Alcançando o Nirvana da Segurança com Gary Harbison

Gary Harbison: Eu diria que, mais do que tudo, acho que as pessoas olham para a segurança tal como existimos para impedir as coisas. E embora sim, queremos impedir que ataques aconteçam e tal, mas da mesma forma que ter freios em um carro permite que você vá mais rápido, tendo uma boa equipe de segurança que avalie e equilibre os riscos e apresente soluções que permitam que você assuma os riscos certos de maneira responsável pode realmente ajudar a empresa a avançar mais rápido e a atingir as metas de negócios. Então, olhando para isso, estamos aqui para dizer não ou para parar as coisas, na verdade estamos aqui para ajudar a descobrir uma maneira de dizer sim de maneira responsável, e isso pode realmente ajudar o negócio a avançar mais rápido.

Produtor: Olá e bem-vindo ao Security Visionaries apresentado por Jason Clark, CSO da Netskope. Você acabou de ouvir o convidado de hoje, Gary Harbison, vice-presidente e diretor global de segurança da informação da Bayer. Alcançar o nirvana da segurança não é uma tarefa fácil. O cenário da segurança está em constante mudança, especialmente agora que, com a nuvem, os dados podem ser acessados de praticamente qualquer lugar. Em qualquer dia, você e sua equipe podem estar à beira da tranquilidade e no próximo, do caos total. Mas da mesma forma que ter freios em um carro permite que você ande mais rápido, as equipes de segurança podem ajudar a permitir o crescimento das empresas. O Nirvana é alcançado quando as equipes de segurança conseguem avaliar, equilibrar os riscos e apresentar soluções que permitem às empresas assumir o risco certo de forma responsável. Isso permite que as empresas avancem de maneira mais suave e rápida e atinjam os objetivos de negócios desejados e isso inclui, como Gary diz de forma tão eloquente, ser capaz de ter dados monitorados em segurança, onde quer que eles estejam. Antes de mergulharmos na entrevista de Gary, aqui vai uma breve palavra do nosso patrocinador.

Patrocinador: O podcast Security Visionaries é desenvolvido pela equipe da Netskope. A Netskope é líder em SASE, oferecendo tudo o que você precisa para fornecer uma experiência de usuário rápida, centrada em dados e inteligente na nuvem, na velocidade dos negócios atuais. Saiba mais em NETSKOPE.com.

Produtor: Sem mais delongas, aproveite o quinto episódio de Security Visionaries com Gary Harbison, vice-presidente e diretor global de segurança da informação da Bayer e seu anfitrião, Jason Clark.

Jason Clark: Bem-vindo aos Visionários de Segurança. Sou seu anfitrião, Jason Clark. Diretor de estratégia e segurança da Netskope. Hoje, estou acompanhado por um convidado e amigo muito especial, Gary Harbison. Gary, como você está?

Gary Harbison: Está indo bem, Jason. Como vai você?

Jason Clark: Está indo muito bem, cara. Super fantástico. Estou aproveitando o clima agradável de outono que nós dois temos aqui em St. Louis hoje. Na verdade, poderíamos até ter feito isso pessoalmente. Foi uma boa ideia.

Gary Harbison: É verdade, este é um bom momento para estar em St. Louis agora, no outono.

Jason Clark: Sim. E sinto que a outra coisa quando penso sobre isso é que talvez devêssemos ter feito isso como um happy hour e bebido uma cerveja ou bourbon juntos ao mesmo tempo também. Mas tudo bem, faremos isso. Faremos isso na próxima vez aqui.

Gary Harbison: Da próxima vez, sim.

Jason Clark: Gary, nos conhecemos há muito tempo e já fiz muitas coisas legais, sobre as quais falaremos juntos aqui, mas vamos começar do começo. Como você entrou na segurança? Qual foi seu primeiro emprego?

Gary Harbison: Boa pergunta. Então, quando eu estava indo para a faculdade, acho que tinha 19 anos e consegui um emprego em uma base da Força Aérea perto de St. Louis, do outro lado do rio. E na época, eu trabalhava como engenheiro de rede e telecomunicações e soube da sede que havia novos firewalls a serem instalados e eles vieram até a equipe de rede e encontraram dois de nós que conheciam Unix e redes, e esses se tornaram nossos para instalar e possuir daqui para frente. Essa foi minha primeira introdução à segurança, foi instalar e gerenciar seus firewalls e, em seguida, isso se espalhou para a análise de sistemas operacionais de servidores e outras coisas, e continuar a expandir a partir daí. Então não foi algo que eu realmente planejei, mas deu certo.

Jason Clark: Ok. Acho que isso é provavelmente para qualquer um de nós que faz isso há mais de 20 anos. Acho que o firewall foi provavelmente a primeira pergunta e a primeira maneira pela qual entramos na equipe de segurança. Por acaso, qual era a marca desses firewalls naquela época?

Gary Harbison: Foram os firewalls Sidewinder.

Jason Clark: Sim. Faz muito, muito tempo que não vejo um desses.

