Набіл Ханнан, Філд CISO в NetSPI – Інтерв’ю Серія

Набіл Ханнан є Філд CISO (Головний офіцер інформаційної безпеки) в NetSPI. Він очолює консультативну практику компанії, зосереджуючись на допомозі клієнтам у вирішенні їхніх проблем з оцінкою кібербезпеки та управлінням загрозами та уразливостями. Його досвід пов’язаний з будівництвом та покращенням ефективних ініціатив з безпеки програмного забезпечення, з глибоким знанням у сфері фінансових послуг.

NetSPI є проактивним рішенням з безпеки, розробленим для виявлення, пріоритезації та ліквідації найбільш критичних уразливостей безпеки. Воно допомагає організаціям захистити те, що найважливіше для їхнього бізнесу, забезпечуючи проактивний підхід до кібербезпеки з більшою ясністю, швидкістю та масштабністю, ніж будь-коли раніше.

Чи можете ви поділитися трохи про свій шлях у кібербезпеці та те, що привело вас до NetSPI?

Я програмую з семи років. Технології завжди мене цікавили, тому що я хотів знати, як все працює, що призвело до того, що я розбирав багато речей і вивчав, як їх зібрати знову в молодому віці.

Під час вивчення комп’ютерних наук у коледжі я почав свою кар’єру в Blackberry, де працював менеджером продукту для платформи Blackberry Messenger і став цікавитися проектуванням апаратного забезпечення. Звідти мене запросили до маленької компанії в галузі безпеки застосунків – я був так пристрасний щодо цього, що був готовий переїхати до нової країни, щоб отримати роботу.

Когда я розглядаю свій шлях у кібербезпеці, він почався знизу. Я починав як асоціативний консультант, виконуючи тестування на проникнення, аналіз коду, моделювання загроз, тестування апаратного забезпечення та все інше, що мої боси мені доручали. Згодом я працював над будівництвом послуги з тестування на проникнення для Cigital, яка пізніше була придбана Synopsys. Все це привело мене до NetSPI, щоб допомогти підтримувати її траєкторію зростання в сфері проактивної безпеки.

Як ваш досвід у фінансовій сфері сформував ваш підхід до кібербезпеки?

Під час роботи в Synopsys я допомагав будувати стратегію продажу послуг і продуктів з безпеки фінансовій сфері. Отже, хоча я не працював безпосередньо у фінансовій сфері, я був відповідальним за будівництво стратегій для цього сектора, що вимагало глибокого занурення в цей вертикаль, щоб зрозуміти його рухові сили та болі.

Виховуючись у сфері технологій, я провів багато часу, працюючи з великими фінансовими організаціями по всьому світу. Маючий такий досвід, я зосередив свій час і навички на розробці стратегії для націлення та будівництва послуг, орієнтованих на фінансову сферу в цілому.

Найбільше, чого я навчився з досвіду у фінансовій сфері, полягає в тому, що хакери йдуть туди, де є гроші. Хакери не роблять цього просто для задоволення; це їхній джерело доходу. Вони йдуть туди, де є найбільший фінансовий вплив – чи то фактично викрадення грошей у якійсь формі, чи то завдавання фінансової шкоди організації. Такий спосіб мислення допоміг сформувати моє розуміння кібербезпеки та привів мене до успіху на моїй поточній посаді Філд CISO.

Які найбільші кібербезпеки організації стикаються сьогодні?

Найбільшим викликом сьогодні є швидкість, з якою кожна організація повинна діяти, щоб протистояти еволюціонуючим загрозам та збігатися з темпом появи нових технологій, таких як штучний інтелект. Історично існувала водоспадна методологія будівництва програмного забезпечення, яка не була особливо швидкою у порівнянні з тим, як швидко програмне забезпечення розгортається сьогодні. Тепер у нас є більш гнучка методологія, за якої організації намагаються будувати програмне забезпечення та випускати його у виробництво якомога швидше та робити більш дрібні реалізації.

