ซาฮี ชัปซา Co-Founder และ Co-CEO ของ Jit – สัมภาษณ์ด้านความปลอดภัยทางไซเบอร์

ซาฮี ชัปซา เป็นผู้ร่วมก่อตั้งและซีอีโอร่วมของ Jit แพลตฟอร์มที่ช่วยให้การรักษาความปลอดภัยอย่างต่อเนื่องเป็นเรื่องง่าย นักพัฒนาจึงสามารถออกแบบแอปบนคลาวด์ให้ปลอดภัยได้ตั้งแต่วันแรก

คุณทำงานด้านความปลอดภัยไซเบอร์มาตลอดอาชีพเป็นส่วนใหญ่ อะไรดึงดูดให้คุณเข้าสู่อุตสาหกรรมนี้ในตอนแรก?

ตอนเด็กผมชอบนิยายวิทยาศาสตร์เสมอ และภาพยนตร์เรื่อง “WarGames” จุดประกายจินตนาการของผมเกี่ยวกับบทบาทที่คอมพิวเตอร์จะมีต่อความปลอดภัยของโลก เมื่อเห็นแฮกเกอร์วัยรุ่นในเรื่องเข้าไปพัวพันกับความขัดแย้งทางไซเบอร์ที่มีเดิมพันสูงโดยไม่ได้ตั้งใจ ผมก็หลงใหลในโอกาสและความท้าทายของอนาคตดิจิทัล ต่อมาเมื่อเป็นผู้ใหญ่ท่ามกลางบรรยากาศนวัตกรรมของอิสราเอล ซึ่งได้ชื่อว่าเป็นประเทศแห่งสตาร์ทอัพ ผมรู้สึกอยากมีส่วนร่วมในสาขาที่น่าตื่นเต้นและสำคัญนี้ แรงบันดาลใจดังกล่าว ประกอบกับการย้ายไปสหรัฐอเมริกา ดินแดนแห่งโอกาส ทำให้ผมก่อตั้งบริษัทความปลอดภัยไซเบอร์แห่งแรก ผมโชคดีที่ได้มีส่วนกำหนดอนาคตของความปลอดภัยไซเบอร์ พร้อมกับรับจิตวิญญาณผู้ประกอบการจากบ้านทั้งสองแห่งของผม คือสหรัฐฯ และอิสราเอล

ช่วยเล่าจุดกำเนิดของ Jit ได้ไหม?

Jit.io เริ่มจากการที่ผมและผู้ร่วมก่อตั้งเห็นช่องว่างสำคัญในวงการความปลอดภัยไซเบอร์ ขณะที่ทีมวิศวกรรมสมัยใหม่นำ CI/CD มาใช้อย่างรวดเร็ว การผสานความปลอดภัยไซเบอร์กลับตามไม่ทัน ทำให้เสี่ยงต่อช่องโหว่มากขึ้น ปัญหาส่วนหนึ่งคือมีเครื่องมือความปลอดภัยแบบ shift-left จำนวนมากจนล้น ทีมวิศวกรรมมักต้องเชื่อมเครื่องมือ 15–20 ตัวในด้าน AppSec, CI/CD, คลาวด์ และ DAST เพื่อให้ได้โซลูชันที่ครอบคลุม แต่ละเครื่องมือมีขั้นตอนเริ่มใช้งาน การจัดการ และประสบการณ์นักพัฒนาของตัวเอง จึงทำให้การพัฒนาช้าลงอย่างมาก

Jit.io จึงเกิดขึ้นจากภารกิจที่จะทำให้ทีมเหล่านี้ผสานความปลอดภัยไซเบอร์เข้ากับไปป์ไลน์ CI/CD ได้ง่ายอย่างยิ่ง ทีมของเรามุ่งเร่ง DevSecOps โดยคัดเลือกเครื่องมือความปลอดภัยโอเพนซอร์สที่ดีที่สุดในโลกอย่างพิถีพิถัน แล้วรวมไว้ในแพลตฟอร์มเดียว ด้วยประสบการณ์นักพัฒนา (DevX) ที่คล่องตัว Jit.io ช่วยให้ทีมวิศวกรรมผสานและจัดการความปลอดภัยของผลิตภัณฑ์ได้อย่างราบรื่น โดยไม่ต้องเชื่อมชุดเครื่องมือที่ซับซ้อนหรือเสียเวลากับขั้นตอนเริ่มใช้งาน ความปลอดภัยของแอปพลิเคชันที่แข็งแกร่งจึงเป็นส่วนสำคัญที่เข้าถึงได้ง่ายของกระบวนการพัฒนา แทนที่จะเป็นสิ่งที่ค่อยมาคิดภายหลัง

แนวทางนี้ทำให้ Jit.io เป็นผู้เปลี่ยนเกมในวงการความปลอดภัยไซเบอร์ โดยทำให้การนำเครื่องมือสำคัญมาใช้เรียบง่ายและรวมเป็นหนึ่ง เปลี่ยนวิธีที่ทีมวิศวกรรมรับมือภัยคุกคามดิจิทัลที่พัฒนาอยู่ตลอด และเพิ่มความเร็วกับประสิทธิภาพในการพัฒนาในที่สุด

ช่วยอธิบาย DevSecOps สำหรับผู้อ่านที่ยังไม่คุ้นเคยได้ไหม?

