Entretien avec Paul Martini – iboss

Aviva Zack

Publié le: 11 juillet 2022

Aviva Zacks de Détectives de sécurité a récemment interviewé Paul Martini, PDG et co-fondateur d'iboss. Elle lui a demandé comment son entreprise assurait la sécurité du réseau.

Détectives de sécurité : Qu'est-ce qui vous a motivé, vous et votre frère Peter, à créer iboss ?

Paul Martini: Je travaillais dans une entreprise appelée Copper Mountain Networks. C'était au début du haut débit et de choses comme la connectivité à haut débit. À l'époque, au début des années 90, tout le monde travaillait sur un ordinateur de bureau qui se trouvait sous son bureau. Ainsi, toutes les stratégies de sécurité étaient basées sur une stratégie de château et de douves, où vous sécurisez essentiellement la forteresse.

Étant donné que tous les employés travaillaient dans le bureau, toute la sécurité y était appliquée. Il existe de nombreuses technologies de cybersécurité différentes, mais la sécurité du réseau est spécifiquement appliquée lorsque les données sont transférées de votre ordinateur portable ou de votre ordinateur de bureau vers une destination, où elles agissent comme un point de contrôle de sécurité dans un aéroport.

La sécurité du réseau ouvre les bagages et recherche les logiciels malveillants, les rançongiciels ou la perte de données. Vous avez des pare-feux, des proxys et tout cet équipement qui a été installé au bureau pour garantir que les données entrant et sortant du bureau soient inspectées et protégées contre les logiciels malveillants.

Lorsque vous regardez en arrière à cette époque, nous avons commencé à voir la bande passante et la connectivité augmenter avec l'avènement des smartphones Blackberry et des personnes qui l'utilisaient comme ordinateur pour le courrier électronique. La vraie question était : que se passerait-il lorsque le téléphone entre vos mains deviendrait votre ordinateur ?

SD : Ce qui nous amène à aujourd'hui, n'est-ce pas ?

PM: Droit. Les iPhones et les ordinateurs portables sont maintenant si puissants que plus personne n'a vraiment de bureau. Mais une fois que cela s'est produit, vous ne pouviez pas forcer quelqu'un à rester dans le château. La sécurité doit suivre l'utilisateur où qu'il travaille. Et donc, comment appliqueriez-vous les fonctions de sécurité du réseau, afin de vous assurer que les rançongiciels ou les logiciels malveillants n'atteignent pas ces appareils ou de vous protéger contre la perte de données. Vous ne devriez pas perdre de données lorsque vous travaillez à distance. C'était donc vraiment la thèse de l'entreprise qui déplaçait la sécurité vers le cloud.

Nous vivons à l'ère du cloud, mais il est difficile de faire passer la sécurité d'un modèle de sécurité basé sur le périmètre avec des limites physiques fixes à un service comme Netflix. Lorsque les utilisateurs se déplacent d'un endroit à l'autre, l'utilisateur devient le bureau et le travail est effectué sur leur ordinateur portable ou leur téléphone.

Toutes les données qui sont transférées vers et depuis ces appareils lorsque les utilisateurs interagissent avec les applications et les données cloud. Au lieu d'être uniquement protégé par la sécurité lorsque vous êtes au bureau ou lorsque vous renvoyez les données au bureau, vous pouvez simplement vous connecter à tout ce dont vous avez besoin, et la sécurité s'exécute là où les applications s'exécutent dans le cloud.

SD : Quel impact le COVID a-t-il eu sur tout cela ?

PM: COVID a simplement accéléré cette transformation. Nous avons vu que c'était inévitable. Les problèmes que j'ai décrits jusqu'à présent allaient se produire de toute façon parce que nous savions que la bande passante allait continuer à augmenter. Nous savions que la mobilité continuerait d'augmenter. Et nous savions que les appareils eux-mêmes seraient mobiles.

Aujourd'hui, il est difficile de trouver un ordinateur de bureau. La plupart des gens font la majorité de leur travail dans la paume de leur main ou sur un ordinateur portable. Ainsi, avec COVID qui frappe maintenant, nous voyons que l'avenir du travail est au mieux hybride, mais de nombreuses organisations ont fermé leurs bureaux pour de bon. De nombreux utilisateurs travaillent de partout et n'importe où à plein temps.