Gary Harbison: Já faz um tempo, sim. Eles foram adquiridos. E acho que, eventualmente, acho que foi desativado no fim.

Jason Clark: Agora conte-nos um pouco sobre sua função como CISO da Bayer.

Gary Harbison: Atualmente sou o diretor global de segurança da informação da Bayer. Portanto, responsável por todas as atividades de segurança cibernética em todas as nossas divisões e funções globalmente. A Bayer possui múltiplas áreas de negócios. Temos uma divisão de ciência agrícola focada na agricultura e impulsionando avanços e continuando a melhorar o fornecimento de alimentos e a alimentar o mundo. Temos uma divisão farmacêutica que está trabalhando em tratamentos e medicamentos de próxima geração para ajudar todos a continuarem a melhorar a saúde. E então temos uma divisão de saúde do consumidor que vende mais marcas de produtos de venda livre também na área de saúde.

Jason Clark: Vou lhe fazer um monte de perguntas aqui e vamos ir e voltar. Mais uma vez, ligue-o para mim a qualquer momento. Mas a primeira pergunta para você é o que você acha que as pessoas recebem do lado da segurança?

Jason Clark: Certo. Nos negócios ou em outras partes da TI. O que eles erram em relação à segurança?

Gary Harbison: Eu diria que, mais do que tudo, acho que as pessoas olham para a segurança tal como existimos para impedir as coisas. E embora sim, queremos impedir que ataques aconteçam e tal, mas da mesma forma que ter freios em um carro permite que você vá mais rápido, tendo uma boa equipe de segurança que seja capaz de avaliar e equilibrar riscos e apresentar soluções que permitem que você assuma os riscos certos de maneira responsável, podem realmente ajudar a empresa a avançar mais rapidamente e a atingir as metas de negócios. Então, olhando para isso, estamos aqui para dizer não ou para parar as coisas, na verdade estamos aqui para ajudar a descobrir uma maneira de dizer sim de maneira responsável e que pode realmente ajudar o negócio a avançar mais rápido.

Jason Clark: Eu estava fazendo algo isso com Dustin Wilcox, o CISO da Anthem e gostei da maneira como ele disse isso, ele disse que alguém em nosso painel disse: "Deveríamos estar sempre tentando remover o atrito em todos os lugares que pudermos e deveria ser sem atrito e insegurança." E ele disse: “Não. Na verdade, precisamos da quantidade certa de atrito. O atrito é importante em certos momentos." Certo? Você pode dizer que sim, mas me diga o motivo. Digite em uma frase o motivo pelo qual você precisa fazer upload desses dados aqui e envolva-se quando eles disserem: "Quer saber? Na verdade, não preciso, ou sim, tenho um bom motivo." Certo?

Gary Harbison: Absolutamente. Acho que é claro que você deseja que os controles sejam o mais simples possível para os usuários finais, mas a palavra que usei com frequência foi tensão. Você quer uma tensão saudável no sistema que tenha freios e contrapesos, mas concordo com ele, tanto quanto possível, removendo o atrito que afeta a capacidade de funcionários e usuários realizarem seu trabalho todos os dias.

Jason Clark: Então, qual você acha que é o risco de crescimento mais rápido na segurança cibernética e que a maioria das pessoas não percebe? Portanto, os riscos que estão se aproximando rapidamente deles.

Gary Harbison: Sim. Eu destacaria, no geral, que acho que o espaço geral de segurança e governança de dados está evoluindo muito rapidamente. E então não se trata apenas de pensar em proteger os dados, os dados se tornaram muito portáteis. Podemos carregar terabytes de dados em nossos bolsos e, quando ambos entramos na área de segurança, isso provavelmente encheria os data centers. Portanto, o armazenamento, a portabilidade dos dados, podem ser movidos e deslocados tão rapidamente, estão sendo compartilhados com parceiros e terceiros, estão sendo hospedados em ambientes de nuvem. E assim entender como proteger os dados e para onde eles estão sendo transferidos.

Mas a outra parte que continua a mudar e a evoluir são as leis e regulamentos globais sobre como os dados devem ser protegidos, onde os dados devem ser armazenados e de onde podem ser acedidos. Assim, especialmente para uma empresa que opera globalmente em vários países, regiões e jurisdições, torna-se complicado compreender como proteger os dados, onde armazenar os dados e que acesso fornecer aos dados. Então, acho que as empresas estão focadas nisso e continuam a trabalhar nisso, mas os regulamentos, as leis e as ameaças estão mudando tão rapidamente que é apenas um espaço em constante evolução.

Jason Clark: Sim. Então, basicamente, você resumiria porque começou com a governança e os riscos em torno disso, mas então você obviamente... Você chamaria isso de risco de dados? Será que, no geral, o risco que mais cresce é o risco dos dados?

Gary Harbison: Eu diria que sim.

Jason Clark: Sim.

Gary Harbison: Acho que é uma boa maneira de expressar isso.

