ทอม ฟินด์ลิง คอ-ฟาวน์เดอร์และซีอีโอของ Conifers – ซีรีส์สัมภาษณ์

ทอม ฟินด์ลิง เป็นผู้นำเชิงกลยุทธ์ที่มีประวัติการทำงานที่พิสูจน์แล้วในด้านการตลาด (GTM) ผลิตภัณฑ์ และวิทยาศาสตร์ข้อมูล โดย曾任ประธานฝ่ายลูกค้าของ IntSights (ซึ่งถูก Rapid7 เข้าซื้อกิจการ) และต่อมาเป็นรองประธานฝ่ายผลิตภัณฑ์ของ Rapid7 ทำให้เขาได้นำความเชี่ยวชาญที่เป็นเอกลักษณ์มาใช้ในการดำเนินงานขนาดใหญ่ นอกจากนี้เขายังเคยดำรงตำแหน่งด้านการตลาดและการผลิตภัณฑ์ที่ VMware และ SUS

Conifers มีแพลตฟอร์ม CognitiveSOC ที่ขับเคลื่อนด้วย AI ซึ่งเพิ่มความสามารถของศูนย์ปฏิบัติการด้านความปลอดภัยโดยการรวมเข้ากับเครื่องมือที่มีอยู่ การดูดซับข้อมูลและโปรไฟล์ความเสี่ยงเฉพาะขององค์กร และปรับกระบวนการสอบสวนอย่างต่อเนื่อง เพื่อแก้ไขปัญหาทั่วไป เช่น ปริมาณการเตือนมากเกินไป ความเข้าใจที่จำกัดเกี่ยวกับประสิทธิภาพของ SOC และระบบแบบหนึ่งขนาดที่ไม่เหมาะสม โดยการทำให้การสอบสวนลึกขึ้น การสร้างแบบจำลองความรู้ของสถาบัน และใช้ลูปป้อนกลับเพื่อปรับปรุงความแม่นยำและลดสัญญาณรบกวน แพลตฟอร์มนี้ได้รับการออกแบบมาเพื่อมอบผลลัพธ์ที่วัดได้ รวมถึงผลตอบแทนจากการลงทุนสามเท่าและลดเวลาในการสอบสวนลง 87%

คุณมีประสบการณ์ยาวนานในด้านความปลอดภัยของไซเบอร์ ตั้งแต่ IntSights ถึง Rapid7—สิ่งใดที่นำคุณมาเป็นคอ-ฟาวน์เดอร์ของ Conifers และปัญหาใดที่คุณตั้งเป้าที่จะแก้ไข?

ในระหว่างอาชีพการงานของฉัน ฉันได้เห็นถึงความยากลำบากของทีมปฏิบัติการด้านความปลอดภัยที่ต้องเผชิญกับภาระงานมากเกินไป เครื่องมือ และแรงกดดัน ในขณะที่อยู่ที่ IntSights ฉันเห็นว่ามันยากสำหรับมนุษย์ที่จะดำเนินการตามข้อมูลข่าวกรองที่ผลิตออกมา ที่ Rapid7 ฉันต้องรับมือกับการขยายทีมของเราโดยมีคนน้อยลงเพื่อสนับสนุนฐานลูกค้าที่ใหญ่ขึ้น โดยการออกแบบการทำงานใหม่และใช้วิทยาศาสตร์ข้อมูลเพื่อจัดการกับงานที่มีปริมาณสูง นั่นคือเมื่อฉันเริ่มเชื่อว่าการดำเนินงาน SOC ในแบบดั้งเดิมจะไม่ยั่งยืน Conifers เกิดขึ้นจากความพยายามของเราในการแก้ไขปัญหาการขยายตัวนี้ เราต้องการสร้างโซลูชันที่สามารถขยายตัวเพื่อรับมือกับปริมาณการคุกคามและข้อมูลที่เพิ่มขึ้นโดยไม่ทำให้คนเหนื่อยหน่าย ดังนั้นเราจึงสร้าง CognitiveSOC แพลตฟอร์มเอเย่นต์ AI SOC ของเรา

Conifers อธิบายตัวเองว่าเป็น “AI SOC force multiplier” แพลตฟอร์ม CognitiveSOC ของคุณแตกต่างจากเครื่องมืออัตโนมัติ SOC แบบดั้งเดิมอย่างไร?

