نبیل حنان فیلد CISO (مدیر ارشد امنیت اطلاعات) در NetSPI است. او با تمرکز بر کمک به مشتریان در حل ارزیابی امنیت سایبری و نیازهای مدیریت تهدید و آسیب پذیری، فعالیت مشاوره مشاوره ای شرکت را رهبری می کند. پیشینه او در ایجاد و بهبود ابتکارات امنیتی نرم افزاری موثر، با تخصص عمیق در بخش خدمات مالی است.
NetSPI یک راه حل امنیتی فعال است که برای کشف، اولویت بندی و اصلاح حیاتی ترین آسیب پذیری های امنیتی طراحی شده است. این به سازمان‌ها کمک می‌کند تا با فعال کردن رویکردی فعالانه برای امنیت سایبری با وضوح، سرعت و مقیاس بیشتر از هر زمان دیگری، از آنچه برای کسب‌وکارشان مهم‌تر است محافظت کنند.
می توانید کمی در مورد سفر خود در امنیت سایبری و اینکه چه چیزی باعث شد به NetSPI بپیوندید به اشتراک بگذارید؟
من از هفت سالگی برنامه نویسی کردم. فناوری همیشه مرا هیجان زده کرده است، زیرا می‌خواستم بدانم کارها چگونه کار می‌کنند، که در نتیجه باعث شد بسیاری از چیزها را از هم جدا کنم و یاد بگیرم چگونه آنها را در سنین جوانی کنار هم قرار دهم.
در حین تحصیل در رشته علوم کامپیوتر در کالج، کارم را در بلک بری آغاز کردم، جایی که به عنوان مدیر محصول برای پلتفرم پیام رسان بلک بری کار کردم و به طراحی سخت افزار علاقه مند شدم. از آنجا، من برای پیوستن به یک شرکت کوچک در حوزه امنیت برنامه‌ها استخدام شدم – آنقدر به آن علاقه داشتم که حاضر بودم برای بدست آوردن این شغل به کشور جدیدی نقل مکان کنم.
وقتی سفر خود را در زمینه امنیت سایبری در نظر می‌گیرم، از پایین به بالا شروع شد. من به‌عنوان مشاور همکار، آزمایش‌های نفوذ، بررسی کد، مدل‌سازی تهدید، تست سخت‌افزار و هر چیز دیگری را که روسایم به من پیشنهاد کردند، شروع کردم. در نهایت، من به ساختن یک سرویس تست نفوذ برای Cigital رسیدم که بعداً توسط Synopsys خریداری شد. همه اینها من را به سمت NetSPI هدایت کرد تا به حمایت از مسیر رشد آن در فضای امنیتی فعال کمک کنم.
تجربه شما در بخش خدمات مالی چگونه رویکرد شما به امنیت سایبری را شکل داده است؟
در حین کار در سینوپسیس، به ایجاد استراتژی برای فروش خدمات امنیتی و محصولات به صنعت خدمات مالی کمک کردم. بنابراین، در حالی که من مستقیماً در خدمات مالی کار نمی‌کردم، مسئولیت ایجاد استراتژی‌هایی برای آن بخش را بر عهده داشتم، که نیاز به فرو رفتن عمیق در آن عمودی برای درک عوامل و نقاط دردناک آن بود.
با بزرگ شدن در فضای فناوری، زمان زیادی را صرف کار با سازمان های خدمات مالی بزرگ در سراسر جهان کردم. با داشتن این پیشینه، زمان و مهارت های خود را بر توسعه استراتژی برای هدف گذاری و ایجاد خدمات متناسب با صنعت خدمات مالی به عنوان یک کل متمرکز کردم.
بزرگترین چیزی که من از قرار گرفتن در معرض بخش خدمات مالی آموخته ام این است که هکرها به جایی می روند که پول است. هکرها فقط برای سرگرمی در این کار نیستند. منبع درآمد آنهاست آنها به جایی می‌روند که بیشترین تأثیر مالی را داشته باشد – خواه در واقع سرقت پول به شکلی باشد یا آسیب مالی به یک سازمان. این طرز فکر به شکل‌گیری درک من از امنیت سایبری کمک کرد و باعث شد در نقش فعلی‌ام به‌عنوان یک فیلد CISO موفق باشم.