Jason Clark: Os motivos pelos quais perderam visibilidade seriam apenas reiterações, certo? Primeiro, está em todo lugar e é muito portátil. Está na nuvem, está no celular. (cantoria)

Então, acho que, indo direto ao ponto, você diria que esse é o lugar número um onde provavelmente a inovação é necessária do ponto de vista da segurança cibernética.

Gary Harbison: Eu concordaria, sim. Olhando para tecnologias para detectar ataques, para monitorar nossos ambientes, para construir a segurança certa em torno dos ambientes. No passado, concentramos muitos deles em infraestrutura, servidores, dispositivos e coisas assim. Para onde o futuro está indo, tudo irá para a nuvem e os funcionários e usuários trabalharão em qualquer lugar e talvez às vezes em vários tipos diferentes de dispositivos. E então acho que há a necessidade de continuar a inovar na forma como protegemos os dados e aproximando os controles dos dados e não dependendo da segurança dos servidores ou dos dispositivos ou dos ambientes de nuvem em que estão, mas como podemos proteger o dados onde quer que estejam e onde quer que estejam armazenados, em ter a detecção e visibilidade corretas em torno da movimentação de dados e quais dados estão sendo movidos e para onde, e também compreender e ser capaz de sobrepor esses requisitos sobre como os dados são armazenados, onde e como são protegidos.

E existem capacidades que existem, mas hoje muitas vezes estão fragmentadas. Quanto mais pudermos automatizar isso, fazê-lo em tempo real e obter uma boa visibilidade de onde nossos dados estão armazenados, como estão protegidos, quem os acessa e se estamos em conformidade com eles de forma automatizada e em tempo real. É aí que realmente precisamos chegar e acho que ainda há muita inovação possível e necessária para chegar lá.

Jason Clark: Você disse que a palavra tempo real é muito importante porque eu diria que a maioria das pessoas ainda encara o risco como uma única vez. Mandei os Quatro Grandes virem e fazerem uma avaliação de risco. Eu estava conversando com uma instituição financeira muito grande e o CISO adjunto disse que estava planejando uma avaliação de risco anual do Office 365. Eu penso: "Mas isso muda amanhã dependendo das novas vulnerabilidades ou dos novos dados que existirem. Eu fico tipo, 'Por que você faria isso uma vez por ano?' Como você conduziu mais avaliações de risco em tempo real de sua nuvem ou infra-estrutura?

Gary Harbison: Sim. Acho que, como todo mundo, ainda estamos descobrindo um pouco disso. Penso que, como disse, tradicionalmente, encaramos as avaliações de risco como sendo um momento no tempo. Talvez você faça uma avaliação anual ou, se estiver avaliando terceiros, reavalie-os em intervalos periódicos com base no risco. Mas acho que obter essa avaliação de risco em tempo real é realmente o objetivo que todos estão se esforçando para chegar. Há mais automação e mais dados que podemos transmitir dos dispositivos e obter visibilidade em tempo real. Mas acho que a importância é ter visibilidade e compreender a segurança do ambiente de nuvem ou das cargas de trabalho em que estão ou das plataformas em que os dados estão e ser capaz de sobrepor a visibilidade automatizada que temos com o contexto de negócios para entender a importância da gravidade desse ativo. Acho que é isso que nos ajuda a fazer uma avaliação de risco em tempo real e a compreender como estamos gerenciando isso em nosso ambiente.

Jason Clark: Sim, sim. Concordar. Acho que você acabou de descrever um dos meus temas favoritos, que é SASE, certo? Borda de serviços de acesso seguro, e todo o propósito disso é mover o perímetro de segurança e pegar todas as tecnologias mais antigas e fundi-las em um ponto de inspeção que pode ser perfeito para você. Uma vez você disse que, na verdade, você desenhou no meu quadro e nunca esquecerei a frase. E você disse: Nirvana para mim é quando os controles de segurança seguem meus dados aonde quer que eles vão. E acho que o SASE é um elemento disso. Qual é a sua opinião sobre a vantagem dos serviços seguros e o que o Gartner está fazendo ao criar esse MQ e o impacto, com que rapidez você acha que isso será adotado na empresa por seus pares? E como parte disso, como as equipes de segurança e de rede começam a convergir e se unir para executar isso?

Gary Harbison: Claro. Então eu acho que o movimento para chegar ao tipo de modelo SASE onde você essencialmente da mesma forma que estávamos discutindo o conceito de filosofia de castelo e fosso onde temos um perímetro ao redor de nossa rede como a parede ao redor de um castelo e as coisas que estão dentro são boas, as coisas que estão fora são ameaças e temos que defender as muralhas. Isso realmente está passando por nós e já passou por nós há algum tempo. Então, o conceito de entender que teremos dados hospedados em muitos ambientes, múltiplas plataformas SaaS, múltiplos ambientes de infraestrutura como serviço, teremos funcionários trabalhando em qualquer lugar, teremos terceiros partes que precisam de acesso a dados para colaborar e impulsionar a inovação e vamos migrar para a nuvem.

