Secureframe Kurucusu ve CEO’su Shrav Mehta ile Röportaj Serisi

Shrav Mehta, Secureframe’in kurucusu ve CEO’su, siber güvenliği ve düzenleyici uyumluluğu otomasyon yoluyla basitleştirmeye odaklanan bir girişimci ve teknoloji lideridir. 2020 yılında Pilot, Scale AI, Lob ve Hired gibi hızlı büyüyen start-up’larda mühendislik ve büyüme rollerinde deneyim kazandıktan sonra Secureframe’i kurdu. Kariyerinin başlarında, milyonlarca kullanıcıya ulaşan başarılı Android uygulamaları ve oyunları geliştirdi ve ölçeklendirdi. Liderliği altında Secureframe, organizasyonların karmaşık sertifika süreçlerini basitleştirmelerine yardımcı olan önde gelen güvenlik uyum otomasyon platformlarından biri haline geldi ve Kleiner Perkins, Accomplice, Gradient Ventures, Base10 Partners ve diğer önde gelen risk sermayesi şirketlerinden destek aldı.

Secureframe, organizasyonların endüstri lideri güvenlik ve gizlilik sertifikalarını önemli ölçüde daha az manuel çaba ile elde etmelerini ve sürekli olarak korumalarını sağlayan bir siber güvenlik ve uyum otomasyon platformudur. Platform, evidence toplama, sürekli izleme, güvenlik farkındalık eğitimi, tedarikçi risk yönetimi ve denetçi hazırlığı gibi yüzlerce bulut sağlayıcıları, kimlik platformları, geliştirme araçları ve iş uygulamaları entegrasyonu aracılığıyla otomatikleştirir. SOC 2, ISO 27001, HIPAA, PCI DSS, NIST, CMMC, FedRAMP ve GDPR gibi çerçeveleri destekleyen Secureframe, şirketlerin güvenlik duruşlarını güçlendirirken, uyumluluğu daha hızlı, daha ölçeklenebilir ve tüm yıl boyunca daha kolay bakım yapmasına yardımcı olur.

Secureframe’i kurmadan önce, Pilot, Scale AI, Lob ve Hired gibi şirketlerde mühendislik, pazarlama ve büyüme rollerinde çalıştınız ve hatta milyonlarca kullanıcıya ulaşan Android uygulamaları geliştirdiniz. Güvenlik uyumunun bu kadar bozulduğunu gören hangi deneyimler, size bir şirket kurma kararı aldırarak bunu çözmeye ikna etti?

Her şey aslında kendi frustrasyonumla başladı. Kariyerim boyunca, çok yetenekli mühendislik ekiplerinin, büyük bir entreprise müşterisi onlara bir güvenlik soru kağıdı veya SOC 2 raporu istediğinde durakladığını gördüm. Siber güvenlik uyumu, iş büyümesini engelleyen bir faktör haline geldi.

İnsanlara ağımdaki是否 bu tür araçları kullanmak isteyip istemediklerini sordum. Birçoğu evet dedi, ancak ciddiyetlerini anlamak için bir ay sonra bana geri arayan bir kişi olana kadar emin değildim. O hafta işimi bıraktım ve resmi olarak Secureframe’i kurdum. MVP’miz olduğunda, 40’dan fazla şirket bekleme listemizdeydi.

Şimdi, binlerce şirkete bu kritik işi navigasyon, bakım ve ölçeklendirme konusunda yardımcı oluyoruz. Müşterilerimiz için sürtünmeyi kaldırarak, tarihsel bir tıkanıklığı rekabetçi bir hızlandırıcıya dönüştürmek, çok ödüllendirici.

Son siber güvenlik zirveniz, güvenlik uzmanlarının altıda birinin kritik tehdit istihbarat açıklarına sahip olduğuna karar verdi. Neden bu kadar çok organizasyon, siber güvenliği harcamalarına rağmen gerçek risk maruziyetlerini anlamakta hala mücadele ediyor?

Bir şeyi sürekli olarak görüyoruz: çoğu güvenlik ekibinin veri eksikliği yok, bağlam eksikliği var. Birçok araçtan uyarı alıyorlar, ancak temel soruları cevaplayamıyorlar: hassas verilerin nerede yaşadığını, kimin erişimi olduğunu ve spesifik risklerinin neler olduğunu. Aslında, anketimize göre, %60 standart hükümet beslemelerini tüketiyor, ancak yalnızca %29 endüstriye özgü ISAC paylaşımına katılıyor. Hükümet uyarıları değerli, ancak bir uyarı e-postanızda geldiğinde, tehdit genellikle zaten evrimleşmiştir.

Daha derin bir sorun, ağların, envanterden daha hızlı genişlemesidir. Hassas verilerin nerede yaşadığını ve kimin dokunabileceğini net ve güncel bir resminiz yoksa, başka bir güvenlik aracı eklemek sizi kurtarmaz.

