Шрав Мехта, засновник і генеральний директор Secureframe – Серія інтерв’ю

Шрав Мехта, засновник і генеральний директор Secureframe, – підприємець і технологічний лідер, який зосереджується на спрощенні кібербезпеки та регулювання через автоматизацію. Він заснував Secureframe у 2020 році після отримання досвіду в інженерних і ролі зростання в швидко зростаючих стартапах, включаючи Pilot, Scale AI, Lob і Hired. Раніше в своїй кар’єрі він заснував і розширив портфель успішних додатків і ігор для Android, які досягли мільйонів користувачів. Під його керівництвом Secureframe став одним з провідних платформ автоматизації безпеки та відповідності вимогам, допомагаючи організаціям оптимізувати складні процеси сертифікації, а також отримав підтримку від провідних венчурних фірм, включаючи Kleiner Perkins, Accomplice, Gradient Ventures, Base10 Partners та інших.

Secureframe – це платформа автоматизації кібербезпеки та відповідності вимогам, яка дозволяє організаціям досягати та підтримувати промислові стандарти безпеки та конфіденційності з значно меншим ручним зусиллям. Платформа автоматизує збір доказів, безперервний моніторинг, навчання безпеки, управління ризиками постачальників та підготовку до аудиту через сотні інтеграцій з постачальниками хмарних послуг, платформами ідентифікації, інструментами розробки та бізнес-додатками. Підтримуючи такі стандарти, як SOC 2, ISO 27001, HIPAA, PCI DSS, NIST, CMMC, FedRAMP та GDPR, Secureframe допомагає компаніям посилити свою позицію у сфері безпеки, прискорюючи продажі підприємства шляхом полегшення відповідності вимогам, підвищення масштабованості та полегшення підтримки протягом року.

До заснування Secureframe ви працювали в інженерних, маркетингових і ролях зростання в компаніях, таких як Pilot, Scale AI, Lob і Hired, і навіть створили додатки для Android, які досягли мільйонів користувачів. Які конкретні досвіди переконали вас, що відповідність вимогам безпеки достатньо зламана, щоб присвятити компанію її вирішенню?

Все почалося з моєї власної фрустрації. На протяженні моєї кар’єри я спостерігав, як дуже хороші інженерні команди зупинялися, коли великий корпоративний клієнт передавав їм питання безпеки або вимагав звіт SOC 2. Відповідальність за кібербезпеку стала перешкодою для зростання бізнесу, а не прискорювачем.

Я почав питати людей у моєму колі, чи хочуть вони інструменти для автоматизації цього. Багато сказали так, але я не був впевнений, наскільки серйозно вони були до цього, поки одна людина не зателефонувала мені через місяць і не запитала, де продукт. Я звільнився з роботи того ж тижня і офіційно заснував Secureframe. До того часу, як у нас з’явився мінімально життєздатний продукт, більше 40 компаній були у нашому списку очікування.

Сьогодні ми допомагаємо тисячам компаній орієнтуватися, підтримувати та розширювати цю критичну роботу. Це дуже приємно бачити, як наша платформа усуває тертя, перетворюючи історичну瓶頸 у конкурентний прискорювач для наших клієнтів.

Ваш недавній кібербезпековий саміт показав, що шість із десяти фахівців з безпеки вважають, що вони мають критичні пробіли у використанні загроз. Чому ви думаєте, що так багато організацій все ще борються з розумінням своєї справжньої вразливості, незважаючи на великі витрати на кібербезпеку?

Одна річ, яку ми постійно бачили, працюючи з тисячами організацій, полягає в тому, що більшість команд з безпеки не мають даних, а мають відсутність контексту. Вони отримують сповіщення з десятків інструментів, але все ще борються з відповідями на базові питання, такі як де розташовані конфіденційні дані, хто має доступ до них і які конкретні ризики вони мають. Насправді наше опитування показало, що хоча 60% споживають стандартні урядові джерела, лише 29% беруть участь у галузевому обміні ISAC. Урядові сповіщення цінні, але до того часу, як одне з’являється у вашій поштовій скриньці, загроза часто вже еволюціонувала.

