Sam King, Veracode CEO’su – Röportaj Serisi

Sam King, Veracode‘un İcra Kurulu Başkanıdır ve iş yönetiminde ve siber güvenlik alanında tanınmış bir uzmandır. Veracode’un kurucu üyelerinden biri olan Sam, şirketin 17 yıllık büyüme sürecinde önemli bir rol oynadı ve küçük bir startup’tan 2,5 milyar doların üzerinde bir değerlemeye sahip bir şirkete dönüşmesine yardımcı oldu.

Veracode, bir uygulama güvenliği şirketi. 2006 yılında kuruldu ve geliştirme süreçlerine entegre edilmiş uygulama analizi sunan bir SaaS uygulama güvenliği sağlar.

Siber güvenlik alanında 20 yılı aşkın bir süredir çalışıyorsunuz, bu sektöre ilk olarak neler sizi çekti?

Siber güvenlik alanındaki ilgim, teknoloji kariyerimin birkaç yılı sonra başladı. Bilgisayarlar ve teknoloji ile uzun süre çalıştım ve 2000 yılında bir tanıdığım bir siber güvenlik şirketi kurdu ve bana katılmamı teklif etti. Önceden siber güvenlik hakkında çok az şey biliyordum, ancak bir kez dahil olduktan sonra, gerisi tarih oldu.

Veracode’da ilk olarak 2006 yılında Hizmet Teslimi Başkan Yardımcısı olarak başladınız ve şimdi CEO’sunuz. Bu deneyimden elde ettiğiniz bazı önemli çıkarımlar nelerdir?

Bu yolculuğa çıkmış olmaktan gurur duyuyorum. Veracode’da 17 yıl boyunca neredeyse her fonksiyonda çalıştım ve benim için en önemli çıkarım, başarılı bir iş kurmanın -her şeyden önce- bir takım sporu olduğudur. Hizmet Teslimi Başkan Yardımcılığı’ndan CEO’luk makamına yükseldikçe, bir kişinin değil, tüm organizasyonun birleşen dokusu ve kolektif çabalarının, başarıların hızını ve ölçeklerini belirlediğini öğrendim. Ayrıca, gelir elde etmeye başlamadığımız günlerden küresel bir organizasyon haline gelmemize kadar bu rollerin çoğunu bizzat üstlendiğim için farklı rollerin taleplerine karşı empati duydum.

Veracode, yazılımların en başından güvenli biçimde geliştirildiği bir dünya hayal ediyor. Şirketlerin yazılım geliştirme yaşam döngüsüne (SDLC) erken aşamada uygulama güvenliğini entegre etmelerinin neden önemli olduğunu tartışabilir misiniz?

Yazılımlar, organizasyonların temel altyapısını oluşturur ve şirketlerin, SDLC’ye erken aşamada uygulama güvenliğini entegre etmenin doğru olduğu kadar akıllıca bir karar olduğunu anlamaları gerekir. SDLC’nin daha sonraki aşamalarında veya uygulamanın canlıya alındıktan sonra güvenlik açıklarını keşfetmek ve düzeltmek için beklemenin maliyeti çok yüksektir. NIST’e göre, üretimde güvenlik açıklarını düzeltmenin maliyeti, daha erken aşamalarda düzeltmeye kıyasla 30 kat daha yüksektir. Ayrıca, güvenlik kontrolleri geliştiricilerin pazarlara fonksiyonellik kazandırmaya çalışırken süreci yavaşlatabilir. İdeal süreç, IDE ve CI/CD pipeline’ında testleri içerir. Güvenlik testleri ve düzeltmeleri, SDLC araç takımına derinlemesine entegre edildiğinde, kod geliştirme süreci, güvenli kod geliştirme süreci haline gelir.

Veracode, şirketlerin AppSec ve DevSecOps programlarını oluşturup uygulamalarına yardımcı oluyor. Bu terimlerle yabancı okuyucular için kısaca tanımlayabilir misiniz?

