Clarke Rodgers:
Isso é muito interessante. Você iniciou o programa de segurança na AWS, então conhece a AWS de trás para frente, como protegê-la, as ameaças que estão contra ela, o apetite pelo risco etc. Ao assumir a função de CSO, agora você aprenderá sobre a amazon.com ou o que chamamos de lojas internas, Whole Foods, Prime Video, MGM, Twitch, todas essas organizações diferentes.
Primeiro, como você se familiarizou com o perfil de segurança de cada uma dessas empresas e o tipo de apetite pelo risco e, em seguida, como você integrou tudo isso? Então, aquele termo comum — o 'painel único de visualização' — em que você se sentia confortável de que o perfil de risco da Whole Foods era apropriado, e que o da AWS também era adequado para a AWS... como foi que você chegou a essa conclusão?
Steve Schmidt:
Bem, em primeiro lugar, uma das coisas que eu adoro no meu trabalho é a diversidade dos negócios. As pessoas costumam dizer que você está na sua posição há 16 anos. Isso é muito incomum para alguém do setor de segurança. Por que isso está acontecendo? É por causa da diversidade de trabalho que essa empresa tem. É uma oportunidade de continuar aprendendo, ou seja, eu adoro.
Eu não sou tão jovem. As pessoas dizem: por quanto tempo você vai continuar trabalhando? Você vai se aposentar, seja o que for? E eu respondo que estou me divertindo. Não, eu não quero. Isso é realmente muito divertido. E é porque você vai desde a criação do maior provedor de nuvem do mundo à colocação de satélites no espaço e à operação de supermercados. A diversidade é um desafio incrível do ponto de vista comercial, mas também é uma oportunidade interessante de aproveitar a escala da empresa para tornar as coisas mais baratas de operar.
Quando você analisa as organizações de segurança operacional, elas não são baratas. Mas quando você pode escalá-las em uma empresa tão grande quanto a da Amazon, isso significa que o custo unitário pode ser reduzido.
Clarke Rodgers:
Claro.
Steve Schmidt:
Portanto, todas as empresas se beneficiam da escala das outras empresas. Portanto, encontrar maneiras de um supermercado aproveitar a mesma segurança que uma empresa de satélites, o que pode acontecer em muitas áreas, por exemplo, no gerenciamento de vulnerabilidades, independentemente de você estar conectado a um sistema de computador, não é fundamentalmente diferente quando você está construindo satélites e operando uma mercearia.
E isso nos permite fazer coisas em um nível que uma empresa independente realmente não poderia pagar e elevar o padrão para todos. Isso faz parte do meu trabalho aqui: garantir que tenhamos um padrão em toda a empresa, seja para gerenciamento de vulnerabilidades, resposta a incidentes ou qualquer outro componente de uma organização de segurança típica.
E descobrir quais são os componentes personalizados que precisam ser implementados para empresas específicas devido às suas situações únicas. Dessa forma, não tentamos aplicar o modelo de uma única solução para todos, porque isso só aumentaria os custos. Se você observar um supermercado, por exemplo, a perda de uma unidade tem um valor relativamente baixo, enquanto a perda de um satélite é o oposto.
Clarke Rodgers:
Claro.
Steve Schmidt:
Portanto, precisamos adaptar a situação de segurança para componentes individuais.
Clarke Rodgers:
Como você segura... Eu vou recuar. Você tem diretores de segurança da informação que executam os programas de segurança de cada uma dessas outras empresas. Como você os responsabiliza pela administração de seus negócios de segurança?
Steve Schmidt:
Portanto, uma das coisas em que a Amazon se concentra muito em toda a empresa é a ideia de um único proprietário de um único segmento. Alguém cujo trabalho é apenas se concentrar em um componente de alguma coisa. Em segurança, é por isso que temos um CISO para cada empresa individual por causa de duas coisas.
Uma é que eu quero alguém que todos os dias se concentre nisso, seja Amy Herzog, que trabalha nos dispositivos e no espaço de Kuiper, ou seja Chris Betz, que cuida da AWS. Mas, ao mesmo tempo, uso medidas comuns em todas essas coisas. Por exemplo, analiso uma análise comercial mensal do gerenciamento de vulnerabilidades, que abrange toda a empresa e usa os mesmos números, as mesmas metodologias, os mesmos métodos de apresentação etc.
Assim, temos uma visão comum que é consistente em cada um desses negócios. Isso nos permite fazer duas coisas: Uma é garantir que estamos cumprindo o padrão exigido e a outra é garantir que estamos aplicando a visibilidade que queremos em todos os cantos da empresa. Porque, muitas vezes, quando as pessoas têm problemas, elas pensam: isso não é uma coisa importante, é uma parte pequena etc.
É aí que entramos pelo cano e levamos um susto. Com essa supervisão estratégica de alto nível, asseguramos que cada área da empresa esteja alinhada e cumpra seu papel.
Clarke Rodgers:
Há sistemas centralizados sob o guarda-chuva da segurança da Amazon, ou AMSEC, dos quais todos podem se beneficiar.