O futuro de permanecer no local provavelmente acontecerá em determinados cenários únicos ou onde você possa ter operações localmente, como um local de fabricação. Mas, caso contrário, muito disso irá para a nuvem e, para fazer isso bem, teremos que ser capazes de proteger em qualquer lugar e acessar de qualquer lugar. Então isso exige o conceito de ter o que antes era seu perímetro na nuvem. Em seguida, ele precisa ser capaz de ficar virtualmente na frente daquilo que você está protegendo, onde quer que esteja, e também precisa ficar na frente do acesso de seus funcionários ou usuários, protegê-los e também filtrar seu acesso ao ativos que eles estão tentando acessar.

Então, eu realmente sinto que esse será mais o modelo futuro e acho que a maioria das empresas está pelo menos olhando para ele ou considerando-o. O cronograma da rapidez com que eles adotam ou adotam essa arquitetura em geral e essa implementação provavelmente depende do tipo de negócio que são, quais são seus requisitos, onde operam, em que setor atuam, quais requisitos regulatórios possuem. Portanto, todos podem implementá-lo em uma velocidade diferente, mas não conversei com muitas empresas que não estejam pelo menos olhando para isso e construindo uma estratégia em torno disso.

Jason Clark: Isso não é apenas um fator da rapidez com que eles estão migrando para a nuvem, da rapidez com que estão adotando o SaaS, certo? Porque nesse ponto, você está tão esticado. Há um ponto de inflexão, há uma porcentagem da quantidade de aplicativos e dados na nuvem ou de usuários móveis que não estão na minha rede e, em algum momento, não tenho escolha.

Gary Harbison: Absolutamente. A velocidade será impulsionada pelo negócio. E como tantas coisas, sempre tento relacionar que quando olhamos para uma estratégia ou roteiro de segurança, essas coisas não estão lá só porque uma equipe de segurança acha que a tecnologia é mais legal, queremos fazer alguma coisa. Você constrói seus projetos em torno de três tipos de drivers. Você tem motivadores de negócios onde precisamos implementar algo para permitir que o negócio avance rapidamente e atinja seus objetivos. Precisamos implementar algo para abordar um conjunto de riscos que temos dentro da empresa, ou precisamos implementar algo impulsionado pelas ameaças e pela evolução do cenário de ameaças. Portanto, na linha do tempo, estamos sempre equilibrando essa linha do tempo com três tipos de motivadores sobre a rapidez com que nos movemos. Então, falando sobre o que você quer dizer, Jason, eu absolutamente acho que muito disso é impulsionado pela rapidez com que o negócio está migrando para a nuvem e, então, precisamos ter certeza de que alinharemos esses recursos para que eles estejam prontos para permitir que o negócio Siga em frente.

Na segunda parte da sua pergunta sobre mudanças organizacionais, acho que as equipes de rede e as equipes de segurança sempre trabalharam em estreita colaboração e, ao longo do tempo, surgiram diferentes modelos sobre onde ficam alguns dos controles de infraestrutura, se eles ficam no rede eles fazem parte da equipe de segurança, mas sempre houve essa parceria, não importa como funcionasse. E o que vejo no futuro é que a rede vai mudar para as equipes de rede, mas não acho que o conceito de acesso através de uma rede e de pacotes fluindo pela rede não vá desaparecer. Sempre haverá necessidade de talentos de rede, mas esse talento de rede precisa evoluir.

Se alguém se vê como um roteador ou switch e construindo essas redes, isso vai mudar significativamente à medida que você começar a ver redes definidas por software e, essencialmente, as empresas estão indo para a Amazon, Google ou AWS... Sinto muito, Microsoft, e eles estão criando data centers na nuvem. Portanto, as equipes de rede precisam entender que, no futuro, as redes serão construídas mais por código do que por dispositivos conectados fisicamente. Portanto, a necessidade de talento e experiência em redes sempre existirá, mas isso terá que ser requalificado e evoluído para entender como garantir a entrega de serviços e conectividade de uma forma mais moderna no futuro. E acho que sempre haverá uma cooperação estreita entre segurança e redes.

Jason Clark: Então, tudo bem. Apenas repetindo. Então você tem pessoas focadas e hiperfocadas na LAN e sempre terá coisas locais. Certo. E então vejo que isso provavelmente será mais uma função da engenharia de desktop em algum momento, mas você tem as equipes de roteamento que estão tentando levar seu usuário a um aplicativo. É tudo uma questão de acesso. O trabalho deles é levar os usuários a esses dados, mas como esses dados, como esse usuário está cada vez mais fora da rede usando a Internet e esses dados, mais importante, não estão cada vez mais armazenados em seu data center, estão na nuvem, é em aplicativos SaaS, está em 365. À medida que esse pêndulo muda e digamos que 70% dos seus dados, certo? Então, agora, 70% do tempo, você está usando a Internet onde a rede está acontecendo, mas, em essência, você está terceirizando a rede para quem está administrando essa rede e ainda há controles com os quais você precisa se preocupar.

