Clarke Rodgers:
Es muy, muy interesante. Comenzaste el programa de seguridad en AWS, por lo que conoces AWS de principio a fin, cómo protegerlo, las amenazas que se le presentan, el apetito por el riesgo, etcétera. A medida que pasaste al puesto de CSO, ahora puedes obtener información sobre amazon.com o lo que llamamos tiendas internas, Whole Foods, Prime Video, MGM, Twitch y todas estas organizaciones diferentes.
En primer lugar, ¿cómo te pusiste al día con el perfil de seguridad de cada una de esas empresas y el apetito por el riesgo? Y, luego, ¿cómo lograste combinar todo? Así que el término común, la visión única y unificada con la que te sentías seguro de que el perfil de riesgo de Whole Foods era apropiado, el de AWS también era apropiado para AWS, ¿cómo resolviste todo eso?
Steve Schmidt:
Bueno, en primer lugar, una de las cosas que me encantan de mi trabajo es la diversidad de las empresas. La gente suele decir llevas 16 años en tu puesto. Eso es muy inusual para alguien en la industria de la seguridad. ¿A qué se debe? Se debe a la diversidad de trabajos que tiene esta empresa. Es una oportunidad para seguir aprendiendo, y es que me encanta.
No soy tan joven. La gente dice: ¿cuánto tiempo vas a seguir trabajando? ¿Te vas a jubilar, como sea? Y digo: bueno, me estoy divirtiendo. No, no quiero hacerlo. Realmente me divierto mucho. Y esto se debe a que se pasa de crear el proveedor de nube más grande del mundo a colocar satélites en el espacio y administrar tiendas de comestibles, y esa diversidad es simplemente un desafío increíble desde el punto de vista empresarial, pero también es una oportunidad interesante para aprovechar la escala de la empresa y sea menos costoso operar todo.
Si nos fijamos en las organizaciones de seguridad operativas, no son baratas. Pero cuando puedes escalarlo en una empresa tan grande como la de Amazon, significa que el costo unitario puede reducirse.
Clarke Rodgers:
Seguro que sí.
Steve Schmidt:
Por lo tanto, cada empresa se beneficia de la escala de las demás empresas. Por lo tanto, encontrar formas en que una tienda de comestibles pueda aprovechar la misma seguridad que una empresa satelital, cosa que pueden hacer en muchas áreas, por ejemplo, la gestión de vulnerabilidades, ya sea que se utilice un parche en un sistema informático, realmente no hay diferencias entre construir satélites y gestionar una tienda de comestibles.
Y eso nos permite hacer las cosas a un nivel que una empresa independiente realmente no podría permitirse y sube el vara para todos. Y parte de mi trabajo aquí consiste en garantizar que tengamos una vara estandarizada en toda la empresa, ya sea para la gestión de vulnerabilidades o la respuesta a incidentes o para cualquiera de los demás componentes que forman parte de una organización de seguridad típica.
Luego, averiguar cuáles son los componentes personalizados que deben implementarse para empresas particulares debido a sus situaciones únicas. De esa forma, no intentamos aplicar una talla única para todos, porque eso solo elevaría los costos por las nubes. Si nos fijamos en un negocio de comestibles, por ejemplo, la pérdida de una unidad allí tiene un valor relativamente reducido al mínimo, mientras que la pérdida de un satélite es todo lo contrario.
Clarke Rodgers:
Seguro que sí.
Steve Schmidt:
Por lo tanto, tenemos que adaptar la situación de seguridad a los componentes individuales.
Clarke Rodgers:
¿Cómo los responsabilizas...? Voy a aclarar un poco. Hay directores de seguridad de la información que dirigen los programas de seguridad de cada una de estas empresas. ¿Cómo los responsabilizas por la gestión del negocio de seguridad de ellas?
Steve Schmidt:
Bueno, una de las cosas en las que Amazon se centra mucho en toda la empresa es la idea de un propietario por un único subproceso. Alguien cuyo trabajo es centrarse en un componente de algo. Y en materia de seguridad, por eso tenemos un CISO para cada empresa individual por dos motivos.