เครื่องมืออัตโนมัติส่วนใหญ่ใน SOC ถูกสร้างขึ้นจาก playbooks ที่เป็นแบบคงที่ ซึ่งจะทำงานตามชุดขั้นตอนที่กำหนดไว้ แต่จะล้มเหลวเมื่อผู้โจมตีแสดงพฤติกรรมที่ไม่คาดคิดหรือเมื่อสภาพแวดล้อมเปลี่ยนแปลง CognitiveSOC เป็นแพลตฟอร์ม AI ที่สามารถเรียนรู้และปรับตัวให้เข้ากับสภาพแวดล้อมที่เปลี่ยนแปลงได้ มันสัมพันธ์ข้อมูล ใช้ความรู้ของสถาบัน และสรุปผลโดยไม่ต้องเขียนสคริปต์ทุกขั้นตอน แพลตฟอร์มนี้สนับสนุนนักวิเคราะห์มากกว่าการแทนที่พวกเขา และจะแข็งแกร่งขึ้นอย่างต่อเนื่องผ่านการให้ข้อมูลและเรียนรู้มากกว่าการบำรุงรักษาแบบแมนนวล ความสามารถที่เพิ่มขึ้นอย่างต่อเนื่องนี้คือสิ่งที่ทำให้มันเป็นปัจจัยที่เพิ่มประสิทธิภาพที่แท้จริง

ทีม SOC มักจะพูดถึงความเหนื่อยหน่ายและความเบื่อหน่ายจากอัลลาร์ม คุณแก้ไขปัญหานี้ในทางปฏิบัติอย่างไร?

CognitiveSOC จัดการกับอัลลาร์มโดยการลดสัญญาณรบกวนก่อนที่จะถึงนักวิเคราะห์ มันรวบรวมอัลลาร์มที่มาจากเครื่องมือต่างๆ และรวมเข้าด้วยกันเป็นการสอบสวนที่มีบริบทที่เกี่ยวข้องแล้ว แทนที่นักวิเคราะห์จะดูอัลลาร์มที่มีจำนวนมาก พวกเขาจะดูการสอบสวนที่มีข้อมูลที่เกี่ยวข้อง ซึ่งรวมถึงบริบททางประวัติศาสตร์ หลักฐาน และสาเหตุที่เป็นไปได้ นักวิเคราะห์สามารถดูข้อมูลและตัดสินใจได้ แทนที่จะตามหาสัญญาณดิบ ซึ่งช่วยลดความเหนื่อยหน่ายและความเบื่อหน่าย

ความไว้วางใจเป็นสิ่งสำคัญในด้านความปลอดภัยของไซเบอร์—วิธีการที่คุณใช้ในการสร้างความไว้วางใจในกระบวนการตัดสินใจที่ขับเคลื่อนด้วย AI?

กุญแจสำคัญของความไว้วางใจคือความโปร่งใสและควบคุม นักวิเคราะห์ยังคงอยู่ในตำแหน่งที่ควบคุมระบบและได้รับการแนะนำและคำอธิบายที่พวกเขาสามารถยืนยันหรือแทนที่ได้ และให้คะแนนได้ เมื่อเวลาผ่านไป เมื่อพวกเขาดูว่าระบบทำการตัดสินใจที่ถูกต้อง พวกเขาสามารถอนุญาตให้ระบบจัดการการกระทำอัตโนมัติมากขึ้นได้ วิธีการนี้ช่วยให้ทีมสามารถทดสอบและแก้ไขระบบในขณะที่ยังคงควบคุมไว้ในมือของมนุษย์ เราสร้างความไว้วางใจและความยอมรับโดยการรักษา AI เป็นหุ้นส่วนที่เรียนรู้จากนักวิเคราะห์มากกว่าการเป็นกล่องดำที่ตัดสินใจโดยไม่มีคำอธิบาย

คุณออกแบบเฟรมเวิร์กการนำไปใช้แบบขั้นตอนเพื่อให้สามารถนำไปใช้ได้โดยขั้นตอน คุณทำเช่นนี้ได้อย่างไร และมันช่วยให้องค์กรเอาชนะความต้านทานต่อ AI ได้อย่างไร?

เรารู้ตั้งแต่เริ่มต้นว่าความท้าทายที่ยิ่งใหญ่ที่สุดในการนำ AI ไปใช้คือความไว้วางใจ หากคุณเข้าไปใน SOC และบอกทีมให้ส่งมอบการดำเนินงานให้กับระบบ AI คำตอบจะเป็นไม่ ด้วยการแบ่งการนำไปใช้ออกเป็นขั้นตอน เราอนุญาตให้องค์กรเริ่มต้นด้วยกรณีการใช้งานที่จำกัดและขยายออกไปตามเวลา แต่ละขั้นตอนแสดงถึงคุณค่าและสร้างความไว้วางใจ ซึ่งทำให้ขั้นตอนถัดไปง่ายต่อการยอมรับ เส้นทางที่ค่อยเป็นค่อยไปนี้ช่วยสร้างความไว้วางใจ แทนที่จะทำให้เกิดความลังเลด้วยหลักฐาน และทำให้ทีมรู้สึกว่าควบคุมได้

ตัวชี้วัดเป็นส่วนสำคัญในการพิสูจจน์คุณค่าในด้านความปลอดภัย องค์กรควรติดตาม KPI ใดเพื่อวัดความก้าวหน้าในการสร้าง SOC ที่เป็นอิสระ?