Então, esse pensamento de rede não acaba indo para a equipe de segurança proprietária daquele ponto de inspeção, porque você ainda precisa ter esse ponto de inspeção para segurança ou vai para aquela organização de infraestrutura em nuvem para a qual você está terceirizando ou vai para a equipe do aplicativo. Então, acho que o que estou dizendo é: não existe um ponto de mudança de pêndulo onde a rede... Tive uma equipe de rede muito grande no passado, quando estava na Emerson, que tinha 2.000 locais. Mas onde está o ponto em que se você fosse um networker hoje, se seu filho fosse um engenheiro de rede, onde você o aconselharia a começar a pensar e a aprender e em qual organização talvez começar a pensar em ingressar quando começar a entrar? outras organizações.

Gary Harbison: Agora, boa pergunta e acho que os engenheiros de rede como os conhecíamos no passado, isso vai mudar significativamente, como eu disse, mas dependendo do tipo de empresa que você é, se você for totalmente cloud- empresa sediada e seus locais locais são, em sua maioria, edifícios de escritórios onde trabalhadores do conhecimento trabalham. Sim, haverá muito pouca necessidade de networking. Você pode configurar a conectividade local em seu prédio, conectar-se à nuvem e ter segurança baseada na nuvem. Para empresas com vários locais globais, locais de fabricação, laboratórios e outros tipos de locais, você provavelmente ainda terá uma WAN global conectando parte disso. Portanto, não acho que a experiência em rede vá embora e você ainda precise unir esse ambiente local aos seus ambientes de nuvem, o SD-WAN começa a entrar.

Portanto, há necessidade de experiência em rede. No seu ponto, para onde vai, muito provavelmente depende do tipo de empresa, da estrutura de TI. Em uma empresa que é principalmente de tecnologia, isso pode estar apenas incorporado às equipes de DevOps, certo? Em uma empresa que talvez tenha atividades de fabricação mais tradicionais, você ainda poderá ver uma equipe de networking que precisa fazer parte desse trabalho, mas precisa trabalhar muito mais estreitamente com outras equipes do que nunca. Portanto, não sei se haverá uma resposta para isso. Acho que, para você, isso pode acabar em várias outras equipes.

Jason Clark: O que você diria ao seu filho pedindo conselhos sobre o que aprender?

Gary Harbison: Eu sempre encorajaria qualquer pessoa que esteja entrando em TI a ampliar ao máximo seu conhecimento básico dos elementos fundamentais de TI. E uma coisa que vi que perdemos na indústria nos últimos 10 a 15 anos é que incentivamos muito as pessoas a se especializarem. Quando você começa a solucionar um problema muito complexo, não restam muitas pessoas que entendam como tudo se encaixa e funciona junto. Então, eu os encorajaria a aprender tantas áreas diferentes e então descobrir em qual equipe eles querem entrar.

Jason Clark: Ok. Com isso, você e eu passamos muito tempo juntos tentando ajudar a indústria desde uma inovação. Você e eu trabalhamos juntos em um monte de coisas de startups e VCs. Mas também, juntos, criamos a Aliança de Consultores de Segurança com foco em tentar ajudar na lacuna de competências e na lacuna de diversidade na segurança. Talvez fale um pouco sobre por que isso é importante para você e por que você faz parte dessa organização.

Gary Harbison: Absolutamente. Acho que qualquer pessoa que esteja construindo uma organização de segurança, gerenciando uma organização de segurança, vê que há uma enorme lacuna de talentos. Há uma lacuna de talentos nos números em geral. Há uma lacuna de talentos em termos de profundidade de conhecimento. Há uma lacuna de talentos em torno da diversidade geral que você mencionou. E parte disso decorre da primeira pergunta que você me fez sobre como muitas pessoas entraram na área de segurança desde o início. Você entrou nisso porque conseguiu um papel em algum lugar onde aprendeu no trabalho. Muitas pessoas vieram do governo, das forças armadas, talvez dos serviços financeiros, que estavam um pouco à frente em alguns dos tópicos de segurança nos primeiros dias, mas não havia muitos ou nenhum, mesmo no início, programas universitários para aprender segurança. E então você realmente precisava conseguir um emprego para aprender e isso simplesmente não aumentou quando a explosão e a demanda continuaram a aumentar ano após ano.

E agora estamos tentando chegar lá, há muitas universidades impulsionando programas que continuam a evoluir isso, mas como indústria, acho que precisamos realmente ver como também ajudamos a criar a próxima geração de profissionais de segurança para ajudar preencher essa lacuna e é por isso que, desde o início, sempre fui tão apaixonado pela Security Advisor Alliance em dizer: como podemos resolver essa lacuna? Como podemos levar as crianças do ensino fundamental ao ensino médio e deixá-las entusiasmadas com a segurança cibernética como uma possível carreira e também protegê-las, ajudá-las a entender como se protegerem porque a Internet é um lugar perigoso para as crianças mais novas. Portanto, aumentamos a conscientização deles, o que lhes permite se proteger, mas também os deixa interessados em um campo para o qual possam eventualmente ingressar.