Una es que quiero a alguien que todos los días se centre en eso, ya sea Amy Herzog, que se dedica a los dispositivos y el espacio Kuiper, o si es Chris Betz quien se ocupa de AWS. Pero al mismo tiempo utilizo medidas comunes en todas esos aspectos. Por ejemplo, observo una revisión empresarial mensual sobre la gestión de vulnerabilidades, que abarca a toda la empresa y utiliza los mismos números, las mismas metodologías, los mismos métodos de presentación, etcétera.
Por lo tanto, tenemos una visión común que es uniforme en cada una de esas empresas. Y nos permite hacer dos cosas. Una es asegurarnos de que cumplimos con los requisitos que exigimos y la segunda es garantizar que aplicamos la visibilidad que queremos en todos los rincones de la empresa. Porque muy a menudo cuando la gente tiene problemas es cuando piensa: oh, esto no es algo importante, se trata de una pequeña parte, etcétera.
Y ahí es donde entra el malo y nos golpea a todos. Entonces, con esta visión a 10000 pies de altura nos aseguramos de hacer las cosas que necesitamos hacer en cada parte de la empresa.
Clarke Rodgers:
Además, tiene sistemas centralizados bajo el paraguas de seguridad de Amazon o AMSEC que todos pueden aprovechar.
Steve Schmidt:
Por lo tanto, hay muchas cosas que son básicamente las mismas en todas nuestras empresas. La forma en que recopilas ciertos tipos de datos, la forma en que los analizas o elaboras informes al respecto y, en lugar de hacer que cada empresa individual haga lo mismo una y otra vez, decidimos trasladarlos a un solo lugar. Esto nos permite ahorrar en cosas como el tiempo de los desarrolladores.
Por lo tanto, si piensas en operar a gran escala, volveremos a la gestión de vulnerabilidades, un motor de recopilación para eso, debe contar con ingenieros de guardia. Si alguna vez has dirigido una organización de guardia, que tienes, piensas tener una persona de guardia, pero debes tener aproximadamente otras siete personas para hacerlo de manera efectiva y poder acomodar licencias, vacaciones y todo lo demás.
Clarke Rodgers:
Queremos que la gente se tome vacaciones.
Steve Schmidt:
Es cierto. Por lo tanto, al distribuirlo entre un montón de empresas diferentes desde un solo lugar, significa que lo hacemos de manera más eficaz porque obtenemos mejores herramientas de forma centralizada y a un costo menor.
Clarke Rodgers:
¿Qué prácticas has desarrollado o seguido para informar al consejo de administración de Amazon sobre el estado de la seguridad en todas estas empresas tan dispares?
Steve Schmidt:
El consejo de Amazon, en primer lugar, es realmente interesante. Hay muy pocas juntas directivas que tengan la perspicacia técnica entre su población como la junta directiva de Amazon, pero Amazon también decidió hace varios años crear un subcomité de seguridad. Así que, a diferencia de muchos lugares en los que la seguridad puede rendir cuentas al comité de auditoría, por ejemplo, hay un grupo dedicado de personas cuyo trabajo consiste simplemente en analizar la seguridad en el consejo de administración de Amazon.
Eso es fantástico y también significa que hay mucho escrutinio sobre nosotros en el proceso. Así que hemos tenido que crear un mecanismo de presentación de informes que evolucione con el tiempo por dos motivos. Una es porque mejoramos en nuestro trabajo de presentación de informes. Y la segunda es que la junta directiva se informa aún mejor con el tiempo. Hacen preguntas más puntuales y quieren saber detalles más específicos sobre los nichos del negocio. Por lo general, creemos que es importante informarles sobre los componentes específicos de la empresa cada vez que hablamos. ¿Llegamos a cumplir la exigencia de seguridad en ciertas áreas?
Además, tienen cosas que les interesan mucho, cuéntanos sobre esta parte en particular del negocio o sobre algo en lo que nos estamos metiendo y creemos que implica muchos riesgos, así que haznos un resumen de bla, bla, bla. Y eso nos permite tener un componente consistente, un componente variable que se basa en sus intereses.
