ไซด์ อัล ฮามานี, ซีอีโอและผู้ก่อตั้ง Boost Security – ซีรีส์สัมภาษณ์

ไซด์ อัล ฮามานี, ซีอีโอและผู้ก่อตั้ง Boost Security, เป็นผู้นำด้านความปลอดภัยไซเบอร์และ DevSecOps ที่มีประสบการณ์มากกว่าสองทศวรรษในการสร้างและขยายการดำเนินงานเทคโนโลยีทั่วโลก ตั้งแต่ก่อตั้ง Boost Security ในปี 2020 เขาได้เน้นไปที่การปรับปรุงวิธีการที่องค์กรต่างๆ ปกป้องการพัฒนาซอฟต์แวร์ โดยอาศัยบทบาทก่อนหน้านี้ รวมถึงVP ของ Application Security ที่ Trend Micro และ Co-Founder/CEO ของ IMMUNIO ก่อนหน้านี้เขาดำรงตำแหน่งผู้นำระดับสูง tại Canonical โดยนำโครงการผลิตภัณฑ์ วิศวกรรม และการสนับสนุนระดับโลก และที่ SITA โดยจัดการการดำเนินงาน IT ระดับภารกิจที่สำคัญ อาชีพของเขาสะท้อนถึงประวัติที่แข็งแกร่งในการสร้างทีม การเพิ่มประสิทธิภาพระบบ และการส่งเสริมการปฏิบัติด้านความปลอดภัยสมัยใหม่

Boost Security เป็นบริษัทด้านความปลอดภัยไซเบอร์ที่มุ่งเน้นไปที่การปกป้องโซ่อุปทานซอฟต์แวร์สมัยใหม่ผ่านแพลตฟอร์ม DevSecOps สำหรับนักพัฒนา เทคโนโลยีของบริษัทรวมเข้ากับ CI/CD pipelines โดยตรงเพื่อตรวจจับ จัดลำดับความสำคัญ และแก้ไขช่องโหว่ด้วยตนเอง ลดภาระการทำงานด้วยมือในขณะที่รักษาความเร็วในการพัฒนา ด้วยการรวมความปลอดภัยของแอปพลิเคชันและโซ่อุปทานเข้าด้วยกันในระบบเดียว แพลตฟอร์มนี้ให้ความเข้าใจที่ครอบคลุมเกี่ยวกับโค้ด ความพึ่งพา และโครงสร้างพื้นฐาน ช่วยให้องค์กรต่างๆ เพิ่มความยืดหยุ่นใน môi trườngที่ซับซ้อนและเป็นแบบคลาวด์

คุณเคยเป็นผู้นำด้านความปลอดภัยของแอปพลิเคชันที่ Trend Micro และร่วมก่อตั้ง IMMUNIO สิ่งใดนำคุณไปสู่การก่อตั้ง Boost Security และช่องว่างในตลาดที่คุณมีตำแหน่งที่จะระบุได้เร็ว?

IMMUN.IO เป็นหนึ่งในบริษัท RASP แรกที่ก่อตั้งขึ้น – และประสบการณ์ของเราจนถึงจุดนั้นคือ WAF ในฐานะเทคโนโลยีความปลอดภัย runtime นั้นยากต่อการบำรุงรักษาและไม่ได้ผลมากนัก เราได้เห็นภาพวิธีที่ WAF จะถูกแทนที่ด้วยวิธีแก้ปัญหาที่แม่นยำยิ่งขึ้นและง่ายต่อการบำรุงรักษา – โดยการตรวจสอบภายในแอปพลิเคชัน

นั่นคือในปี 2012 DevOps ยังคงอยู่ในช่วงแรกสุด ส่วนใหญ่ทีมไม่ได้ใช้ Agile และ Kubernetes ยังไม่มีอยู่

Trend Micro เข้าซื้อ IMMUN.IO ในปี 2017 ในเวลานั้น มีการปฏิบัติ DevOps มากขึ้น: CI/CD pipelines, การพัฒนาที่มีประสิทธิภาพ, การปล่อยตัวที่เร็วขึ้น, คลาวด์ ฯลฯ ทีมพัฒนาซอฟต์แวร์สามารถสร้างซอฟต์แวร์ได้ดีขึ้นและจัดส่งได้เร็วขึ้น แต่ความปลอดภัยยังคงไม่ดี:

• การสแกนช้าเกินไป หรือผลลัพธ์มาถึงสายเกินไป
• ผลลัพธ์ยุ่งยากเกินกว่าผู้พัฒนาจะดำเนินการ
• มีอัตราผลบวกลวงที่ไม่สามารถยอมรับได้
• ไม่มีการสแกนข้อกำหนดใหม่ ๆ เช่น โค้ดโครงสร้างพื้นฐาน, คอนเทนเนอร์, API เป็นต้น

การผลิตซอฟต์แวร์เร็วขึ้นเป็นเรื่องที่ทำได้ง่ายขึ้น แต่การผลิตซอฟต์แวร์ที่ปลอดภัยเร็วยังคงเป็นเรื่องที่ยาก

นั่นคือปัญหาที่เราตั้งเป้าแก้ไขตั้งแต่แรก เราต้องการทำให้ DevSecOps ทำงานในโลกแห่งความเป็นจริง; คุณสามารถทำให้ทีมพัฒนาซอฟต์แวร์สามารถเพิ่มความปลอดภัยเข้าไปใน SDLC ได้ง่ายๆ โดยมีความเร็วที่ตรงกับมาตรฐานความเร็วใหม่ๆ หรือไม่? คุณสามารถทำให้การครอบคลุมกว้างขวาง – โดยที่แพลตฟอร์มเดียวคือทุกสิ่งที่คุณต้องการ? คุณสามารถทำให้พัฒนาด้วยความเร็วที่ไม่ต้องการทีมความปลอดภัยขนาดใหญ่เพื่อรักษาความปลอดภัย…

เราช่วยให้บริษัทต่างๆ ใส่ความปลอดภัยลงใน SDLC ในยุค DevOps นั่นคือการเปลี่ยนแปลงจาก 1 ถึง 10 ตอนนี้เราอยู่ในยุคการเขียนโค้ดโดยใช้เอเย่นต์ – โดยที่เอเย่นต์เขียนโค้ดจำนวนมาก – แต่ปัญหาก็ยังคงเป็นปัญหาเดิม – ความเร็วและปริมาณโค้ดเพิ่มขึ้นจาก 10 ถึง 100; และเราตั้งเป้าที่จะดำเนินการต่อในแนวทางเดียวกัน

คุณได้กล่าวถึงการเปลี่ยนแปลงของชีวิตการทำงาน (SDLC) ที่เปลี่ยนแปลงไปอย่างมีนัยสำคัญ อะไรคือสิ่งที่ทำให้คุณรู้ว่าแนวทาง DevSecOps แบบดั้งเดิมไม่เพียงพออีกต่อไป?

มันคือการดูว่าผู้โจมตีเข้ามาได้อย่างไร เราเห็นรูปแบบเดียวกันซ้ำๆ: การทำงานของ GitHub Actions ที่ไม่มีการตรวจสอบตั้งแต่ fork โรคล่าสุด, โทเค็นที่มีการเข้าถึงคลาวด์ผลิตที่ฝังอยู่ใน config ของรันเนอร์, งาน CI ที่ถูกขโมยมาเพื่อใช้ในการติดตั้งพ