SD : Comment votre logiciel protège-t-il les utilisateurs ?

PM: Ce que nous envisagions a vraiment bouclé la boucle, à savoir un service de sécurité cloud basé sur SaaS qui permet aux utilisateurs de travailler où qu'ils soient, mais aussi de se connecter directement à n'importe quelle application dont ils ont besoin.

Ces ressources peuvent être au bureau ou dans le cloud, cela n'a pas vraiment d'importance. Ils appellent cela un service Zero Trust. Et le service Zero Trust est chargé à la fois de connecter l'utilisateur aux applications et de s'assurer que les données sont sécurisées lorsqu'elles se déplacent entre cet utilisateur dans l'application, de sorte qu'elles soient exemptes de logiciels malveillants et empêchent la perte de données. De plus, Zero Trust garantit que toutes les applications et données sont entièrement privées et accessibles uniquement aux employés qui devraient y avoir accès tout en rejetant automatiquement tout le monde.

Je pense que le NIST 800-207, qui est la norme vers laquelle le gouvernement se dirige pour Zero Trust, est la direction que tout cela prend. Le gouvernement s'oriente vers cette idée où toutes les applications sont privées. Par conséquent, il n'y a aucune application, que ce soit dans le cloud ou au bureau, à laquelle vous pouvez accéder à moins que vous ne soyez un utilisateur de confiance.

Nous plaçons essentiellement notre service devant les applications du gouvernement ou de l'entreprise, en les rendant privées, un peu comme un point de contrôle de sécurité dans un aéroport devant les applications qu'il est censé protéger.

Nous n'autorisons que les quelques employés qui devraient avoir accès à ces applications et sont autorisés à interagir avec elles. Si l'application devient vulnérable, ce n'est pas un exercice d'incendie. Et vous n'avez pas de pirates informatiques de Russie ou d'ailleurs qui arrivent à la porte d'entrée de ces applications pour commencer.

SD: Quel est le produit phare de votre entreprise?

PM: C'est ce qu'on appelle l'iboss Zero Trust Edge. Netflix n'a pas inventé le film ; ils ont changé la façon dont vous le regardez en le diffusant depuis le cloud.

Ce que nous faisons est la même chose, sauf que ce n'est pas avec les films — c'est la cybersécurité pour toute la connectivité. Au lieu du lecteur DVD, qui est l'équivalent de tous les équipements de cybersécurité hérités, y compris les pare-feu et les équipements qui ne protègent physiquement que le bureau, nous l'avons remplacé par un service de sécurité global qui déplace la sécurité vers le cloud. Nous avons déplacé cela vers un service basé sur SaaS qui transmet la sécurité à l'utilisateur où qu'il se trouve. Tout ce à quoi ils se connectent est toujours sécurisé. Les connexions passent par notre service où nous inspectons les logiciels malveillants, les rançongiciels, la prévention des pertes de données et la conformité.

SD : Comment votre entreprise reste-t-elle compétitive dans un monde rempli d'entreprises de cybersécurité ?

PM: Je pense que la défense en profondeur, avoir plusieurs couches de sécurité est vraiment important. Mais il existe des composants de sécurité essentiels dont chaque entreprise a besoin et dont chaque utilisateur a besoin.

Par exemple, l'antivirus de bureau analyse votre disque dur pour s'assurer qu'il n'y a pas de virus sur votre ordinateur. Je pense que c'est un aliment de base. Mais finalement, les données vont quitter votre ordinateur ou arriver sur votre ordinateur depuis Internet ou depuis un bureau. Et c'est donc la sécurité du réseau, où nous nous asseyons et pensons que c'est un autre élément de base de la sécurité. Cependant, au lieu de le faire avec un équipement de sécurité réseau, nous le faisons en tant que service SaaS, automatiquement et à grande échelle.

Et puis il y a des choses comme les réseaux privés virtuels (VPN). Vous activez un VPN pour vous connecter au bureau. Ensuite, vous l'éteignez lorsque vous avez terminé. C'est un élément essentiel, car en tant qu'employé travaillant pour une entreprise, vous ne pouvez pas faire votre travail s'il y a des applications au bureau et vous ne pouvez pas vous y connecter. Avec notre service, nous connectons automatiquement les employés à n'importe quelle application, y compris celles du bureau, sans avoir besoin d'un VPN séparé. Le service gère la sécurité et la connectivité à tout.