با توجه به اینکه تهدیدات سایبری به سرعت در حال تحول هستند، به نظر شما بزرگترین چالش های امنیت سایبری امروزه سازمان ها با چه چیزی روبرو هستند؟
بزرگترین چالش امروز سرعتی است که هر سازمانی برای مبارزه با تهدیدات در حال تحول و همگام شدن با فناوری های نوظهور مانند هوش مصنوعی نیاز به فعالیت دارد. از لحاظ تاریخی، یک روش آبشار برای ساختن نرم‌افزار وجود داشت که در مقایسه با سرعت گسترش نرم‌افزار امروزی لزوماً فرآیند سریعی نبود. اکنون، ما یک متدولوژی بسیار چابک‌تر داریم، که در آن سازمان‌ها در تلاش هستند تا نرم‌افزاری بسازند و آن را با بیشترین سرعت ممکن به تولید عرضه کنند و پیاده‌سازی‌های کوچک‌تری را انجام دهند.
10 سال گذشته تغییرات و شتاب سریعی را در اکوسیستم امنیتی نشان داده است. این موضوع باعث ایجاد مشکلات بسیاری برای سازمان‌های بزرگ، مانند IT سایه‌ای می‌شود و کسب بینش در مورد سطح حمله و دارایی‌های آنها را دشوارتر می‌کند. شما نمی توانید از چیزی که نمی بینید محافظت کنید.
پذیرش ابر به این آتش می افزاید – هرچه افراد بیشتر با فضای ابری سازگار شوند، پذیرفته شوند و به فضای ابری مهاجرت کنند، سیستم ها و دارایی های نرم افزاری انعطاف پذیرتر می شوند. توانایی بزرگ کردن نرم‌افزار و سخت‌افزار به روشی کشسان، مدیریت تغییر را حتی دشوارتر می‌کند. از آنجایی که سیستم‌ها با پتانسیل انعطاف‌پذیر ساخته می‌شوند، باعث ایجاد چالش‌هایی می‌شوید که در آن دارایی‌ها اغلب مالکیت خود را تغییر می‌دهند و فرصت‌هایی را برای بازیگران بد ایجاد می‌کنند تا راه‌هایی را برای ورود به سازمان بیابند.
به نظر شما چشم انداز امنیت سایبری طی پنج سال آینده چگونه تغییر خواهد کرد؟
نیاز به دید بیشتر در دارایی های خارجی و داخلی در پنج سال آینده همچنان مهم خواهد بود و نحوه کار مشتریان با فروشندگان را تغییر خواهد داد. این در حال حاضر حوزه ای است که ما در NetSPI به شدت روی آن تمرکز کرده ایم. در ماه ژوئن، ما به دست آورد یک راه حل مدیریت سطح حمله دارایی سایبری (CAASM) و راه حل مدیریت وضعیت امنیت سایبری به نام فناوری هابل. افزودن CAASM به قابلیت‌های مدیریت سطح حمله خارجی (EASM) به مشتریان ما این امکان را می‌دهد تا به طور مداوم دارایی‌ها و خطرات جدید را شناسایی کنند، نقاط کور کنترل امنیتی را اصلاح کنند و با ارائه فهرست دقیقی از دارایی‌های سایبری، هر دو خارجی، دیدی جامع از وضعیت امنیتی خود به دست آورند. و داخلی – چیزی که تا این لحظه در صنعت گم شده بود.
ادغام قابلیت‌های EASM و CAASM در پلتفرم NetSPI به ما این امکان را می‌دهد تا ابزارهایی را که برای رفع چالش‌های دید مداوم به مشتریان نیاز دارند، ارائه دهیم. این همچنین توانایی اولویت بندی دقیق ریسک های مرتبط با دارایی ها و آسیب پذیری ها را افزایش می دهد. علاوه بر این، به رهبران امنیتی کمک می کند تا قرار گرفتن در معرض مهم ترین دارایی های خود را در رابطه با این خطرات ارزیابی کنند.