Y luego decidimos incluir algo llamado eventos actuales al final, en el que tomamos todo lo que has visto en las noticias, lo resumimos en cosas que creemos que tienen lecciones o puntos particulares para nosotros y, al final, lo presentamos a la junta como un componente informativo. Esto es algo que ocurrió en el sector, esta es la razón por la que no nos afectó.
Esta es la inversión que hizo que no nos viéramos afectados. Y creo que eso tiene un enorme valor para la junta. En primer lugar, entienden que estamos en una buena posición, pero en segundo lugar, ayuda a tomar decisiones de inversión informadas en el futuro. Así que cuando podemos decir que invertimos en la autenticación multifactor hace ocho o diez años y que gracias a ello ese actor de amenazas en particular que se incorporó a esta otra gran empresa no nos pudo afectar, dicen: bien, genial. ¿Cuáles son las otras inversiones que deberíamos planificar ahora que nos ayudarán dentro de 10 años a seguir evitando problemas?
Clarke Rodgers:
Muchos de nuestros clientes de CISO se centran mucho en la junta directiva. Algunos de ellos no reciben tanto FaceTime como otros. Y ya has dicho que nuestra junta es única debido a su conocimiento de la seguridad. ¿Qué recomendaciones les darías a tus colegas de CISO o a tus colegas de CSO que rinden cuentas a sus juntas directivas para que realmente les ayuden a entender sus puntos de vista, a hablar el idioma de la junta directiva, etcétera?
Steve Schmidt:
Bien, lo primero que me han dicho los miembros de la junta sobre por qué les gusta la forma en que hacemos las cosas es que tenemos mucho cuidado de evitar la jerga. Muchas personas en las funciones de CISO son técnicas y quieren informar sobre las cosas de manera que-
Clarke Rodgers:
Los bits y los bytes.
Steve Schmidt:
Exactamente, reflejan la forma en que piensan al respecto. Pero tenemos que recordar que la junta es el cliente aquí. Por eso, cuando les hacemos una presentación, tenemos que hablar su idioma y encontrar formas de explicar las cosas en un contexto que tenga sentido para esa junta en particular.
Por lo tanto, lo primero es encontrar un mecanismo de presentación de informes coherente en lugar de modificarlo una y otra vez, ya que básicamente eso dificulta que alguien lo entienda por completo. La segunda es averiguar cuáles son las dos o tres métricas realmente importantes que quieres transmitir allí en cada ocasión.
No ahogues a las personas con las métricas. Por ejemplo, siempre, siempre informamos sobre la gestión de vulnerabilidades. Es el control de seguridad fundamental más importante que operamos y creo que cualquiera lo opera y luego descubre cuáles son las cosas que terminan siendo complementos interesantes al final, que te ayudan a desarrollar en qué debemos invertir, así que haz una separación intencional entre los componentes del proceso de presentación de informes.
Clarke Rodgers:
¿Y si invertimos aquí, reducimos el riesgo aquí?
Steve Schmidt:
Sí, es una combinación de la reducción del riesgo actual y la reducción a futuro, y la visión a futuro es probablemente la parte más difícil de nuestro trabajo como profesionales de la seguridad, porque no tenemos una prueba de existencia para utilizarla. Y mucha gente lo mira y dice: ¿es realmente necesario?
¿Tenemos que hacerlo ahora mismo? ¿Tenemos que hacerlo a lo grande? ¿Podemos avanzar con más precaución? Esos son los argumentos que todos debemos tener y necesitamos poder construir ese tipo de base de conocimientos en la junta con el tiempo y decir: estos son los ejemplos de la explotación en el mundo real de cosas que tienen este aspecto y creemos que nos van a tocar en este período de tiempo, por lo que tenemos que actuar ahora o dentro de dos o tres años o lo que sea.