Останні десять років показали швидкі зміни та прискорення в екосистемі безпеки. Це викликає багато проблем для великих організацій, таких як тіньова ІТ, що робить ще складніше отримувати уявлення про їхню атакувальну поверхню та активи. Ви не можете захистити те, чого не бачите.

Прийняття хмари додає до цього вогню – чим більше людей адаптуються, приймають і мігрують до хмари, тим більш еластичними стають програмні системи та активи. Спроможність масштабувати програмне забезпечення та апаратне забезпечення у вертикальному та горизонтальному напрямках робить зміни ще більш складними для управління. Коли системи будуються з еластичним потенціалом, ви створюєте проблеми, де активи змінюють власність частіше та створюють можливості для злих акторів знайти шляхи до організації.

Як ви думаєте, що кібербезпека зміниться протягом наступних п’яти років?

Потрібність більшої видимості як зовнішніх, так і внутрішніх активів буде продовжувати бути важливою протягом наступних п’яти років і змінить, як клієнти працюють з постачальниками. Це вже область, на яку ми сильно зосереджені в NetSPI. У червні ми придбали рішення з управління кіберактивами атаки поверхні (CAASM) та управління кібербезпекою під назвою Hubble Technology. Додавання CAASM до наших встановлених можливостей зовнішнього управління атакувальною поверхнею (EASM) дозволяє нашим клієнтам безперервно визначати нові активи та ризики, ліквідовувати сліпі місця безпеки та отримувати цілісний погляд на свою позу безпеки, забезпечуючи точний інвентаризацію кіберактивів, як зовнішніх, так і внутрішніх – щось, чого бракувало в галузі до цього моменту.

Об’єднання наших можливостей EASM та CAASM у платформу NetSPI дозволяє нам надавати клієнтам інструменти, необхідні для вирішення постійних проблем з видимістю. Це також підвищує здатність точно пріоритезувати ризики, пов’язані з активами та уразливостями. Крім того, це допомагає лідерам з безпеки оцінити вплив їхніх найважливіших активів щодо цих ризиків.

Як підхід NetSPI до управління уразливостями відрізняється від інших компаній у галузі?

Недавно ми представили нову єдину проактивну платформу безпеки, яка поєднує наші послуги з тестування на проникнення як послугу (PTaaS), зовнішнє управління атакувальною поверхнею (EASM), управління кіберактивами атаки поверхні (CAASM) та імітування нападу та розслідування (BAS) технологій разом у одному рішенні. З платформою NetSPI клієнти можуть прийняти проактивний підхід до кібербезпеки з більшою ясністю, швидкістю та масштабністю, ніж будь-коли раніше. Цей новий проактивний підхід віддзеркалює тенденції, які ми бачимо в галузі, та зміщення від окремих рішень до швидкої адоптації більш цілісних, закінчених платформних послуг.

Як штучний інтелект використовується для посилення заходів кібербезпеки в NetSPI?

Як і кожен лідер з кібербезпеки вам скаже, штучний інтелект має потенціал каталізувати бізнес-успіх, але він також має потенціал годувати ворожі атаки. У NetSPI ми намагаємося допомогти нашим клієнтам залишатися попереду кривої, реалізуючи моделі тестування на проникнення з використанням штучного інтелекту/машинного навчання, які забезпечують, що безпека розглядається з ідеї до реалізації, ідентифікуючи, аналізуючи та пом’якшуючи ризики, пов’язані з ворожими атаками на системи машинного навчання, з акцентом на великих мовних моделях. У сфері кібербезпеки можливості штучного інтелекту покращили та вдосконалили нашу здатність моніторити та ліквідовувати загрози в реальному часі.

Які потенційні ризики пов’язані зі штучним інтелектом у кібербезпеці, і як їх можна пом’якшити?

На основі розмов, які я веду з іншими лідерами з кібербезпеки, найбільшим ризиком штучного інтелекту є відсутність у організацій базової гігієни даних та кібербезпеки. Як ми знаємо, рішення штучного інтелекту є лише так ефективними, як дані, на яких навчені моделі. Якщо організації не мають твердого розуміння інвентаризації даних та їх класифікації, тоді існує ризик, що їхні моделі будуть страждати та бути схильними до пробілів у безпеці.

