Wawancara dengan Paul Martini – iboss

Aviva Zack

Diterbitkan: Juli 11, 2022

Aviva Zack dari Detektif Keamanan baru-baru ini mewawancarai Paul Martini, CEO dan salah satu pendiri iboss. Dia bertanya kepadanya tentang bagaimana perusahaannya menyediakan keamanan jaringan.

Detektif Keamanan: Apa yang memotivasi Anda dan saudara Anda Peter untuk memulai iboss?

Paulus Martini: Saya bekerja di sebuah perusahaan bernama Copper Mountain Networks. Ini adalah awal dari broadband dan hal-hal seperti konektivitas berkecepatan tinggi. Pada saat itu, di awal 90-an, semua orang bekerja di komputer desktop yang diletakkan di bawah meja mereka. Jadi, semua strategi untuk keamanan didasarkan pada strategi benteng dan parit, di mana pada dasarnya Anda mengamankan benteng.

Karena semua karyawan bekerja di kantor, semua keamanan diterapkan di sana. Ada banyak teknologi keamanan siber yang berbeda, tetapi keamanan jaringan secara khusus diterapkan saat data berpindah dari laptop atau desktop Anda ke beberapa tujuan, di mana ia bertindak seperti pos pemeriksaan keamanan bandara.

Keamanan jaringan membuka bagasi dan mencari malware, ransomware, atau kehilangan data. Anda memiliki firewall, proxy, dan semua perlengkapan ini yang dipasang di kantor untuk memastikan bahwa saat data masuk dan keluar dari kantor, data diperiksa dan diamankan dari malware.

Ketika Anda melihat kembali pada waktu itu, kami mulai melihat bandwidth dan konektivitas meningkat dengan munculnya smartphone Blackberry dan orang-orang menggunakannya sebagai komputer mereka untuk email. Pertanyaan sebenarnya adalah, apa yang akan terjadi ketika telepon di tangan Anda menjadi komputer Anda?

SD: Yang membawa kita ke hari ini, kan?

SORE: Benar. iPhone dan laptop sangat canggih sekarang, sehingga tidak ada yang benar-benar memiliki desktop lagi. Tapi begitu itu terjadi, kamu tidak bisa memaksa seseorang untuk tinggal di kastil. Keamanan perlu mengikuti pengguna di mana pun mereka bekerja. Jadi, bagaimana Anda menerapkan fungsi keamanan jaringan, sehingga Anda memastikan bahwa ransomware atau malware tidak masuk ke perangkat tersebut atau melindungi dari kehilangan data. Anda seharusnya tidak kehilangan data saat Anda bekerja dari jarak jauh. Jadi itu benar-benar tesis perusahaan yang memindahkan keamanan ke cloud.

Kita hidup di era cloud, tetapi memindahkan keamanan dari model keamanan berbasis perimeter dengan batasan fisik tetap ke layanan seperti Netflix adalah tantangan. Saat pengguna berpindah dari satu tempat ke tempat lain, pengguna menjadi kantor, dan pekerjaan dilakukan di laptop atau ponsel mereka.

Semua data yang ditransfer ke dan dari perangkat tersebut saat pengguna berinteraksi dengan aplikasi dan data cloud. Alih-alih hanya dilindungi oleh keamanan saat Anda berada di kantor atau saat Anda mengirim data kembali ke kantor, Anda cukup terhubung ke apa pun yang Anda butuhkan, dan keamanan berjalan di tempat aplikasi berjalan di cloud.

SD: Apa dampak COVID terhadap semua ini?

SORE: COVID pada dasarnya mempercepat transformasi ini. Kami melihat bahwa ini tidak bisa dihindari. Masalah yang telah saya jelaskan sejauh ini akan tetap terjadi karena kami tahu bandwidth akan terus meningkat. Kami tahu mobilitas akan terus meningkat. Dan kami tahu bahwa perangkat itu sendiri akan bersifat mobile.

Saat ini, sulit untuk menemukan komputer desktop lagi. Kebanyakan orang melakukan sebagian besar pekerjaan mereka di telapak tangan mereka atau di laptop. Jadi, dengan COVID menyerang sekarang, kami melihat masa depan pekerjaan adalah yang terbaik, tetapi banyak organisasi telah menutup kantor mereka untuk selamanya. Banyak pengguna bekerja dari mana saja dan di mana saja secara penuh waktu.

SD: Bagaimana perangkat lunak Anda melindungi pengguna?