AppSec, “uygulama güvenliği”nin kısaltmasıdır. Kurum içi yazılım geliştirmede, üçüncü taraf uygulamalarda, açık kaynak kodda ve genişletilmiş yazılım tedarik zincirinde kodun güvenliğini sağlayan bir program oluşturmak için kullanılabilecek araçları, politikaları ve uygulamaları ifade eder. DevSecOps, yani “güvenli DevOps”, güvenliğin gereksinimlerden mimari ve tasarıma, kodlamaya, teste, sürüm yayımlamaya ve devreye almaya kadar tüm SDLC boyunca entegre edildiği bir anlayıştır. Temelde, yazılım geliştirmeye katılan herkesin uygulama güvenliğinden sorumlu olması anlamına gelir. İkisi de daha iyi güvenlik kararları almak ve daha güvenli yazılımları daha hızlı ve verimli bir şekilde sunmak amacıyla çalışır.

Veracode SAST, Veracode SCA ve Veracode DAST gibi farklı çözümlerden kısaca bahseder misiniz?

Veracode’un Statik Analizi (SAST), güvenliği kurumun tüm SDLC sürecine yerleştirir; geliştiricilerin entegre geliştirme ortamlarında (IDE) güvenli kod yazmasını sağlar, sürekli entegrasyon ve sürekli devreye alma (CI/CD) hattında taramaları otomatikleştirir ve devreye almadan önce politikalara uyumu doğrular. Kodu tarayıp kusurları bularak risk yönetimine yardımcı olur. Ardından bulguları önceliklendirir ve geliştiricilere çalışmalarını sıralamaları, kritik kusurları düzeltmeleri ve riski azaltmaları için bağlama uygun rehberlik sağlar.

Veracode’un Yazılım Bileşen Analizi (SCA), uygulamaların bileşenlerini otomatik olarak bulur ve riskleri yönetmek için eylemler önerir. SCA, makine öğrenimi ve otomatik düzeltme yetenekleri ile üretimde minimum kesinti ile düzeltmeler sağlar.

Son olarak, Dinamik Analiz (DAST), Veracode’un akıllı yazılım güvenliği platformunun bir parçasıdır. Güvenlik ekiplerinin varlığından haberdar olmadıkları saldırı yüzeylerini keşfetmesini, çalışma zamanı ortamlarında güvenlik açıklarını bulmasını ve web uygulamaları ile API’lerin güvenlik durumu hakkında kapsamlı bir görünüm edinmesini sağlar.

18 Nisan 2023’te Veracode, Akıllı Yazılım Güvenliği ile Veracode Fix’i tanıttı. GPT (Generative Pre-trained Transformer; üretken önceden eğitilmiş dönüştürücü) teknolojisinin siber güvenlik açısından neden önemli bir atılım olduğunu açıklayabilir misiniz?

Yazılım geliştirme ve güvenlik ekipleri, sadece yerinde kalmak için koşuyorlar. Yıllarca, yazılım güvenliği, güvenlik açıklarını bulmaya odaklandı, ancak her bulduğumuz açığın düzeltilmesi için manuel bir görev gerekiyor. Geliştiricilerden çoğu zaman sahip olmadıkları zamanı ayırmaları, kendilerinin yazmadığı kodda anlamadıkları güvenlik açıklarını düzeltmeleri isteniyor. Bir kusuru düzeltirken başka yerlerde iki yeni kusur ortaya çıkabiliyor. Dönüşüm ihtiyacı açık. Veracode Fix, bulmaktan düzeltmeye geçiş sağlayarak akıllı yazılım güvenliğinin başlangıcını işaret ediyor. Yapay zekâyla güvensiz yazılımlar için otomatik olarak düzeltme önerileri üreterek kusur giderme sürecine otomasyon getiriyor ve yazılım güvenliği alanını yeniden dengeliyor. Çoğu üretken AI kodlama aracından farklı olarak Veracode Fix, açık kaynak kodla veya dış kaynaklardan edinilen kodla eğitilmiyor; modeli eğitmek için müşteri verilerini kullanmıyor veya saklamıyor.

Bunun yerine Veracode Fix’i, önde gelen güvenlik araştırmacılarımız ve uygulama güvenliği danışmanlarımızın gözetimli öğrenme ve hizalama çalışmalarıyla, bize ait ve özenle derlenmiş bir veri kümesi üzerinde eğittik. Böylece Veracode’un birikmiş deneyimini ve uzmanlığını basit ama güçlü bir deneyimle sunuyoruz: Veracode’un gücü parmaklarınızın ucunda.

Veracode Fix, AI’nin yalnızca sorunları belirlemesinden bunları düzeltmeye geçiş sağlıyor. Bunun ölçeklenebilirlik açısından faydaları nelerdir?