رویکرد NetSPI به مدیریت آسیب‌پذیری با سایر شرکت‌های این صنعت چه تفاوتی دارد؟
اخیرا، ما از یک پلتفرم امنیتی پیشگیرانه یکپارچه جدید رونمایی کردیم، که فناوری های تست نفوذ به عنوان سرویس (PTaaS)، مدیریت سطح حمله خارجی (EASM)، مدیریت سطح حمله دارایی سایبری (CAASM) و شبیه سازی نقض و حمله (BAS) را با هم در یک راه حل واحد ترکیب می کند. با پلتفرم NetSPI، مشتریان می توانند رویکردی فعالانه برای امنیت سایبری با وضوح، سرعت و مقیاس بیشتری نسبت به قبل داشته باشند. این رویکرد پیشگیرانه جدید روندهایی را که در صنعت می‌بینیم، و دور شدن از راه‌حل‌های نقطه‌ای متفاوت، و به سمت پذیرش سریع خدمات پلتفرم جامع‌تر و سرتاسر را منعکس می‌کند.
چگونه از هوش مصنوعی برای افزایش اقدامات امنیت سایبری در NetSPI استفاده می شود؟
همانطور که هر رهبر امنیت سایبری به شما می گوید، هوش مصنوعی این پتانسیل را دارد که موفقیت کسب و کار را تسریع کند، اما همچنین این پتانسیل را دارد که حملات دشمنان را تغذیه کند. در NetSPI، ما در تلاش هستیم تا با پیاده‌سازی مدل‌های تست نفوذ AI/ML به مشتریان خود کمک کنیم تا از منحنی جلوتر بمانند، که تضمین می‌کند با شناسایی، تجزیه و تحلیل و کاهش خطرات مرتبط با حملات خصمانه به سیستم‌های ML، امنیت از ایده‌پردازی تا اجرا در نظر گرفته می‌شود. ، با تاکید بر LLM. در امنیت سایبری، قابلیت‌های هوش مصنوعی توانایی ما را برای نظارت و اصلاح تهدیدات در زمان واقعی افزایش داده و به کار گرفته‌اند.
خطرات بالقوه مرتبط با هوش مصنوعی در امنیت سایبری چیست و چگونه می توان آنها را کاهش داد؟
بر اساس مکالماتی که با دیگر رهبران امنیت سایبری دارم، بزرگترین خطر هوش مصنوعی، کمبود داده های اولیه و بهداشت امنیت سایبری سازمان ها است. همانطور که می‌دانیم، راه‌حل‌های هوش مصنوعی به اندازه داده‌هایی که مدل‌ها روی آنها آموزش دیده‌اند، موثر هستند. اگر سازمان ها درک محکمی از موجودی و طبقه بندی داده ها نداشته باشند، این خطر وجود دارد که مدل های آنها آسیب ببینند و مستعد شکاف های امنیتی شوند.
وقتی مردم کلمه “هوش” را در هوش مصنوعی می بینند، آن را با “ذاتاً باهوش” یا حتی داشتن نوعی احساس اشتباه می گیرند. اما اینطور نیست. متخصصان امنیت هنوز باید مدل‌های هوش مصنوعی را برنامه‌ریزی کنند تا بفهمند چه دارایی‌هایی شخصی، خصوصی، عمومی و غیره هستند. بدون آن مکانیسم ها، هوش مصنوعی می تواند به هرج و مرج فرو رود. این، به نظر من، بزرگترین نگرانی در بین CISO ها در حال حاضر است.
آیا می توانید توضیح دهید که چگونه تست نفوذ NetSPI به عنوان یک سرویس (PTaaS) به سازمان ها کمک می کند تا امنیت قوی را حفظ کنند؟
تست نفوذ برای وضعیت کلی امنیت سایبری یک سازمان حیاتی است زیرا زمینه بیشتری را برای آسیب‌پذیری‌های خاص کسب‌وکارشان به تیم‌ها می‌دهد.
تست نفوذ همچنین یک تست تورنسل عالی برای مشاهده میزان موثر بودن سایر کنترل‌های امنیتی مانند بررسی کد، مدل‌سازی تهدید، تست امنیت برنامه استاتیک (SAST)، تست امنیت برنامه‌های پویا (DAST)، تست امنیت برنامه‌های تعاملی (IAST) و موارد دیگر است. ممکن است قبلاً اجرا کرده باشید، هستند.