Ainsi, nous résolvons les choses dont je viens de parler - éliminant le besoin d'appliances de sécurité réseau, éliminant le besoin de VPN et garantissant que les utilisateurs bénéficient d'une expérience cohérente et exceptionnelle lorsqu'ils interagissent avec les données et les applications dont ils ont besoin en assurant la sécurité dans le nuage. Au lieu d'activer un VPN pour se connecter au bureau pour les applications, notre service Zero Trust est toujours activé.

Si je suis sur mon ordinateur portable et que j'ouvre différentes applications, certaines d'entre elles peuvent être sur Internet et d'autres peuvent être au bureau. Mais je n'active jamais un VPN pour faire ça. Nous sommes en mesure de réduire les coûts liés à l'achat de ces VPN, puis d'améliorer l'expérience de l'utilisateur final.

L'autre problème avec les VPN est que les utilisateurs rencontrent généralement des connexions assez lentes lorsqu'ils les utilisent. Avoir un service qui fonctionne toujours et qui fournit des connexions ultra-rapides tout en éliminant le besoin d'activer ou de désactiver un VPN améliore l'expérience utilisateur.

De plus, comme nous connectons les utilisateurs à ces applications, qu'ils soient au bureau ou dans le cloud, nous pouvons exécuter toutes les fonctions de sécurité, ouvrir les charges utiles et rechercher des éléments tels que les ransomwares et les logiciels malveillants. que de rendre ces applications privées.

En fin de compte, le budget nécessaire à la transformation numérique recherchée par les organisations peut provenir de l'élimination de cet équipement et de cette technologie hérités. Notre technologie Zero Trust permet aux entreprises d'économiser de l'argent car elle élimine les budgets des entreprises pour les VPN, les proxys et les équipements de pare-feu. Et en utilisant notre service, les entreprises obtiennent toujours plus de rendement, même dans le cas d'un personnel limité en raison de pénuries qui ont été un problème sur les marchés de la main-d'œuvre qualifiée tels que les réseaux et la sécurité des réseaux.

Beaucoup d'entreprises n'ont pas les moyens d'avoir ces gens et elles ne peuvent pas les trouver. Il est plus facile d'éliminer la complexité de la stratégie de sécurité héritée du château et du fossé en passant à un service de sécurité SaaS. Tout comme Netflix, vous n'avez plus besoin d'un expert en audio-vidéo pour configurer l'ensemble de votre système audio et de vos lecteurs DVD. Donc, c'est plus rentable.

Lors du déploiement d'un service comme iboss, nous commençons par les ressources, les applications les plus critiques et les plus vulnérables en premier. Même si les utilisateurs peuvent se connecter à ces applications, nous commençons par nous mettre devant les applications de l'entreprise pour nous assurer qu'elles sont complètement privées.

Si vous regardez un rapport de la CISA, la Cybersecurity, and Infrastructure Security Agency, qui a réalisé une étude sur les incidents de ransomware en 2021. Ils se sont associés à toutes les agences américaines telles que le FBI et la NSA, ainsi qu'au Royaume-Uni et en Australie. C'était un gros effort commun. Ce qu'ils ont découvert, c'est que les trois principaux vecteurs d'infection initiaux pour les ransomwares en 2021 étaient le phishing, les identifiants volés et les vulnérabilités des logiciels. Ainsi, par exemple, dans certains cas où le logiciel devient vulnérable et devrait demander une authentification, comme vous demander d'utiliser votre nom d'utilisateur et votre mot de passe, il ne le fait pas. Il ne demande pas d'informations d'identification car il est vulnérable et vous laisse simplement entrer. Et c'est un problème, évidemment.

Ainsi, les trois principaux vecteurs d'infection initiaux sont le phishing, les informations d'identification volées et les vulnérabilités des logiciels. Mais la cause première, si vous pensez à ces trois principaux, est en fait un accès non autorisé au logiciel pour commencer.

Parce que si le logiciel devient vulnérable, pourquoi la Russie et la Chine peuvent-elles en profiter ? Ils ne devraient pas pouvoir se connecter à cette application pour profiter de la vulnérabilité. S'ils volent un ensemble d'informations d'identification, comment peuvent-ils se connecter au service ou à une application et utiliser ces informations d'identification ?