Steve Schmidt:
Portanto, há muitas coisas que são basicamente as mesmas em todos os nossos negócios. A maneira como você coleta certos tipos de dados, analisa esses dados ou faz relatórios sobre eles. Em vez de obrigar toda empresa a fazer a mesma coisa repetidamente, decidimos movê-las para um único local. Isso nos permite economizar em coisas como tempo de desenvolvedor.
Se você pensar em operar em grande escala, voltaremos ao gerenciamento de vulnerabilidades, mecanismo de coleta para o qual você precisa ter engenheiros de plantão. Se você já dirigiu uma organização de plantão e imaginou ter uma pessoa de plantão, precisa ter aproximadamente sete pessoas para fazer isso de forma eficaz para acomodar licenças, férias e tudo mais.
Clarke Rodgers:
Queremos que as pessoas tirem férias.
Steve Schmidt:
Isso mesmo. Espalhando isso em várias empresas diferentes de um só lugar, isso significa que fazemos isso de forma mais eficaz, porque obtemos melhores ferramentas de forma centralizada e com um custo menor.
Clarke Rodgers:
Quais práticas você desenvolveu ou adotou para relatar o status da segurança de todas essas empresas diferentes à diretoria da Amazon?
Steve Schmidt:
Em primeiro lugar, a diretoria da Amazon é muito interessante. Existem poucas diretorias que têm a perspicácia técnica em toda a população que a diretoria da Amazon tem, porém, a Amazon também escolheu, há vários anos, criar um subcomitê de segurança. Ao contrário de muitos lugares em que a segurança pode ser subordinada ao comitê de auditoria, por exemplo, há um grupo dedicado de pessoas cujo trabalho é apenas analisar a segurança na diretoria da Amazon.
Isso é ótimo e também significa que há uma análise muito detalhada sobre nós no processo. Tivemos que criar um mecanismo de denúncia que evolui com o tempo por dois motivos. Um é porque nos tornamos melhores em fazer nosso trabalho de relatórios. E o segundo é que, com o tempo, a diretoria se torna ainda mais bem informada. Eles fazem perguntas mais pontuais e querem saber detalhes mais específicos sobre nichos no negócio. Geralmente, achamos importante informar a eles sobre componentes específicos do negócio toda vez que conversamos. Estamos cumprindo nossa meta de segurança em certos lugares?
Além disso, eles têm pontos nos quais estão realmente interessados, como: conte-nos sobre essa parte específica da empresa ou sobre esse nicho no qual estamos entrando, achamos que tem muitos riscos, então nos dê um resumo sobre isso etc. Isso nos permite ter um componente consistente, um componente variável baseado nos interesses deles.
Optamos por incluir, ao final, uma seção chamada 'atualidades', na qual analisamos notícias recentes, extraímos os aprendizados mais relevantes e apresentamos esses insights à diretoria como uma parte informativa da reunião. Isso foi algo que aconteceu no setor, é por isso que não fomos afetados.
Esse foi o investimento que permitiu que não fôssemos afetados. Acho que isso tem um valor tremendo para a diretoria. Em primeiro lugar, eles entendem que estamos bem, mas, em segundo lugar, isso ajuda a embasar as decisões de investimento para o futuro. Quando conseguimos demonstrar que investimos em autenticação multifator há oito ou dez anos e que isso nos protegeu de um agente de ameaça que comprometeu outra grande empresa, o retorno que recebemos é positivo: “excelente”. Quais são os outros investimentos que devemos planejar agora que nos ajudarão em 10 anos a continuar evitando problemas?
Clarke Rodgers:
Muitos de nossos clientes CISO se concentram muito na diretoria. Alguns deles não recebem tantas ligações de FaceTime quanto outros. E você já disse que nossa diretoria é única devido ao seu amplo conhecimento de segurança. Que recomendações você daria aos colegas CISO ou CSO que são subordinados a suas diretorias para realmente ajudar a esclarecer seus pontos de vista, falar a língua da diretoria etc.?
Steve Schmidt:
A primeira coisa que ouvi dos membros da diretoria sobre por que eles gostam da maneira como atuamos é que tomamos muito cuidado para evitar jargões. Muitas pessoas nas funções de CISO são técnicas e querem relatar coisas de uma forma que...
Clarke Rodgers:
Os bits e os bytes.
Steve Schmidt:
Exatamente, isso reflete a maneira como eles pensam sobre isso. Mas temos que lembrar que a diretoria é a cliente aqui. Quando estamos apresentando a ela, temos que falar a língua dela e encontrar maneiras de explicar as coisas em um contexto que faça sentido para essa diretoria específica.
Portanto, a prioridade é encontrar um mecanismo de denúncia consistente, em vez de variar todas as vezes, porque isso torna mais difícil para alguém entendê-lo. O segundo ponto é descobrir quais são realmente as duas ou três métricas superimportantes que você quer transmitir sempre.