Şirketler, yazılım güvenlik kusurlarını gidermekle kodu canlı ortama almak için konulan sıkı teslim tarihlerine yetişmek arasında seçim yapmak zorunda kalıyordu. AI ve Veracode’un kendisine ait veri kümesiyle çalışan Veracode Fix, geliştiricilerin daha güvenli kodu hızla yazmasına yardımcı olarak zaman kazandırıyor. Giderilmesi saatler sürecek ve aksi takdirde aylarca kalacak kusurlar artık dakikalar içinde düzeltilebiliyor. Ölçeklenebilirlik avantajı açık: geliştiriciler daha fazla yazılım üretebiliyor ve böylece güvenli bir şekilde yenilik yapabiliyorlar.

Güvenlik açıklarını düzeltmeden önce insan müdahalesi gerekiyor mu ve bu tür siber güvenlikte insanlar nasıl bir role sahip?

Yazılım geliştirmedeki otomasyona rağmen, özellikle kurumun kendi geliştirdiği koddaki güvenlik kusurlarını düzeltmek, aşırı iş yükü altındaki ve yeterince desteklenmeyen geliştiricilerin manuel çabasına dayanıyordu. Şimdi bu değişiyor. Veracode Fix, geliştiricilerin kod yazmadan inceleyip uygulayabileceği düzeltme önerileri üretmek için makine öğrenimini kullanıyor. Veracode Fix’in kodu kendiliğinden düzeltmediğini, düzeltme önerdiğini vurgulamak önemli. Geliştirici bu önerileri inceliyor ve kod yazmadan uyguluyor. Bu, geliştiricilerin zamanını kazandırıyor, güvenli geliştirmeyi hızlandırıyor ve riskleri yönetmeyi ve güvenlik borcunu azaltmayı kolaylaştırıyor; böylece daha az çaba ve maliyetle geniş ölçekte çalışılabiliyor.

Veracode hakkında paylaşmak istediğiniz başka bir şey var mı?

Teknoloji sürekli olarak evrim geçiriyor ve Veracode da öyle. Ancak hedefimiz, 2006’dan beri aynı kaldı: yazılımları güvenli bir şekilde geliştirmek. Veracode, 17 yılı aşkın bir süredir AppSec’i öncü bir şirket olarak konumlandırıyor ve şimdi de akıllı yazılım güvenliğini öncü bir şirket olarak konumlandırıyor. Ürünlerimiz ve yeniliklerimiz, bu hedefe ulaşma konusundaki kararlılığımızı gösteriyor.

Veracode, eski bir beyaz şapka hackerı ve siber politika etkileyicisi olan Chris Wysopal tarafından kuruldu. 1998’de, L0pht hacker kolektifinin bir parçası olarak, devletin siber sorunlarını araştıran ABD Senatosu Komitesi önünde ifade verdi ve siber güvenlik şirketlerinin sorunlara sahip çıkması gerektiğini söyledi.

Veracode, kurulduğu günden bu yana, 2.600’den fazla müşterisi olan küresel bir şirkete dönüştü. Bu yolculuk, müşterilerimizin en büyük zorluklarını çözmelerine yardımcı olmak için verdiğimiz taahhüdün bir sonucudur: SDLC’ye güvenlik entegre etmek, geliştirici güvenlik yetkinliğini oluşturmak, yazılım tedarik zincirini korumak, web uygulaması saldırı yüzeyini yönetmek ve bulut yerel uygulama geliştirmesini güvence altına almak. Gartner’ın Uygulama Güvenliği Testleri Magic Quadrant değerlendirmesinde on kez Lider seçildik. Bu, sektörümüzün en kapsamlı değerlendirmelerinden biridir. Yıllar içinde çok sayıda başka sektör ödülü de aldık.

Özellikle gurur duyduğumuz bir alan, kültürümüzdür. Geçen yıl, Veracode, The Boston Globe tarafından 2022’nin En İyi Çalışma Yeri ve Energage tarafından 2023 Top Workplaces USA olarak seçildi. Bu ödülleri almak için onur duyduk ve bu takdiri alçakgönüllülükle karşıladık, çünkü kendimizi dahil edici bir kültür oluşturmaya ve çalışanlarımızın en iyilerini ortaya koymalarına olanak tanıyan bir ortam yaratmaya odaklandık.

Harika bir röportaj için teşekkür ederiz, okuyucular daha fazla bilgi edinmek için Veracode‘u ziyaret edebilirler.