Si vous pensez à la façon dont nous travaillions auparavant, la raison pour laquelle il y avait moins de violations et de ransomwares était que toutes les applications se trouvaient à l'intérieur d'un bureau physique. Même s'il y avait des vulnérabilités, ou si quelqu'un a peut-être volé votre mot de passe, comment vont-ils utiliser le mot de passe à moins qu'ils ne pénètrent par effraction dans le bureau pour le perforer dans le serveur, n'est-ce pas ?

Aujourd'hui, ce périmètre a disparu. Ainsi, toutes ces applications s'exécutent dans le cloud. Les attaquants le savent, alors ils attendent juste que ces vulnérabilités sortent. Ils peuvent s'asseoir en Russie, en Chine et ailleurs, puis ils l'utilisent pour se connecter à l'application. Ils n'ont pas besoin de se rendre dans un bureau physique et de profiter des informations d'identification volées ou de la vulnérabilité, ou même de profiter du phishing. Vous cliquez sur le lien, ils reçoivent un ransomware sur votre ordinateur portable, et cela se propage immédiatement.

C'est pourquoi le NIST, qui est le National Institutes of Standards and Technology, a mis en place un cadre appelé architecture Zero Trust. C'est sous un document appelé le 800-207, qui est référencé à l'intérieur du récent décret exécutif. L'objectif de l'architecture Zero Trust présentée dans le cadre du NIST est de se concentrer sur le cœur du problème, qui est d'empêcher l'accès non autorisé aux données et aux services.

C'est le cœur de Zero Trust, selon le NIST. Et c'est en fait le cœur de Zero Trust selon ce que nous proposons. Notre objectif, vraiment, lorsque vous envisagez une approche pour réduire considérablement les violations et les risques, est d'empêcher l'accès non autorisé aux applications et aux données, qu'elles soient dans le cloud ou exécutées au bureau. C'est la première chose, je dirais, pour réduire votre risque d'obtenir un ransomware cryptolocker ou de voir vos données mises sur WikiLeaks. Vous résolvez la cause profonde de la façon dont ils entrent, pour commencer.

Nous avons donc commencé par placer le service iboss Zero Trust devant ces applications, et elles sont devenues privées. Ensuite, nous n'autorisons les utilisateurs qu'une fois que nous savons qu'ils sont des employés et font partie de l'organisation. Tout comme un point de contrôle de sécurité dans un aéroport, les passagers ne montent à bord de l'avion qu'une fois qu'ils ont vérifié leur identité, leur billet et leurs bagages, puis les ont laissés traverser le point de contrôle. C'est le même concept qu'ils utilisent dans un aéroport pour protéger les avions, sauf que nous le faisons avec des applications et des données.

Donc, pour répondre à la question et revenir en arrière, c'est un élément fondamental. Chaque organisation doit abandonner tout ce qui concerne les types d'approches de sécurité basées sur le périmètre. Ils dépenseront moins en équipement de pare-feu et en équipement proxy, et moins en VPN. L'objectif est de connecter les utilisateurs à tout ce dont ils ont besoin, que ce soit au bureau ou dans le cloud.

En regardant vers l'avenir, chaque entreprise sera hybride. Ce ne sont pas seulement certains employés, tous les employés auront probablement une forme de travail à distance et de travail au bureau. Sans une technologie comme la nôtre, ces employés et ce modèle ne peuvent exister. L'employé ne peut en aucun cas se connecter aux applications et aux données dont il a besoin pour faire son travail ; ils ont besoin des ressources et de la sécurité en place.

Donc, nous capturons les budgets de beaucoup de domaines différents. Nous rendons la sécurité de classe mondiale moins chère, plus rapide et plus efficace, pour une meilleure expérience de l'utilisateur final. Et nous sécurisons plus de 150 milliards de transactions par jour. Nous travaillons avec les plus grandes organisations du monde et protégeons des millions d'utilisateurs dans le monde.

Nous allons sécuriser toutes les entreprises car nous pouvons offrir ce service aux entreprises de toutes tailles, vous n'avez plus besoin d'être un Fortune 500 ou le gouvernement fédéral pour profiter de ce type de technologie.