Acho que ajudar os profissionais existentes a continuarem a crescer como líderes. Precisamos que a próxima geração de líderes avance com ideias inovadoras e apresente novas formas de resolver os problemas que enfrentamos. E então a terceira peça, e provavelmente uma das maiores, é a lacuna de diversidade. Para uma indústria que está lutando para encontrar talentos, não estamos aproveitando enormes porções da população que poderiam trazer novas ideias em novas formas de pensar e realmente nos ajudar a impulsionar as coisas. E então acho que realmente precisamos pensar em como lidar com a inclusão e a diversidade geral na segurança cibernética. E se formos capazes de fazer isso, veremos uma melhoria não apenas nos números, mas em geral na diversidade de pensamento e criatividade na indústria em geral. Então, acho que é algo que todos nós, como profissionais e líderes de segurança, deveríamos pensar: como podemos ajudar a indústria em geral?

Jason Clark: Sim. E obrigado por tudo o que você fez pela indústria. Você obviamente investiu muita energia no que acabamos de falar, mas também criou esse programa de segurança, o programa de mestrado com Lamont na WashU, certo? Então, talvez como surgiu essa oportunidade e mais alguma coisa que você queira dizer sobre onde isso precisa ir e o que as escolas de ensino médio deveriam fazer?

Gary Harbison: Claro. Então acho que surgiu a oportunidade na WashU, eles estavam criando o programa de mestrado em segurança cibernética. E eu realmente gostei da abordagem deles, que é que eles estavam procurando profissionais da indústria para entrar e realmente serem instrutores adjuntos para que seus alunos pudessem realmente obter um mundo real, um tipo de ensino da vida real e exemplos e conteúdo provenientes de profissionais que estão incorporados em diariamente para construir esta próxima geração de profissionais de segurança. Então eu acho que tem sido ótimo. Conversei com eles inicialmente, com Lamont e eu, e também trabalhando com Eric Kruse. Na verdade, ele era aluno de uma de nossas aulas e depois se tornou co-adjunto conosco em nossa aula de segurança na nuvem. Eu realmente gosto de tentar ajudar estudantes universitários que estão chegando a aprender mais sobre isso e alguns que já estão em sua profissão querendo se desenvolver mais.

E por isso é muito gratificante ajudar outros a aprender, crescer e desenvolvê-los, mas, ao mesmo tempo, ajudando, esperançosamente, a construir algo que possa ser repetido na indústria. E assim estes outros programas começam a multiplicar-se à força e ajudam-nos a colmatar a lacuna de talentos. Então acho que é algo muito gratificante e acho que o próximo é olhar para cada extremidade desse pipeline. Então, A, como podemos ajudar os indivíduos no ensino médio a descobrir como entrar nesses programas? Recebo muitas perguntas de pessoas que conheço localmente, pois alguns desses alunos estão saindo do ensino médio e realmente não sabem como ou por onde começar. Então, como podemos ajudá-los a se conectar ao pipeline. Então, como veremos como unir os indivíduos que saem desses programas e prepará-los para assumir uma função nessas empresas e começar suas carreiras? Portanto, acho que o espaço educacional geral está fazendo um trabalho melhor na criação dos programas, mas temos que abordar cada extremidade do processo para realmente começar a resolver o problema geral.

Jason Clark: Adorei. Perfeito. Então é engraçado, Gary. Estamos sentados aqui e ouço seus e-mails chegando ao Outlook e, obviamente, há um fluxo constante de informações chegando até você e seu trabalho é super estressante. Acho que o trabalho de CISO é provavelmente um dos trabalhos de nível C mais difíceis que existem por vários fatores, mas como você o acompanha? Qual é o segredo para escalar? Como você acompanha as novidades, os relatórios de inteligência, as mudanças nas tecnologias, as inovações, entendendo quais são os seus riscos e o que o seu negócio está fazendo ao mesmo tempo, tudo isso. Você tem um segredo sobre como se manter à tona com tudo isso?

Gary Harbison: Boa pergunta e esse é o desafio. Há tanta informação por aí que consumi-la de forma significativa é sempre difícil. Tento identificar certas fontes de notícias e agregações, dando-me um resumo das manchetes e, em seguida, tento me concentrar nos tópicos que desejo atualizar ou manter-me atualizado. Portanto, qualquer coisa que possa agregar algumas dessas notícias ou dados e atualizações externamente é sempre útil. Acho que a segunda parte é usar sua rede. Então, conversar com seus colegas tanto externa quanto internamente e ouvir deles o que são importantes para eles e realmente ouvir o que estão vendo por aí. Acho que essa é sempre uma segunda maneira de manter o controle sobre o que está acontecendo. E a terceira parte é ter uma boa equipe ao seu redor e então sua equipe está conectada e sabe o que você precisa saber para mantê-lo atualizado. Então, a rede, a equipe e depois apenas descobrir como agregar as informações em tópicos significativos de alta prioridade que você deseja abordar rapidamente.