Когда люди бачать слово “інтелект” у штучному інтелекті, вони помиляються, вважаючи його “вроджено інтелектуальним” або навіть володіючи певним типом самосвідомості. Але це не так. Практикам з безпеки все ще потрібно програмувати моделі штучного інтелекту, щоб вони розуміли, які активи є особистими, приватними, публічними тощо. Без цих механізмів штучний інтелект може впасти у хаос. Це, на мою думку, найбільша проблема серед CISO зараз.

Чи можете ви розповісти більше про те, як послуги NetSPI з тестування на проникнення як послугу (PTaaS) допомагають організаціям підтримувати міцну безпеку?

Тестування на проникнення є критично важливим для загальної пози організації з кібербезпеки, оскільки воно надає командам більший контекст щодо уразливостей, специфічних для їхнього бізнесу.

Тестування на проникнення також є чудовим тестом на ефективність інших засобів безпеки, таких як аналіз коду, моделювання загроз, статичний аналіз безпеки застосунків (SAST), динамічний аналіз безпеки застосунків (DAST), інтерактивний аналіз безпеки застосунків (IAST) та інші, які ви могли реалізувати раніше.

Регулярне тестування на проникнення сприяє реальному співробітництву з експертами з безпеки, яке може додати інший погляд, що додає більше глибини до даних. У кінці успішного тесту на проникнення організації матимуть краще розуміння тих частин їхньої ІТ-середовища, які більш сприйнятливі до порушення безпеки. Коли тест на проникнення виявляє уразливості, вони часто підкреслюють пробіли у контролях на ранніх етапах життєвого циклу або відсутність контролю зовсім. Вони також зрозуміють, як досягти відповідності, де зосередитися на зусиллях щодо ліквідації та як команди ІТ та безпеки можуть працювати разом, щоб залишатися на вершині потенційних бізнес-наслідків.

Прпрацюючи з постачальниками, які спеціалізуються на PTaaS, щоб доповнити міцну позу безпеки, організації можуть бути краще підготовлені до проактивного запобігання інцидентам з безпеки.

Як ви інтегруєте технології та людський досвід, щоб надавати комплексні рішення з безпеки?

NetSPI вважає, що вам потрібно і технології, і люди, щоб надати звичайну стратегію, щоб залишатися попереду відомих і невідомих загроз. Люди повинні бути у петлі, щоб валідувати, пріоритезувати та контекстуалізувати виходи, які генерують інструменти. Ми не займаємося тим, щоб давати людям хибні позитиви або генерувати шум, що веде до того, що вони витрачають більше часу на розуміння того, що справді має значення. Інакше кажучи, ви можете мати чудову технологію, але вам потрібно хтось, хто буде використовувати її та переривати її, щоб бути успішним.

Є багато монотонних завдань, які штучний інтелект може виконувати швидше та точніше, ніж люди. Якщо технології можна побудувати у довірчому порядку, то це дозволить нам автоматизувати певні завдання та звільнити час для команд з безпеки, щоб звернути свою увагу на більш творче мислення та критичне рішення, яке штучний інтелект просто не може замінити.

Яка стратегічна порада ви зазвичай надаєте клієнтам, щоб зміцнити їхню позу з кібербезпеки?

Поширена пастка, у яку люди потрапляють, полягає в тому, що вони інвестують у речі, які вони розуміють. Наприклад, компанія може привести лідера з досвідом у сфері безпеки хмари. Природно, вони потім зосереджуються на будівництві команди з безпеки хмари, замість того, щоб, скажімо, відповідності, мережевої безпеки, безпеки застосунків тощо, де організація могла б фактично потребувати підтримки.

Краще мати більш універсальну програму, яка зосереджується на всьому цілісно. Потім ви починаєте будувати захист у глибину та маєте контролі, які пом’якшують інші провали, яких ви можете мати в різних частинах організації. Будівництво універсальної програми є кращим, ніж інвестування більше часу, зусиль та інструментів у певний сектор.

Дякую за велике інтерв’ю, читачам, які бажають дізнатися більше, повинні відвідати NetSPI.