SORE: Apa yang kami bayangkan benar-benar telah menjadi lingkaran penuh, yang merupakan layanan keamanan cloud berbasis SaaS yang memungkinkan pengguna untuk bekerja dari mana pun mereka bekerja, tetapi juga terhubung langsung ke aplikasi apa pun yang mereka butuhkan.

Sumber daya itu bisa di kantor atau cloud, itu tidak masalah. Mereka menyebutnya layanan Zero Trust. Dan layanan Zero Trust bertanggung jawab untuk menghubungkan pengguna ke aplikasi serta memastikan bahwa data diamankan saat berpindah di antara pengguna tersebut dalam aplikasi, sehingga bebas dari malware dan mencegah kehilangan data. Selain itu, Zero Trust memastikan bahwa semua aplikasi dan data sepenuhnya bersifat pribadi dan hanya dapat diakses oleh karyawan yang seharusnya memiliki akses ke aplikasi dan data tersebut sementara secara otomatis menolak orang lain.

Saya pikir NIST 800-207, yang merupakan standar yang sedang ditempuh pemerintah untuk Zero Trust, adalah tujuan semua ini. Pemerintah bergerak menuju ide ini di mana semua aplikasi bersifat pribadi. Akibatnya, tidak ada aplikasi, baik di cloud atau di kantor, yang dapat Anda buka kecuali Anda adalah pengguna tepercaya.

Kami pada dasarnya menempatkan layanan kami di depan aplikasi pemerintah atau perusahaan, menjadikannya pribadi, seperti pos pemeriksaan keamanan bandara di depan aplikasi yang dirancang untuk dilindungi.

Kami hanya mengizinkan beberapa karyawan yang seharusnya memiliki akses ke aplikasi tersebut dan diizinkan untuk berinteraksi dengan mereka. Jika aplikasi menjadi rentan, itu bukan latihan kebakaran. Dan Anda tidak memiliki peretas dari Rusia atau tempat lain, untuk memulai dari pintu depan aplikasi ini.

SD: Apa produk andalan perusahaan Anda?

PM: Ini disebut iboss Zero Trust Edge. Netflix tidak menciptakan film; mereka mengubah cara Anda menontonnya dengan mengalirkannya dari cloud.

Apa yang kami lakukan adalah hal yang sama, kecuali tidak dengan film — ini keamanan siber untuk semua konektivitas. Alih-alih pemutar DVD, yang setara dengan semua peralatan keamanan siber lama termasuk firewall dan peralatan yang secara fisik hanya melindungi kantor, kami telah menggantinya dengan layanan keamanan global yang memindahkan keamanan ke cloud. Kami memindahkannya ke layanan berbasis SaaS yang mengalirkan keamanan ke pengguna di mana pun mereka berada. Apa pun yang mereka sambungkan selalu aman. Koneksi melalui layanan kami tempat kami memeriksa malware, ransomware, pencegahan kehilangan data, dan kepatuhan.

SD: Bagaimana perusahaan Anda tetap kompetitif di dunia yang penuh dengan perusahaan keamanan siber?

PM: Saya pikir, pertahanan secara mendalam, memiliki beberapa lapisan keamanan sangat penting. Tetapi ada beberapa komponen keamanan pokok utama yang dibutuhkan setiap perusahaan, dan setiap pengguna.

Misalnya, antivirus desktop memindai hard drive Anda untuk memastikan tidak ada virus di komputer Anda. Saya merasa itu salah satu pokok. Tetapi pada akhirnya, data akan meninggalkan komputer Anda atau masuk ke komputer Anda dari internet atau dari kantor. Dan itulah keamanan jaringan, di situlah kami duduk dan merasakannya sebagai pokok keamanan inti lainnya. Namun, alih-alih melakukan ini dengan peralatan keamanan jaringan, kami melakukan ini sebagai layanan SaaS, secara otomatis dan dalam skala besar.

Dan kemudian ada hal-hal seperti jaringan pribadi virtual (VPN). Anda mengaktifkan VPN untuk terhubung ke kantor. Kemudian Anda mematikannya setelah selesai. Itu pokok karena sebagai karyawan yang bekerja untuk sebuah perusahaan, Anda tidak dapat melakukan pekerjaan Anda jika ada beberapa aplikasi yang duduk di kantor, dan Anda tidak dapat terhubung dengannya. Dengan layanan kami, kami secara otomatis menghubungkan karyawan ke aplikasi apa pun, termasuk yang ada di kantor tanpa memerlukan VPN terpisah. Layanan ini menangani keamanan dan konektivitas ke semuanya.