Não exagere nas métricas. Por exemplo, sempre relatamos sobre o gerenciamento de vulnerabilidades. É o controle de segurança fundamental mais importante que operamos e acho que qualquer pessoa opera e, no final das contas, descobrir as coisas que são complementos interessantes, que ajudam você a desenvolver o que devemos investir. Portanto, faça essa separação intencional entre os componentes do processo de geração de relatórios.
Clarke Rodgers:
E se investirmos aqui, reduzimos o risco ali?
Steve Schmidt:
Sim, é uma combinação de redução de risco atual e redução prospectiva, e a perspectiva futura é, na verdade, provavelmente a parte mais difícil de nosso trabalho como profissionais de segurança, porque não temos uma prova de existência para usar. Muitas pessoas olham para isso e dizem: isso é realmente necessário?
Temos que fazer isso agora? Temos que fazer isso nessa escala? Podemos reduzir o tamanho? Esses são os argumentos que todos nós precisamos ter. Precisamos ser capazes de construir esse tipo de base de conhecimento na diretoria ao longo do tempo e dizer: esses são os exemplos da exploração real de coisas semelhantes e achamos que isso se aplicará a nós nesse período. Portanto, temos que agir agora, em dois anos ou em três anos ou o que for.
Clarke Rodgers:
Entendi. Na Amazon, somos conhecidos por nossa inovação, trabalhamos de trás para frente, ouvindo nossos clientes etc. Como líder de segurança, você tem muitas opções, e isso pode se resumir ao fato de seus CISOs serem subordinados a você. Você tem muitas opções sobre quais ferramentas você compra versus quais ferramentas precisa criar. Muitas vezes, isso se resume à escala.
Portanto, o software comercial pronto para uso pode ou não ser escalado para a escala da Amazon, e você mesmo precisa criar algo. No último ano, conversamos publicamente sobre ferramentas como Madpot, Mithra e Sonaris. Como CSO, como você faz a proposta para conseguir fundos para realmente investir os recursos de engenharia em ferramentas como essa, e imagino que muitas outras ferramentas sobre as quais ainda não falamos. Como você faz a proposta para dizer que isso vale o investimento e que aqui está o valor que vamos receber dele?
Steve Schmidt:
Claro. Vamos primeiro diferenciar entre uma ferramenta comprada e uma que desenvolvemos. Acho que é um ponto de partida importante. Compraremos ferramentas quando elas forem um item básico. Por exemplo, a resposta de detecção de endpoints: nós a compramos em vez de criá-la nós mesmos. Por quê? Porque os laptops Mac, Windows e Linux que usamos são os mesmos que muitas outras pessoas também usam.
Talvez tenhamos um software um pouco diferente neles, mas isso realmente não diferencia nossos negócios. Por outro lado, somos os únicos que podem desenvolver um sistema de grande escala, como o Madpot, por exemplo. Onde podemos construir algo que ninguém mais pode é onde tendemos a investir.
A maneira como fazemos esse processo de investimento é como fazemos muitas outras coisas. Você faz um protótipo, experimenta, vê o que funciona. É garantido que não vai acertar na primeira vez. Você tem que reprojetar algo, alterar um pouco etc. O Madpot tem sido incrivelmente bem-sucedido, mas não apareceu da noite para o dia. É um investimento de muitos anos que começou com um único engenheiro que disse: eu realmente gosto dessa ideia. Vamos ver se conseguimos alguma coisa interessante.
Então ele é transformado nesse mecanismo que nos permite adquirir dados de inteligência de ameaças muito oportunos, que podemos extrair, processar e inserir nas ferramentas de segurança às quais todos os nossos clientes têm acesso. Acho que essa é a parte mais importante. Por exemplo, muitos de nossos clientes dizem: eu quero um feed bruto de inteligência de ameaças.
Bem, na verdade, você não quer isso. O que você realmente quer é o que é relevante para você no contexto em que você está operando agora. O resto é apenas ruído, e o volume agora é tão grande que é inútil tentar digerir tudo, a menos que você tenha um negócio como o nosso.
Por isso, muitos de nossos clientes descobriram que gostam muito de usar coisas como inteligência de ameaças e consumi-la como parte de um serviço gerenciado. Isso permite que eles não precisem perder tempo analisando pilhas muito grandes de dados ou contextos perdidos porque eles não foram aplicados em vários clientes.
E contexto é muito importante. É aí que a visibilidade centralizada — que só nós temos — realmente traz vantagem, voltando àquela questão inicial sobre a diferenciação entre soluções customizadas e soluções padronizadas.
Clarke Rodgers:
Acho que o argumento interno, por falta de uma palavra melhor, é: isso nos ajuda a proteger a AWS/Amazon e agrega benefícios aos nossos clientes. Quero dizer, é uma vitória.
Steve Schmidt:
Na linguagem típica da Amazon, começaremos com os clientes primeiro e diremos: isso ajuda todos os nossos clientes a se protegerem melhor. Ao mesmo tempo, isso nos ajuda em nossos negócios porque, de qualquer forma, a maioria de nossos negócios são clientes da Amazon AWS. Portanto, é benéfico em todos os aspectos.