Güvenlik uzmanları, siber güvenliğin “simetrik AI savaşı”na dönüşeceği bir gelecekten bahsettiler, burada hem saldırganlar hem de savunmacılar giderek daha otonom sistemler kullanacaklar. Bu,企業 güvenlik ekiplerinin nasıl çalışması gerektiğini temel olarak değiştirir mi?

AI, çoğu operasyonu insan müdahalesi olmadan çalıştırabildiğinde, bir insan analisti 2 AM’de gönderilen bir uyarı için 9 AM’da bir bilet açtığında, already savaş kaybedilmiştir.

Güvenlik uzmanının rolü, aktif bir yanıtçıdan, politika oluşturan, savunma sistemlerinin bütünlüğünü doğrulayan ve kör noktaları ortadan kaldıran bir orkestratöre dönüşür; düşük seviyeli uyarıların sonsuz kuyruğunu triaj etmek yerine.

Zirvemizin sırasında, eski NSA Siber Güvenlik Direktörü Rob Joyce şöyle dedi: “AI tehdit modeline geri dönmek yok. Savunma hakkında aldığınız kararlar, yeni normal hakkında aldığınız kararlar. Mümkün bir geleceğe hazırlanmıyoruz.”

Eğer AI, saldırı süresini saatlerden saniyelere indirirse, bugün geleneksel güvenlik ve uyum modellerinin organizasyonları bu tür saldırılara karşı savunmasız bırakan en büyük zayıflıkları nelerdir?

En büyük zayıflık, nokta-zamanlı, statik veya manuel doğrulamadır. Geleneksel uyum, belirli bir tarihte bir kontrolün çalıştığını kanıtlamak için belge derlemeye dayanır. Bu model, sürekli olarak üretilen, yinelenen ve dağıtılan yazılımla çöker. Geçen çeyrekte alınan bir anlık görüntü, bugün güvenlik duruşunuz hakkında size çok şey söylemeyebilir. Bu nedenle, FedRAMP gibi çerçeveler, otomatik ve sürekli doğrulamaya doğru ilerlemektedir.

İkinci büyük zayıflık, birçok kurumsal ağın hala düz olmasıdır. Hassas operasyonel sistemler, günlük kurumsal araçlarla aynı ağda olduğunda, tek bir tehlikeye açık hesap, çok daha büyük bir sorun haline gelebilir.

Çok sayıda organizasyon hala uyumu, periyodik bir denetim egzersizi olarak ele alıyor. Bu zihniyet, tehditlerin sürekli olarak evrimleştiği bir dönemde neden tehlikeli hale geliyor?

Çünkü saldırganlar, sizin denetim takviminize göre saldırmazlar. Saldırganlar, sistemlerinizin bir değerlendirme sırasında nasıl göründüğü ile üç ay sonra nasıl yapılandırıldığı arasındaki boşluğu kullanırlar. Yapılandırmalar değişir, çalışanlar gelir ve gider, yeni yazılım entegre edilir; tüm bunlar, bir yıllık incelemeyle asla yakalanmayacak bir maruziyet yaratır.

Uyumluluk çerçeveleri gibi SOC 2 veya CMMC, operasyonel bir zemin tanımlamak içindir, bitiş çizgisi değil. Onları periyodik bir proje olarak ele almak, şirketlerin yeniden değerlendirmelerde veya değerlendirmeler arasında güvenlik olaylarında sorunlarla karşılaşmasına neden olur.

Uygulamada, AI tarafından sürülen sürekli koruma modeli neye benzer ve bu, günümüzde çoğu entreprise’nin güvendiği güvenlik operasyon merkezlerinden nasıl farklıdır?

Şimdi, güvenlik ekipleri, uyarıların selini manuel olarak triaj etmek, olayları teker teker araştırmak ve denetimler için kanıtları toplamakla geçiriyorlar.

AI tarafından sürülen bir model bunu tersine çevirir. Analistlerin uyarılara cevap vermek yerine, otomatik sistemler, veri, kimlikler ve altyapı boyunca davranışsal kalıpları sürekli olarak izler. Bir şey bir kurulmuş baz çizgisinden saparsa, otomatik iş akışları hemen boşluğu kapatır, insan müdahalesi beklemeksizin.

AI, ayrıca, risk değerlendirmeleri, kontrol kanıtları ve uyum kayıtlarını, canlı ortamın durumuna göre oluşturup koruyarak, belgeleme yükünü tamamen üstlenebilir. Güvenlik ekibi, bu sistemleri yapmaktan, onları denetlemeye geçer.

Ülke düzeyinde siber tehditler daha da sofistike hale geliyor ve daha iyi finanse ediliyor. Bu tür saldırılara karşı dayanıklı kalmak için, şirketlerin gelecek üç yıl içinde hangi yetenekleri geliştirmesi gerekiyor?