Jason Clark: Acho que um dos seus segredos, Gary, e bons CISOs fazem isso, certo? Você contrata outros CISOs e contrata pessoas que foram CISOs em outros lugares ou muitas pessoas que poderiam ser CISOs em qualquer lugar e isso lhe dá uma vantagem porque eles conhecem seu trabalho. E então eles não estão focados apenas em seu silo.

Gary Harbison: Concordo plenamente. Ter uma boa equipe é sempre o elemento número um do sucesso e cercar-se de pessoas que têm muito conhecimento, são muito boas, têm alto grau de responsabilidade e também, às vezes, que são boas em coisas que você não é. Compreender suas lacunas e ter ao seu redor pessoas que sejam boas em outras coisas ou que possam desafiar seu pensamento é sempre bom.

Jason Clark: Sim. Então, se você pudesse voltar ao que era quando se tornou um CISO, o que diria ao novo CISO, Gary.

Gary Harbison: Inicialmente, lembro que assumi a primeira função, estava realmente reconstruindo a equipe, tinha uma série de funções de equipe de liderança abertas, uma série de outras funções de líder importantes abertas na organização. Nosso negócio estava passando por uma série de mudanças e por isso já havia muita emoção. Havia realmente muito pouca estabilidade e tudo estava mudando. Houve muito trabalho que eu estava tentando preencher várias funções ao mesmo tempo e foi um começo estressante. Então acho que com o tempo você aprende a priorizar. E, por exemplo, finalmente percebi que precisava dar um passo para trás e me concentrar em preencher algumas das funções, porque não era sustentável para mim continuar a preencher três, quatro ou cinco outras funções abertas além das minhas. Então eu tive que tentar delegar parte do que estava acontecendo para pessoas que poderiam manter isso funcionando ou cuidar um pouco dos incêndios enquanto eu saía e contratava o pessoal para entrar e assumir essas responsabilidades.

Portanto, priorizar as atividades certas e ser capaz de fazer isso em meio ao caos e à mudança. Então acho que isso é algo que aprendi com o tempo. E acho que a segunda parte é esperar mudanças constantes, mas nem sempre haverá um status quo. O mundo está mudando rapidamente, a tecnologia está evoluindo rapidamente. As empresas estão passando por transformações digitais. O talento geral, a guerra contra o talento e a mudança de pessoas estão acontecendo. Portanto, nada realmente permanece estático. Então, a cada dia, você precisa estar pronto para novos desafios e ser capaz de se adaptar e continuar avançando nisso. E então perceber que isso é o normal, que não existe realmente um normal, o normal é a mudança, acho que só ajuda você a colocar tudo em perspectiva.

Jason Clark: Então, com essa mudança, vamos avançar para 2030. (cantoria)

Daqui a nove anos, qual você acha que é o maior problema que a segurança enfrenta no futuro? Obviamente, a nuvem está acontecendo agora. Tudo o que sabemos está acontecendo agora, mas o que ninguém está falando agora será um problema no futuro.

Gary Harbison: Eu acho, e tudo já está acontecendo de alguma forma, mas acho que no futuro, uma das coisas que nós, como profissionais de segurança, estamos apenas começando a entender completamente, mas acho que os consumidores, nós, como consumidores em nossa vida pessoal vidas vão ocupar mais a nossa cabeça é que áreas nas quais nunca pensamos, em que seríamos impactados pela segurança cibernética no mundo físico, serão cada vez mais no futuro. Já temos aparelhos conectados e com endereço IP na internet e eles estão voltando e você pode gerenciá-los centralmente. A segurança de nossas casas, nossos veículos e nossos carros e a segurança de dirigir carros, cada vez mais transporte público e infraestrutura crítica.

À medida que o digital entra em cada vez mais aspectos da nossa vida física e essas coisas podem ser afetadas pela segurança cibernética, penso que isso é algo que todos ainda não apreciaram totalmente. É um impacto muito, muito grande quando você observa uma grande violação de uma empresa e talvez um impacto nos dados pessoais e outras coisas. Mas quando começarmos a entrar em cenários de perda de vidas em torno de ataques à segurança cibernética, penso que isso definitivamente continuará a mudar a forma como encaramos o risco e como abordamos a segurança cibernética. Jason Clark: Sim. Então, há algo em que, ao pensar sobre esse problema, todos os programas de segurança ou CISOs deveriam estar pensando ou pelo menos investindo, mesmo potencialmente, para chegar à frente disso?

Gary Harbison: Acho que uma das coisas em que investir é garantir que você tenha uma estratégia voltada para o futuro e que essa estratégia não seja algo que remonta à nossa conversa anterior, que você constrói uma vez e coloca na prateleira e revisa anualmente como você está olhando e se preparando para seus projetos no próximo ano e constrói um roteiro de três anos e acredita que vai persistir exatamente porque a realidade é que provavelmente não o fará e estará reavaliando as prioridades trimestralmente. Você sempre tem que ser capaz de manter os olhos no horizonte do que está por vir e então estar preparado e não esperar até que esteja bem na sua porta e agora você tenha que reagir. Não sei se existe uma tecnologia específica ou algo para o qual você se prepara, mas é como você opera e mantém sua estratégia, como você continua a avaliar e fazer ajustes com base nas mudanças ao seu redor.