ตัวชี้วัดที่สำคัญที่สุดคือความเร็วในการตรวจจับ การตอบสนอง และการแก้ไข รวมถึงคุณภาพและอัตราส่วนของอัลลาร์มดิบต่อการสอบสวนที่มีบริบทที่มีความหมาย อีกตัวชี้วัดหนึ่งคือการทำงานที่ระบบสามารถรับได้โดยไม่ต้องมีการมีส่วนร่วมของมนุษย์ ตัวชี้วัดเหล่านี้แสดงว่า SOC กำลัง变得มีประสิทธิภาพมากขึ้น นักวิเคราะห์ได้รับการเสริมอำนาจให้มุ่งเน้นไปที่งานที่มีคุณค่าสูงกว่า และองค์กรกำลังเคลื่อนไปสู่แบบจำลองที่ AI รับภาระหนัก การติดตามตัวเลขเหล่านี้ให้หลักฐานที่ชัดเจนของความก้าวหน้า

Conifers เน้นการรวมเข้ากับระบบจัดการเหตุการณ์ที่มีอยู่แล้ว การออกแบบที่ไม่ทำให้เกิดการหยุดชะงักเป็นหลักการออกแบบหลักของคุณหรือไม่?

ทีมความปลอดภัยได้ลงทุนอย่างมากในเครื่องมือและกระบวนการของพวกเขา เทคโนโลยีส่วนใหญ่ต้องการให้ทีม SOC “เปลี่ยนบริบท” และย้ายไปที่เครื่องมืออื่นเพื่อตรวจสอบและแก้ไขอัลลาร์ม เราเอาแรงเสียดสีนี้ออกไปโดยการพบกับนักวิเคราะห์ที่ที่พวกเขาคือ โดยฝังตัวในเครื่องมือที่พวกเขาทำงานอยู่แล้ว

คุณเห็นเส้นทางที่เป็นขั้นตอนจาก SOC แบบกึ่งอัตโนมัติในปัจจุบันไปยังอนาคตที่เอเย่นต์ AI มีอำนาจควบคุมเครื่องมือและข้อมูลมากกว่า?

เส้นทางสู่ SOC ที่เป็นอิสระเริ่มต้นด้วยการเสริมความสามารถ โดยที่ AI วิเคราะห์และสอบสวนอัลลาร์มภายใต้การดูแลของมนุษย์ จากนั้น องค์กรจะเข้าสู่ขั้นตอนการมอบหมาย โดยอนุญาตให้ระบบจัดการกรณีการใช้งานอัตโนมัติมากขึ้น ขั้นตอนสุดท้ายคือความเป็นอิสระที่สมบูรณ์ เมื่อเอเย่นต์ AI ได้รับการอนุญาตให้จัดการการตรวจจับและการตอบสนองข้ามสภาพแวดล้อมในขณะที่มนุษย์เป็นผู้กำหนดนโยบายและจัดการสถานการณ์ที่ไม่เหมือนใคร ปัจจุบันทีมส่วนใหญ่ยังคงอยู่ในขั้นตอนการเสริมความสามารถ โดยมีการมอบหมายเริ่มต้น แต่ความสบายใจในการส่งมอบสถานการณ์ปกติเพิ่มขึ้นอย่างรวดเร็ว และจะวางรากฐานสำหรับความเป็นอิสระที่สมบูรณ์

เมื่อมองไปข้างหน้า 5 ปี คุณคาดหวังว่าการดำเนินงาน SOC จะพัฒนาไปอย่างไรเมื่อ AI มีความเข้มข้น—ทั้งในด้านเทคโนโลยีและบทบาทของนักวิเคราะห์?

ใน 5 ปี SOC จะทำงานบนระบบที่ดูเหมือนเอเย่นต์อิสระมากกว่าแดชบอร์ด เอเย่นต์เหล่านี้จะตรวจจับ ตอบสนอง และปรับตัวให้เข้ากับภัยคุกคามใหม่ๆ และพวกเขายังจะปรับเปลี่ยนนโยบายและแบ่งปันความรู้ข้ามองค์กรในเวลาจริง เมื่อความสามารถนี้เติบโต บทบาทของนักวิเคราะห์จะเปลี่ยนไปสู่การกำกับดูแล กลยุทธ์ และการสอบสวนที่ซับซ้อน งานจะน้อยลงเกี่ยวกับการล้างอัลลาร์มที่ไม่สิ้นสุด และมากขึ้นเกี่ยวกับการนำความเชี่ยวชาญไปใช้ ณ จุดที่มีผลกระทบมากที่สุด ผลลัพธ์จะเป็น SOC ที่รู้สึกน้อยกว่าเหมือนศูนย์บริการและมากขึ้นเหมือนห้องควบคุมภารกิจ

ขอขอบคุณสำหรับการสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านสามารถเยี่ยมชม Conifers เพื่อเรียนรู้เพิ่มเติม