Глибша проблема полягає в тому, що мережі розширюються швидше, ніж інвентар того, що на них розташовано. Якщо у вас немає чіткого та актуального зображення того, де розташовані конфіденційні дані та хто до них дотикається, додавання ще одного інструменту безпеки не врятує вас.

Ви описали майбутнє, в якому кібербезпека стає формою “симетричної війни з використанням штучного інтелекту”, коли як атакувальники, так і захисники використовують все більш автономні системи. Як це фундаментально змінює спосіб роботи команд з безпеки підприємств?

Коли штучний інтелект може виконувати більшість операцій автономно, розвідку, експлуатацію та рух всередині мережі з мінімальним людським втручанням, людський аналітик, який відкриває квиток о 9 годині ранку для сповіщення, яке було надіслано о 2 годині ночі, вже програв битву.

Роль фахівця з безпеки зсувається від активного реагувальника до оркестратора: встановлення політики, перевірка цілісності захисних систем та усунення сліпих плям, а не розбору нескінченної черги низькорівневих сповіщень.

Під час нашого саміту колишній директор з кібербезпеки NSA Роб Джойс висловив це явно: “Немає повернення до моделі загроз до штучного інтелекту. Рішення, які ви приймаєте щодо вашої оборони, є рішеннями про нову норму. Ми не готуємося до можливого майбутнього”.

Якщо штучний інтелект дозволяє атакувальникам зменшити час виходу з годин до секунд, які найбільші слабкості традиційних моделей безпеки та відповідності вимогам роблять організації вразливими?

Найбільша слабкість полягає в точці часу, статичній або ручній валідації. Традиційна відповідність вимогам полягає у складанні документації один раз на рік, щоб довести, що контроль працював на певну дату. Ця модель руйнується, коли програмне забезпечення генерується, ітерується та розгортається безперервно. Знімок, зроблений у попередньому кварталі, може нічого не сказати про вашу позицію у сфері безпеки сьогодні. Це чому такі рамки, як FedRAMP, переходять до автоматизованої та постійної валідації.

Інша велика слабкість полягає в тому, що багато корпоративних мереж все ще плоскі. Коли конфіденційні операційні системи розташовані на одній мережі з повсякденними корпоративними інструментами, одна скомпрометована облікова запис може стати великою проблемою дуже швидко.

Багато організацій все ще розглядають відповідність вимогам як періодичну аудиторську діяльність. Чому ви вважаєте, що така позиція стає небезпечною у сфері, де загрози постійно еволюціонують?

Бо противники не атакують за вашим аудиторським графіком. Вони використовують розрив між тим, як ваші системи виглядали під час оцінки, та тим, як вони насправді сконфігуровані три місяці пізніше. Конфігурації зсуваються, співробітники приходять і йдуть, нове програмне забезпечення інтегрується; все це створює вразливість, яку щорічна перевірка ніколи не спіймає.

Рамки відповідності вимогам, такі як SOC 2 або CMMC, призначені для визначення оперативної підлоги, а не фінішної лінії. Розглядати їх як періодичний проєкт – це те, як компанії потрапляють у проблеми під час повторної оцінки або, що гірше, під час інцидентів безпеки між циклами оцінки.

Що таке модель безперервної охорони, керованої штучним інтелектом, і як вона відрізняється від центрів операцій з безпеки, на які найчастіше покладаються підприємства сьогодні?

Сьогодні команди з безпеки витрачають більшу частину свого часу на ручну розбору потоку сповіщень, розслідування інцидентів один за одним та збору доказів для аудиту через знімки екрана, таблиці та документи в певний момент часу.

Модель, керована штучним інтелектом, інвертує це. Замість того, щоб аналітики переслідували сповіщення, автоматизовані системи безперервно моніторять поведінкові моделі даних, ідентифікаторів та інфраструктури. Коли щось зсувається від встановленої базової лінії, автоматизовані робочі процеси негайно закривають розрив, а не чекають, поки людина помітить і відреагує.

Штучний інтелект також може взяти на себе бремя документації повністю, генеруючи та підтримуючи оцінки ризиків, докази контролю та записи про відповідність вимогам на основі стану середовища в реальному часі, а не знімка, зробленого до аудиту. Команда з безпеки зсувається від виконання цієї роботи до нагляду за системами, які її виконують.