DevSecOps คือการผสานความปลอดภัยไว้ในทุกขั้นตอนของการพัฒนาและนำซอฟต์แวร์ขึ้นใช้งานสำหรับทีมวิศวกรรมสมัยใหม่ โดยรวมความปลอดภัยของแอปพลิเคชัน (AppSec), ความปลอดภัยของ CI/CD และความปลอดภัยคลาวด์เข้าด้วยกัน นักพัฒนาจึงรับผิดชอบความปลอดภัยของผลิตภัณฑ์ได้เช่นเดียวกับที่รับผิดชอบ CI และ CD พร้อมส่งเสริมความร่วมมือและความรับผิดชอบร่วมกันระหว่างทีมพัฒนา ความปลอดภัย และปฏิบัติการ

Jit ช่วยให้นักพัฒนารับผิดชอบความปลอดภัยของผลิตภัณฑ์ได้ตั้งแต่วันแรก เหตุใดจึงต้องให้ความสำคัญกับความปลอดภัยตั้งแต่เนิ่นๆ?

ลองเปรียบเทียบกับการก่อสร้างอาคาร เพื่อดูว่า DevSecOps ครอบคลุมด้านต่างๆ ของการพัฒนาซอฟต์แวร์อย่างไร ได้แก่ AppSec, CI/CD หรือการบูรณาการและนำขึ้นใช้งานอย่างต่อเนื่อง, คลาวด์ และ DAST หรือการทดสอบความปลอดภัยของแอปพลิเคชันแบบไดนามิก

AppSec เปรียบเหมือนการรับรองว่าวัสดุและแบบอาคารปลอดภัยและเป็นไปตามมาตรฐาน CI/CD เปรียบเหมือนการประสานงานก่อสร้างอย่างราบรื่น เพื่อประกอบและเชื่อมส่วนต่างๆ เช่น ระบบประปา ไฟฟ้า และความปลอดภัยอย่างมีประสิทธิภาพ ความปลอดภัยคลาวด์คือโครงสร้างพื้นฐานและสาธารณูปโภคที่รองรับอาคาร เช่น น้ำ ไฟฟ้า และอินเทอร์เน็ต ส่วน DAST เปรียบเหมือนการตรวจสอบและทดสอบความปลอดภัยเป็นประจำ เพื่อค้นหาและแก้ไขจุดอ่อนในระบบรักษาความปลอดภัยของอาคาร

การใช้ DevSecOps ตลอดวงจรชีวิตการพัฒนาซอฟต์แวร์ทำให้ความปลอดภัยเป็นส่วนหนึ่งของทุกขั้นตอน ตั้งแต่การออกแบบโค้ดที่ปลอดภัย การผสานมาตรการเข้ากับไปป์ไลน์ CI/CD การรักษาความปลอดภัยโครงสร้างพื้นฐานคลาวด์ ไปจนถึงการทดสอบความปลอดภัยแบบไดนามิกอย่างต่อเนื่อง แนวทางรอบด้านนี้ช่วยสร้างแอปที่ปลอดภัยและเชื่อถือได้มากขึ้น และลดช่องโหว่กับความเสี่ยงทั่วทั้งกระบวนการ

Jit แตกต่างจากเครื่องมือความปลอดภัยไซเบอร์อื่นอย่างไร?

Jit มีแพลตฟอร์ม DevSecOps แบบครบวงจรที่รวมเป็นหนึ่ง ทำให้การผสานและจัดการเครื่องมือ shift-left หลายตัวในด้าน AppSec, CI/CD, คลาวด์ และ DAST ง่ายขึ้น ช่วยให้การปฏิบัติงานด้านความปลอดภัยและประสบการณ์นักพัฒนาคล่องตัว และทำงานร่วมกันได้ราบรื่น