Jadi, kami menyelesaikan hal-hal yang baru saja saya bicarakan – menghilangkan kebutuhan akan peralatan keamanan jaringan, menghilangkan kebutuhan akan VPN, dan memastikan bahwa pengguna mendapatkan pengalaman yang konsisten dan hebat saat mereka berinteraksi dengan data dan aplikasi yang mereka butuhkan dengan memberikan keamanan di awan. Alih-alih menyalakan VPN untuk terhubung ke kantor untuk aplikasi, layanan Zero Trust kami selalu aktif.

Jika saya menggunakan laptop dan membuka aplikasi yang berbeda, beberapa di antaranya mungkin ada di internet dan beberapa di antaranya mungkin di kantor. Tapi saya tidak pernah menyalakan VPN untuk melakukan itu. Kami dapat mengurangi biaya yang terkait dengan keharusan membeli VPN ini dan kemudian meningkatkan pengalaman pengguna akhir.

Masalah lain dengan VPN adalah pengguna biasanya mengalami koneksi yang sangat lambat saat menggunakannya. Memiliki layanan yang selalu berjalan dan menyediakan koneksi ultra-cepat sambil menghilangkan kebutuhan untuk mengaktifkan atau menonaktifkan VPN meningkatkan pengalaman pengguna.

Selain itu, karena kami menghubungkan pengguna ke aplikasi ini, baik mereka di kantor atau di cloud, kami dapat menjalankan semua fungsi keamanan, membuka muatan, dan mencari hal-hal seperti ransomware dan malware, serta sebagai membuat aplikasi ini pribadi.

Pada akhirnya, anggaran yang dibutuhkan untuk transformasi digital yang dicari organisasi dapat berasal dari menghilangkan peralatan dan teknologi lama ini. Teknologi Zero Trust kami benar-benar menghemat uang perusahaan karena menghilangkan anggaran perusahaan untuk VPN, proxy, dan perlengkapan firewall. Dan menggunakan layanan kami, perusahaan masih mendapatkan lebih banyak output bahkan dalam kasus staf terbatas karena kekurangan yang telah menjadi masalah di pasar tenaga kerja terampil seperti jaringan dan keamanan jaringan.

Banyak perusahaan tidak mampu memiliki orang-orang itu dan mereka tidak dapat menemukannya. Lebih mudah untuk menghilangkan kerumitan strategi keamanan kastil-dan-parit warisan dengan beralih ke layanan keamanan SaaS. Sama seperti Netflix, Anda tidak memerlukan ahli audio-video untuk menyiapkan semua sistem suara dan pemutar DVD Anda lagi. Jadi, lebih hemat biaya.

Saat meluncurkan layanan seperti iboss, kami memulai dengan sumber daya, aplikasi yang paling kritis dan rentan terlebih dahulu. Meskipun pengguna dapat terhubung ke aplikasi ini, kami mulai dengan menempatkan diri kami di depan aplikasi perusahaan untuk memastikan bahwa mereka benar-benar pribadi.

Jika Anda melihat laporan dari CISA, Cybersecurity, dan Infrastructure Security Agency, yang melakukan studi tentang insiden ransomware pada tahun 2021. Mereka bermitra dengan semua agensi Amerika seperti FBI dan NSA, serta Inggris dan Australia. Itu adalah upaya bersama yang besar. Apa yang mereka temukan adalah tiga vektor infeksi awal teratas untuk ransomware pada tahun 2021 adalah phishing, kredensial yang dicuri, dan kerentanan dalam perangkat lunak. Jadi, misalnya, dalam beberapa kasus di mana perangkat lunak menjadi rentan dan harus meminta autentikasi, seperti meminta Anda untuk menggunakan nama pengguna dan sandi, hal ini tidak dilakukan. Gagal meminta kredensial karena rentan dan hanya memungkinkan Anda masuk. Dan itu jelas merupakan masalah.

Jadi, tiga vektor infeksi awal teratas adalah phishing, kredensial yang dicuri, dan kerentanan dalam perangkat lunak. Tetapi akar penyebab jika Anda memikirkan tiga teratas itu sebenarnya adalah akses tidak sah ke perangkat lunak untuk memulai.

Karena jika perangkat lunak menjadi rentan, mengapa Rusia dan China dapat memanfaatkannya? Mereka seharusnya tidak dapat terhubung ke aplikasi itu untuk memanfaatkan kerentanan. Jika mereka mencuri satu set kredensial, bagaimana mereka dapat terhubung ke layanan atau aplikasi dan menggunakan kredensial itu?