Clarke Rodgers:
Te entiendo. Por eso, en Amazon somos conocidos por nuestra innovación, por trabajar hacia atrás, escuchar a nuestros clientes, etcétera. Como líder de seguridad, tienes muchas opciones, y esto puede deberse a los CISO que tienes a cargo. Tiene muchas opciones sobre las herramientas que compras y las que necesita desarrollar. A menudo, eso se reduce a la escala.
Por lo tanto, el software comercial disponible puede o no escalar a la escala de Amazon y necesitas crear algo por tu cuenta. Durante el último año hemos hablado públicamente sobre herramientas como Madpot, Mithra y Sonaris. Como CSO, ¿cómo logras el argumento para obtener el dinero necesario para invertir los recursos de ingeniería en herramientas como esa, e imagino muchas otras herramientas de las que no hemos hablado? ¿Cómo se logra el argumento para decir que vale la pena tu inversión y que este es el valor que vamos a obtener de ellas?
Steve Schmidt:
Claro. Así que primero diferenciemos entre una herramienta comprada y algo que desarrollamos. Creo que es un punto de partida importante. Compraremos herramientas cuando sean un artículo básico. Así, por ejemplo, la respuesta de detección de puntos de enlace, la compramos en lugar de desarrollarla nosotros mismos. ¿Por qué? Porque las computadoras portátiles Mac, las computadoras portátiles Windows y las computadoras portátiles Linux que usamos son las mismas que usan muchas otras personas.
Es posible que tengamos un software un poco diferente, pero eso no diferencia realmente a nuestro negocio. Mientras que nosotros somos los únicos que podemos desarrollar un sistema a gran escala, como Madpot, por ejemplo. El sitio donde podemos desarrollar y donde nadie más puede hacerlo allí es donde tendemos a invertir.
La forma en que llevamos a cabo ese proceso de inversión es igual que muchas otras cosas que hacemos. Haces un prototipo, lo pruebas, ves qué funciona. Garantizas que no lo vas a hacer bien la primera vez. Así que tienes que ir y rediseñar algo, cambiarlo un poco, etcétera. Ahora Madpot ha tenido un éxito increíble, pero no apareció de la noche a la mañana. Es una inversión de muchos, muchos años que comenzó con un solo ingeniero que dijo: «Eh, me gusta mucho esta idea». Vamos a ver si puede llevar a algo interesante.
Y luego se convierte en este motor que nos permite adquirir datos de inteligencia sobre amenazas muy, muy oportunos que podemos extraer, procesar e incorporar a las herramientas de seguridad a las que tienen acceso todos nuestros clientes. Y creo que esa es la parte más importante. Así, por ejemplo, muchos de nuestros clientes dicen: «Oh, quiero un feed de inteligencia de amenazas sin procesar».
Y bueno, en realidad no, no es lo que quieres. Lo que realmente quieres son las cosas que son relevantes para ti en el contexto en el que estás operando ahora mismo. El resto es solo ruido y su volumen ahora es tan alto que no tiene sentido tratar de asimilarlo todo a menos que tengas un negocio como el nuestro.
Por eso, muchos de nuestros clientes han descubierto que realmente les gusta tomar cosas como la inteligencia sobre amenazas y consumirla como parte de un servicio gestionado. Y eso les permite no tener que dedicar tiempo a almacenar grandes cantidades de datos o a perder contexto, ya que no se ha aplicado a varios clientes.
Y lo del contexto es importante. Ahí es donde la visibilidad centralizada de que solo nosotros tenemos que volver a la parte original sobre la mercantilización frente a las creaciones personalizadas, realmente aporta ventajas.
Clarke Rodgers:
“¡Y luego supongo que el argumento interno, a falta de una palabra mejor, es que esto nos ayuda a proteger a AWS, supera a Amazon y añade beneficios a nuestros clientes. Quiero decir que es una victoria.
Steve Schmidt:
Y en el lenguaje típico de Amazon, empezamos primero con los clientes y decimos que esto ayuda a todos nuestros clientes a protegerse mejor. Y, al mismo tiempo, nos ayuda con nuestro negocio porque, de todos modos, la mayoría de nuestras empresas son clientes de Amazon AWS. Por lo tanto, es beneficioso en todos los ámbitos.