การลดความจำเป็นในการเชื่อมชุดเครื่องมือที่ซับซ้อนและการผูกติดกับผู้ขาย เปิดโอกาสให้วิศวกรความปลอดภัยของผลิตภัณฑ์และแอปพลิเคชันเลือกโซลูชันที่ดีที่สุดให้ตรงกับความต้องการ ทีมจึงสร้างมาตรการที่แข็งแกร่งได้ พร้อมรักษาประสบการณ์นักพัฒนาที่เป็นหนึ่งเดียวและสอดคล้องกับวิธีทำงานเดิม

ประสบการณ์ที่ราบรื่นและสม่ำเสมอสำหรับทั้งนักพัฒนาและทีมความปลอดภัยช่วยให้ติดตาม วิเคราะห์ และตอบสนองภัยคุกคามได้มีประสิทธิภาพตลอดวงจรชีวิตซอฟต์แวร์ Jit จึงเร่งการนำแนวทาง DevSecOps ที่ดีมาใช้ และส่งเสริมความรับผิดชอบด้านความปลอดภัยร่วมกันทั่วทั้งองค์กร

คุณมักพูดถึงการหลีกเลี่ยงการผูกติดกับเครื่องมือ เพื่อให้แพลตฟอร์ม DevSecOps พร้อมรับอนาคต การผูกติดกับเครื่องมือคืออะไร และทำไมจึงเป็นปัญหา?

ในบริบทของผู้ขายเครื่องมือ DevSecOps และ shift-left การผูกติดกับเครื่องมืออาจเป็นปัญหาได้หลายประการ:

1. ชุดผลิตภัณฑ์คุณภาพปานกลาง: ผู้ขายจำนวนมากเริ่มประสบความสำเร็จด้วยผลิตภัณฑ์ที่โดดเด่นหนึ่งตัว แต่เมื่อขยายข้อเสนอ ซึ่งมักทำผ่านการซื้อกิจการ ก็อาจลงเอยด้วยชุดผลิตภัณฑ์คุณภาพปานกลางที่เชื่อมกันได้ไม่ดีหรือไม่ได้เป็นคำตอบที่ดีที่สุดสำหรับความปลอดภัยทุกด้าน
2. กลยุทธ์การขายและการตลาด: ผู้ขายที่มีผลิตภัณฑ์หลากหลายมักใช้วิธีต่างๆ เพื่อ “บังคับ” ให้ลูกค้าซื้อทั้งชุด ทำให้ผู้ใช้ไม่มีอิสระเลือกโซลูชันที่ดีที่สุด และอาจได้ผลลัพธ์ด้านความปลอดภัยที่ด้อยกว่า
3. การปรับตัวถูกจำกัด: องค์กรปรับตัวต่อภัยคุกคามที่เปลี่ยนไปหรือใช้ประโยชน์จากเทคโนโลยีใหม่ได้ยากขึ้น เมื่อผูกติดกับผู้ขายรายหนึ่ง การค้นหาและใช้โซลูชันที่ดีกว่าซึ่งเพิ่งมีให้บริการก็เป็นเรื่องยาก
4. นวัตกรรมลดลง: การพึ่งผลิตภัณฑ์จากผู้ขายรายเดียวอาจยับยั้งนวัตกรรม เพราะองค์กรมุ่งสนใจความสามารถของเครื่องมือปัจจุบันมากเกินไป แทนที่จะค้นหาทางเลือกที่อาจเหนือกว่า

การสร้างชุดเครื่องมือ DevSecOps ที่พร้อมรับอนาคตและหลีกเลี่ยงปัญหานี้ ต้องรักษาความยืดหยุ่นในการเลือกโซลูชันที่ดีที่สุดตามความต้องการ เพื่อสร้างความมั่นคงปลอดภัยที่แข็งแกร่งและมีประสิทธิภาพ พร้อมส่งเสริมนวัตกรรมและการปรับตัวต่อภัยคุกคามที่เปลี่ยนอยู่เสมอ

Jit สร้างโซลูชันแบบครบจบในที่เดียวโดยไม่เกิดปัญหานี้ได้อย่างไร?

Jit ให้ความสำคัญกับความยืดหยุ่น การผสานระบบ และการปรับตัว ดังนี้:

1. ผสานหลายเครื่องมืออย่างราบรื่น: แพลตฟอร์มออกแบบให้รวมโซลูชันที่ดีที่สุดในด้าน AppSec, CI/CD, คลาวด์ และ DAST องค์กรเลือกเครื่องมือที่เหมาะกับตนได้ ขณะที่ Jit จัดการความซับซ้อนในการเชื่อมและบริหารเครื่องมือต่างๆ ให้เป็นระบบเดียว
2. ความยืดหยุ่นและทางเลือก: องค์กรเลือกและสลับเครื่องมือได้ตามความต้องการที่เปลี่ยนไป จึงใช้โซลูชันที่มีประสิทธิภาพสูงสุดได้เสมอโดยไม่ถูกจำกัดด้วยผลิตภัณฑ์ของผู้ขายรายเดียว
3. ประสบการณ์ร่วมสำหรับนักพัฒนาและงานความปลอดภัย: อินเทอร์เฟซที่สม่ำเสมอและใช้งานง่ายช่วยจัดการและโต้ตอบกับเครื่องมือต่างๆ ทำให้ผสานแนวทางความปลอดภัยเข้ากับวงจรพัฒนาได้ง่าย และช่วยให้ทั้งสองทีมทำงานร่วมกันอย่างมีประสิทธิภาพ
4. นวัตกรรมและการปรับตัวอย่างต่อเนื่อง: การเลือกใช้โซลูชันที่ดีที่สุดช่วยสนับสนุนนวัตกรรม เมื่อมีเครื่องมือหรือเทคโนโลยีใหม่ แพลตฟอร์ม Jit ก็รองรับได้ง่าย ทำให้องค์กรเข้าถึงโซลูชันที่ทันสมัยอยู่เสมอ

แพลตฟอร์มที่รวมเป็นหนึ่งและยืดหยุ่นนี้เชื่อมเครื่องมือหลายตัวได้อย่างราบรื่น พร้อมรักษาประสบการณ์ที่สม่ำเสมอสำหรับนักพัฒนาและงานความปลอดภัย จึงหลีกเลี่ยงการผูกติดกับเครื่องมือ และช่วยให้องค์กรสร้างแพลตฟอร์ม DevSecOps ที่ปรับตัวและเติบโตตามความต้องการด้านความปลอดภัยได้

Jit-DevSecOps อธิบายตนเองว่าเป็นแนวทางแบบกระชับและทำซ้ำเป็นรอบ เพื่อเพิ่มความปลอดภัย “Just-In-Time” เหตุใดวิธีนี้จึงสำคัญ?

Jit-DevSecOps เน้นการผสานความปลอดภัยให้ทันเวลาและมีประสิทธิภาพ ช่วยค้นหาและแก้ช่องโหว่ตั้งแต่เนิ่นๆ ทำให้รอบการพัฒนาเร็วขึ้นและทำงานร่วมกันได้ดีขึ้น แนวทางที่อิงการเปลี่ยนแปลงหรือส่วนต่างของ Jit มุ่งจัดการปัญหาเมื่อเกิดขึ้น เพื่อให้แก้ช่องโหว่สำคัญที่สุดก่อน การให้ความสำคัญกับการแก้ไขเป็นอันดับแรกและปรับตัวตามภัยคุกคาม ช่วยให้องค์กรรักษาความปลอดภัยที่แข็งแกร่ง โดยยังคงความคล่องตัวและประสิทธิภาพในการพัฒนา

คุณมีวิสัยทัศน์ต่ออนาคตของ DevSecOps และความปลอดภัยไซเบอร์โดยรวมอย่างไร?

ผมมองว่าเราควรใช้พลังของเทคโนโลยีขั้นสูง เช่น AI, การเรียนรู้ของเครื่อง และระบบอัตโนมัติ เพื่อระบุและตอบสนองภัยคุกคามแบบเรียลไทม์ เช่น โซลูชันความปลอดภัยที่ใช้ AI ช่วยตรวจจับความผิดปกติและช่องโหว่ที่อาจเกิดขึ้น ขณะที่ระบบตอบสนองเหตุการณ์อัตโนมัติช่วยควบคุมและลดผลกระทบจากเหตุการณ์ด้านความปลอดภัย

นอกจากนี้ เราจะสำรวจเทคโนโลยีใหม่ เช่น บล็อกเชนและการเข้ารหัส เพื่อเพิ่มความปลอดภัยและความเป็นส่วนตัวของข้อมูล เทคโนโลยีเหล่านี้ช่วยรักษาความถูกต้องครบถ้วนและความลับของข้อมูล และป้องกันการเข้าถึงหรือดัดแปลงโดยไม่ได้รับอนุญาต

โดยรวมแล้ว วิสัยทัศน์ของผมให้ความสำคัญกับความร่วมมือ นวัตกรรม และมาตรการเชิงรุก เพื่อก้าวนำภัยคุกคามใหม่ และแน่นอนว่าเราจะจำกฎทองของความปลอดภัยไซเบอร์เสมอ: คอมพิวเตอร์ที่ปลอดภัยเพียงเครื่องเดียวคือเครื่องที่ถอดปลั๊ก ฝังไว้ในคอนกรีต และไม่เคยเปิดใช้งาน

ขอบคุณสำหรับบทสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านที่ต้องการทราบข้อมูลเพิ่มเติมสามารถเยี่ยมชม Jit