تست نفوذ منظم، همکاری بلادرنگ با کارشناسان امنیتی را تقویت می‌کند که می‌تواند دیدگاه دیگری را به ارمغان بیاورد که به داده‌ها عمق بیشتری می‌بخشد. در پایان یک آزمون موفقیت آمیز، سازمان ها بینش بهتری نسبت به اینکه کدام بخش از محیط IT آنها بیشتر در معرض نقض هستند، خواهند داشت. هنگامی که یک پنتست آسیب‌پذیری‌ها را شناسایی می‌کند، اغلب شکاف‌های موجود در کنترل‌های اولیه چرخه حیات یا کنترل‌هایی را که به‌کلی گم شده‌اند، برجسته می‌کنند. آنها همچنین می‌دانند که چگونه می‌توانند به انطباق دست یابند، تلاش‌های اصلاحی را کجا متمرکز کنند، و چگونه تیم‌های فناوری اطلاعات و امنیت می‌توانند با هم کار کنند تا از پیامدهای تجاری بالقوه مطلع شوند.
با همکاری با فروشندگان متخصص در PTaaS برای تکمیل یک وضعیت امنیتی قوی، سازمان ها می توانند آمادگی بیشتری برای جلوگیری از حوادث امنیتی داشته باشند.
چگونه فناوری و تخصص انسانی را برای ارائه راه حل های امنیتی جامع ادغام می کنید؟
NetSPI بر این باور است که شما هم به فناوری و هم به انسان نیاز دارید تا یک استراتژی درست ارائه دهید تا از تهدیدات شناخته شده و ناشناخته جلوتر بمانید. انسان‌ها باید در حلقه اعتبارسنجی، اولویت‌بندی و زمینه‌سازی خروجی‌هایی باشند که ابزارها تولید می‌کنند. ما در کار این نیستیم که به مردم نکات مثبت کاذب بدهیم یا سر و صدا ایجاد کنیم، که باعث شود زمان بیشتری را صرف کشف آنچه واقعاً مهم است صرف کنند. به عبارت دیگر، شما می توانید تکنولوژی فوق العاده ای داشته باشید، اما برای موفقیت به کسی نیاز دارید که واقعاً از آن استفاده کند و آن را قطع کند.
کارهای پیش پا افتاده زیادی وجود دارد که هوش مصنوعی می تواند سریعتر و دقیق تر از انسان ها انجام دهد. اگر بتوان فناوری را به روشی قابل اعتماد ساخت، آنگاه به ما این امکان را می‌دهد که وظایف خاصی را خودکار کرده و زمانی را برای تیم‌های امنیتی آزاد بگذاریم تا توجه خود را به تفکر خلاقانه‌تر و حل مسئله حیاتی معطوف کنند که هوش مصنوعی به سادگی نمی‌تواند جایگزین آن شود.
برای تقویت وضعیت امنیت سایبری آنها معمولاً چه توصیه استراتژیکی به مشتریان ارائه می دهید؟
یک دام معمولی که مردم در آن گرفتار می شوند، سرمایه گذاری روی چیزهایی است که می فهمند. به عنوان مثال، یک شرکت ممکن است یک رهبر با پیشینه امنیت ابری وارد کند. به طور طبیعی، آنها سپس بر روی ایجاد یک تیم امنیت ابری تمرکز می کنند، به عنوان مثال، به عنوان مثال، انطباق، امنیت شبکه، امنیت برنامه ها و غیره، جایی که سازمان ممکن است واقعاً به پشتیبانی نیاز داشته باشد.
بهتر است برنامه جامع تری داشته باشید که به طور کلی بر همه چیز تمرکز کند. سپس، شروع به ساختن دفاع عمیق می‌کنید و کنترل‌هایی دارید که سایر شکست‌های ممکن در بخش‌های مختلف سازمان را کاهش می‌دهد. ایجاد یک برنامه جامع بهتر از سرمایه گذاری زمان، تلاش و ابزار بیشتر در یک بخش خاص است.
با تشکر از شما برای مصاحبه عالی، خوانندگانی که مایل به کسب اطلاعات بیشتر هستند باید از آن بازدید کنند NetSPI.