Jason Clark: Acho isso perfeito. Basicamente, você está dizendo para ser estratégico em seu planejamento de longo prazo e, ao mesmo tempo, saber que isso vai mudar, que os ventos vão mudar. Ao olhar para o horizonte, você precisa ajustar e mudar suas táticas, mas permanecendo com a verdadeira Estrela do Norte de qualquer que seja o destino, quando você conhece os problemas que surgirão no futuro. Então isso faz sentido. Então as últimas perguntas são respostas rápidas, certo? (cantoria)

Então, a primeira é se há um talento ou habilidade que não está em seu currículo. Pode ser pessoal ou algo assim.

Gary Harbison: Eu diria que uma coisa que acho que me ajudou em minha carreira, que sempre recebi feedbacks e avaliações finais ou de colegas e outras pessoas, é a capacidade de manter e permanecer equilibrado e olhar para os dois lados de qualquer problema ou qualquer questão ou risco, de ser capaz de manter a calma mesmo em situações contenciosas ou de alta pressão e ser capaz de analisar problemas complexos e descobrir como começar a avançar ou fornecer soluções. Então, acho que confiei mais nesses tipos de habilidades sociais, tanto quanto confiei em habilidades mais técnicas.

Jason Clark: Então é super importante, certo? Ser capaz de ficar calmo com todas as coisas que acontecem quando você tem muitos incidentes acontecendo, tentando ser capaz de focar e realmente ser capaz de pensar e buscar com clareza e não reagir. Então essa é uma habilidade especial. Então, segunda pergunta, qual é o seu domínio favorito em

Gary Harbison: Boa pergunta. Acho que se olhar para trás, para minha formação mais técnica, ainda o espaço mais emocionante que ainda pode gerar entusiasmo e adrenalina é olhar para o espaço de ameaças e os ataques e como continuamos a enfrentá-los e responder a eles. É estressante, mas é emocionante e é aquele jogo de xadrez contínuo. Então eu tenho que dizer que quando eu começo a me sentir sendo puxado de volta para o mato, eu costumo fazer isso porque sempre foi interessante.

Jason Clark: Certo. E é o nosso propósito, certo? É defender-nos contra este adversário crescente que inova ainda mais rapidamente do que nós. E a última pergunta, se você não estivesse na segurança, o que estaria fazendo?

Gary Harbison: Essa é uma ótima pergunta, não tenho muita certeza. Ao sair da faculdade, eu não tinha certeza do que queria fazer. Era tudo, desde ser contador até possivelmente mecânico ou eletricista e sistemas de TI. E ao longo da minha carreira, tive a sorte de surgir oportunidades e sempre avaliei o que posso aprender com uma nova oportunidade e o que posso trazer para a oportunidade de continuar a melhorar as coisas. Então não sei exatamente o que estaria fazendo, mas acho que seria algo que sempre teria um novo desafio e muita mudança. E acho que algo que sempre me atraiu na segurança é o fato de que nunca houve dois dias iguais. Há sempre um novo desafio e sempre requer uma nova perspectiva todos os dias.

Jason Clark: Bem, incrível. Bem, é só para isso que temos tempo. Então Gary, isso foi incrível. Eu sei que poderíamos ter feito isso por um dia inteiro e nos divertir indo e voltando, especialmente se tomássemos uma cerveja. E é isso que faremos na próxima vez, mas obrigado. Houve alguma coisa no encerramento que você gostaria de deixar para os ouvintes?

Gary Harbison: Não. Gostaria apenas de agradecer a todos que apareceram e ouviram este podcast. E obrigado, Jason e equipe, por me receberem como convidado hoje. Gostei de conversar sobre isso e estou ansioso para fazê-lo tomando uma cerveja na próxima vez.

Jason Clark: Incrível. Bem, ótimo. Bem, tenha um ótimo fim de semana e aproveite o clima.

Gary Harbison: Obrigado, você também Jason. Tomar cuidado.

Patrocinador: O podcast Security Visionaries é desenvolvido pela equipe da Netskope. Procurando o formato certo de plataforma de segurança em nuvem para possibilitar sua jornada de transformação digital? O Netskope Security Cloud ajuda você a conectar usuários com segurança e rapidez diretamente à Internet, de qualquer dispositivo a qualquer aplicativo. Saiba mais NETSKOPE.com.

Produtor: Obrigado por ouvir Security Visionaries. Reserve um momento para avaliar e comentar o programa e compartilhe-o com alguém que você conhece que possa gostar. Fique ligado nos episódios que serão lançados a cada duas semanas e nos vemos no próximo.