Doğru veri kapsamı, otomatik tedarik zinciri doğrulaması ve davranış tabanlı güvenlik mimarileri.

Ülke düzeyinde aktörler, stolen kimlik bilgilerini ve meşru sistem araçlarını kullanarak ağlar boyunca hareket etmekte ve geleneksel uyarıları tetiklememektedir. Bu tür faaliyetleri yakalamak için, bilinen malware imzalarını taramak yerine, davranış kalıplarını izlemek gerekir.

Tedarik zinciri tarafında, anket verilerimize göre, %58 güvenlik uzmanının en büyük çözülmemiş boşluğu, üçüncü taraf tedarikçi riski olarak gösteriyor. Manuel olarak tedarikçi elektronik tablolarını yılda bir kez gözden geçirirken, sofistike aktörler sizin tedarikçilerinizi hedef alıyor. Bu, gerçek bir savunma değildir.

Son olarak, hassas ortamları, kurumsal ağınızın geri kalanından izole etmek, maruziyetinizi dramatik olarak azaltır. Uyumluluk maliyetlerini en etkili şekilde kontrol eden organizasyonlar, hassas verilerin ne kadar yayılabileceğini sınırlayarak bunu başardılar.

AI daha da yetenekli hale geldikçe, siber güvenlik beceri açığının genişleyeceğini mi yoksa daralacağını mı düşünüyorsunuz? Hangi güvenlik rolleri daha önemli hale gelecek ve hangileri daha çok otomatik hale gelecek?

Siber güvenlik beceri açığının karmaşıklıkta genişleyeceğini, ancak hacimde daralacağını düşünüyorum. AI, junior analistlerin histórik olarak tükettiği rutin ve tekrarlayan işleri, günlükleri gözden geçirme, temel belgeleri oluşturma ve basit yamaları ele alma gibi işleri ele alacaktır. Bu, kapasiteyi serbest bırakır, ancak aynı zamanda yetenekli uygulayıcıların bilmeleri gerekenleri yükseltir.

Gelecekte önemli olacak roller, mimari ve yönetim odaklı olanlar olacaktır: dayanıklı sistemler tasarlayabilen, AI boru hatlarının güvenliğini değerlendirebilen ve hızlı değişen bir düzenleyici ortamını yorumlayabilen profesyoneller.

Secureframe, uyumluluk otomasyonundan daha geniş güvenlik izleme ve AI tarafından sürülen düzeltmeğe genişledi. Yönetim, risk yönetimi, uyumluluk ve aktif siber savunma arasındaki çizginin nerede bulanıklaşmaya başladığını görüyorsunuz?

Bu fonksiyonlar her zaman yapay olarak ayrılmıştı. Uygulamada, hepsi aynı sorunun ifadeleri: sistemlerinizin yaptığını söylediğiniz şeyi gerçekten yaptığını kanıtlamak.

Otomatik bir sistem, güvenlik açığını gerçek zamanlı olarak kapatırken, aynı zamanda risk durumunuzu günceller, yönetim olayını kaydeder ve uyum kanıtları oluşturur. Gördüğümüz değişim, nokta-zamanlı uyumluluktan sürekli güvenceye doğru bir değişim ve AI, bu güveni giderek daha fazla doğrulayan bir araç.

Önümüzdeki yıllarda, AI sistemlerinin, minimal insan müdahalesiyle kritik altyapıyı savunmakla sorumlu olacağı bir noktaya yaklaşıyor muyuz, yoksa insan yargısı, büyük ölçekli siber saldırılar karşısında nihai bir güvenlik olarak kalacak mı?

Her zaman ikisine de ihtiyaç duyulacaktır ve liderlik kültürü, her iki unsurun nasıl çalıştığını belirleyecektir.

Eski CISA CIO’su Bob Costello şöyle dedi zirvemizin sırasında: SolarWinds federal konuyu değiştirdi: uyumu, bir checkbox egzersizi olarak ele almaktan, gerçekten bir ortamın gerçek zamanlı risk durumunu anlamaya doğru.

Dayanıklı organizasyonları, savunmasız olanlardan ayıran zihniyet değişimidir. Ön plana çıkan şirketler, kimsenin sormadan önce hassas verilerin nerede yaşadığını bilir, manuel kanıt toplama işini otomatik sistemlerle değiştirir ve güvenlik davranışlarını, yıllık eğitim için değil, günlük işte yerleştirmiş bir kültürü oluşturur. Düzenlenen veya yüksek riskli ortamlarda faaliyet gösteren şirketler için,渐sel modernizasyon penceresi kapanıyor.

Harika röportaj için teşekkür ederiz, daha fazla bilgi edinmek isteyen okuyucular Secureframe‘i ziyaret edebilir.