Національні кіберзагрози стають все більш складними та краще фінансованими. Які можливості, на вашу думку, підприємства повинні розвивати протягом наступних трьох років, щоб залишатися стійкими проти таких противників?

Точне визначення даних, автоматизована верифікація ланцюга постачань та архітектури безпеки на основі поведінки.

Національні актори дуже хороші у змішуванні, використовуючи вкрадені облікові дані та легітимні інструменти системи для руху всередині мережі без сповіщень. Піймання такого роду діяльності вимагає моніторингу моделей поведінки, а не лише сканування відомих підписів малвари.

На стороні ланцюга постачань наші дані опитування показали, що 58% фахівців з безпеки називають ризик постачальників найбільшим невирішеним розривом. Ручне перегляд сторінок постачальників один раз на рік, тоді як складні актори націлюються на ваших постачальників, не є справжньою обороною.

Нарешті, утримання конфіденційних середовищ у ізоляції від решти корпоративної мережі суттєво зменшує вашу вразливість. Організації, які контролювали свої витрати на відповідність вимогам найбільш ефективно, робили це, обмежуючи, наскільки далеко їхні конфіденційні дані могли поширитися спочатку.

Якщо штучний інтелект стає все більш здатним, чи очікуєте ви, що розрив у сфері кібербезпеки збільшиться чи зменшиться? Які ролі з безпеки, на вашу думку, стануть більш важливими, а які можуть стати все більш автоматизованими?

Я думаю, що розрив у сфері кібербезпеки збільшиться у складності, але зменшиться в об’ємі. Штучний інтелект оброблятиме рутину повторюваної роботи, яка історично споживала молодших аналітиків, таких як перегляд журналів, базове документування та просте патчування. Це звільняє потенціал, але також підвищує планку того, що кваліфіковані практики повинні знати.

Ролі, які матимуть найбільше значення в майбутньому, будуть зосереджені на архітектурі та управлінні: професіонали, які можуть проектувати стійкі системи, оцінювати безпеку самих трубопроводів штучного інтелекту та інтерпретувати швидко змінується нормативну середовище.

Secureframe розширився з автоматизації відповідності вимогам до ширшого моніторингу безпеки та усунення ризиків, керованого штучним інтелектом. Де ви бачите розмиття лінії між управлінням, управлінням ризиками, відповідністю вимогам та активною кіберобороною?

Ці функції завжди були штучно відокремлені. На практиці вони всі вираження одного й того самого питання: чи можете ви продемонструвати, що ваші системи роблять те, що ви кажете, що вони роблять?

Коли автоматизована система закриває розрив у безпеці в реальному часі, вона одночасно оновлює вашу позицію щодо ризиків, реєструє подію управління та генерує докази відповідності вимогам. Зміна, яку ми спостерігаємо, полягає у переході від відповідності вимогам у певний момент часу до безперервної довіри, а штучний інтелект усе частіше стає засобом її підтвердження. Не лише підтримки.

Оглядаючи майбутнє, чи вважаєте ви, що ми наближаємося до точки, в якій системи штучного інтелекту будуть нести відповідальність за захист критичної інфраструктури з мінімальним людським втручанням, або людська увага залишається остаточним засобом захисту проти великомасштабних кібератак?

Це завжди буде вимагати обох, а культура лідерства визначатиме, наскільки добре кожен елемент працює.

Колишній керівник CISA Боб Костелло зробив це під час нашого саміту, коли описав, як SolarWinds [символ акції “SWI” біржі “NYSE”] змінив федеральну розмову: з behand як відповідність вимогам у вигляді галочки до справжнього розуміння позиції щодо ризиків у реальному часі всього середовища. Ця зміна мислення відрізняє стійкі організації від вразливих.

Компанії, які виходять вперед, знають, де розташовані їхні конфіденційні дані, перш ніж хтось про це запитає, замінили ручний збір доказів автоматизованими системами та створили культуру, в якій поведінка безпеки вбудована в щоденну роботу, а не зарезервована для щорічної підготовки. Для тих, хто працює в регульованих або високих ставках середовищах, вікно для поступової модернізації закривається.

Дякую за велике інтерв’ю, читачам, які бажають дізнатися більше, слід відвідати Secureframe.