในเวลาจริง มันจะอัปเดตท่าทางความเสี่ยงของ bạn บันทึกเหตุการณ์ด้านการกำกับดูแล และสร้างหลักฐานการปฏิบัติตามกฎระเบียบในเวลาเดียวกัน การเปลี่ยนแปลงที่เราเห็นคือการเปลี่ยนจากการปฏิบัติตามกฎระเบียบแบบจุดเวลาไปสู่ความไว้วางใจอย่างต่อเนื่อง และ AI คือวิธีที่ความไว้วางใจนี้ได้รับการยืนยันมากขึ้น ไม่ใช่แค่รักษาไว้เท่านั้น

เมื่อมองไปข้างหน้า คุณเชื่อว่าเรากำลังเข้าใกล้จุดที่ระบบ AI จะรับผิดชอบในการปกป้องโครงสร้างพื้นฐานที่สำคัญด้วยการแทรกแซงแบบมนุษย์ขั้นต่ำ หรือการตัดสินใจของมนุษย์จะยังคงเป็นเครื่องมือป้องกันสุดท้ายต่อการโจมตีทางไซเบอร์ขนาดใหญ่

จะเกิดขึ้นทั้งสองอย่าง และวัฒนธรรมความเป็นผู้นำจะกำหนดว่าแต่ละองค์ประกอบทำงานได้ดีเพียงใด

อดีต CISA CIO Bob Costello กล่าวถึงสิ่งนี้ ในการประชุมสัมมนาของเราเมื่อเขาอธิบายว่า SolarWinds เปลี่ยนการอภิปรายของัฐบาล: จากการปฏิบัติตามกฎระเบียบเป็นการออกกำลังกายแบบเช็คบ็อกซ์ไปสู่การทำความเข้าใจท่าทางความเสี่ยงของสภาพแวดล้อมแบบเรียลไทม์จริงๆ การเปลี่ยนแปลงความคิดนี้คือสิ่งที่แยกองค์กรที่ยืดหยุ่นออกจากองค์กรที่เปราะบาง

บริษัทที่ออกมาเป็นผู้ชนะรู้ว่าข้อมูลที่ละเอียดอ่อนของตนอยู่ที่ไหนก่อนที่ใครจะถาม มีการแทนที่การรวบรวมหลักฐานด้วยตนเองด้วยระบบอัตโนมัติ และสร้างวัฒนธรรมที่พฤติกรรมด้านความปลอดภัยถูกฝังอยู่ในงานประจำวัน แทนที่จะสงวนไว้สำหรับการฝึกอบรมประจำปี สำหรับผู้ที่ดำเนินงานในสถานการณ์ที่มีการควบคุมหรือมีผลกระทบสูง ช่องว่างสำหรับการปรับปรุงอย่างค่อยเป็นค่อยไปกำลังปิดลง

ขอขอบคุณสำหรับการสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านสามารถเยี่ยมชม Secureframe เพื่อเรียนรู้เพิ่มเติม