Jika Anda memikirkan cara kerja kami dulu, alasan pelanggaran dan ransomware lebih sedikit adalah karena semua aplikasi berada di dalam kantor fisik. Meskipun ada kerentanan, atau seseorang mungkin telah mencuri kata sandi Anda, bagaimana mereka akan menggunakan kata sandi itu kecuali mereka membobol kantor untuk memasukkannya ke dalam server, bukan?

Hari ini, perimeter itu hilang. Jadi, semua aplikasi ini berjalan di cloud. Para penyerang mengetahui hal ini, jadi mereka hanya menunggu kerentanan ini keluar. Mereka dapat duduk di Rusia, Cina, dan tempat-tempat lain, dan kemudian mereka menggunakannya untuk terhubung ke aplikasi. Mereka tidak perlu pergi ke kantor fisik dan memanfaatkan kredensial yang dicuri atau kerentanan, atau bahkan memanfaatkan phishing. Anda mengklik tautannya, mereka mendapatkan ransomware di laptop Anda, dan itu segera menyebar.

Inilah sebabnya mengapa NIST, yang merupakan Institut Nasional Standar dan Teknologi, mengeluarkan kerangka kerja yang disebut arsitektur Zero Trust. Itu di bawah dokumen yang disebut 800-207, yang dirujuk di dalam Perintah Eksekutif baru-baru ini. Tujuan dari Arsitektur Zero Trust yang disajikan dalam kerangka NIST adalah untuk fokus pada inti masalah, yaitu untuk mencegah akses tidak sah ke data dan layanan.

Itulah inti dari Zero Trust, menurut NIST. Dan itu sebenarnya inti dari Zero Trust sesuai dengan apa yang kami tawarkan. Tujuan kami, sebenarnya, adalah ketika Anda melihat pendekatan untuk mengurangi pelanggaran dan risiko secara substansial, adalah untuk mencegah akses tidak sah ke aplikasi dan data, baik itu di cloud atau dijalankan di kantor. Itulah hal nomor satu, menurut saya, untuk mengurangi risiko Anda terkena ransomware cryptolocker atau menyimpan data Anda di WikiLeaks. Anda memecahkan akar penyebab bagaimana mereka masuk, untuk memulai.

Jadi, kami mulai dengan menempatkan layanan iboss Zero Trust di depan aplikasi tersebut, dan mereka menjadi pribadi. Kemudian kami mengizinkan pengguna masuk hanya setelah kami mengetahui bahwa mereka adalah karyawan dan bagian dari organisasi. Tidak berbeda dengan pos pemeriksaan keamanan bandara memungkinkan penumpang naik pesawat hanya setelah mereka memeriksa cek ID, tiket, dan tas mereka dan kemudian membiarkan mereka melewati pos pemeriksaan. Ini adalah konsep yang sama yang mereka gunakan di bandara untuk melindungi pesawat, kecuali kami melakukannya dengan aplikasi dan data.

Jadi, untuk menjawab pertanyaan dan memutar balik, ini adalah komponen fundamental. Setiap organisasi perlu beralih dari apa pun yang terkait dengan jenis pendekatan keamanan berbasis perimeter. Mereka akan menghabiskan lebih sedikit untuk peralatan firewall, dan peralatan proxy, dan lebih sedikit untuk VPN. Tujuannya adalah untuk menghubungkan pengguna ke apa pun yang mereka butuhkan, terlepas dari apakah itu di kantor atau di cloud.

Melihat ke masa depan, setiap perusahaan akan menjadi hybrid. Bukan hanya beberapa karyawan, mungkin semua karyawan akan memiliki beberapa bentuk pekerjaan jarak jauh dan pekerjaan di kantor. Tanpa teknologi seperti kita, tidak mungkin karyawan dan model itu ada. Tidak mungkin karyawan dapat terhubung ke aplikasi dan data yang mereka butuhkan untuk melakukan pekerjaan mereka; mereka membutuhkan sumber daya dan keamanan di tempat.

Jadi, kami mengambil anggaran dari banyak area yang berbeda. Kami membuat keamanan kelas dunia lebih murah, lebih cepat, dan lebih efisien, untuk pengalaman pengguna akhir yang lebih baik. Dan kami mengamankan lebih dari 150 miliar transaksi setiap hari. Kami bekerja dengan organisasi terbesar di dunia dan melindungi jutaan pengguna di seluruh dunia.

Kami akan mengamankan semua perusahaan karena kami dapat memberikan layanan ini kepada perusahaan dari semua ukuran, Anda tidak lagi harus menjadi Fortune 500 atau pemerintah Federal untuk memanfaatkan jenis teknologi ini.