Clarke Rodgers:
Điều đó rất thú vị. Là người khởi xướng chương trình bảo mật tại AWS, chắc hẳn anh đã hiểu tường tận AWS, cách bảo mật, những mối đe dọa, mức độ chấp nhận rủi ro, v.v. Khi chuyển sang vai trò Giám đốc bảo mật, giờ đây anh phải tìm hiểu về amazon.com hay theo cách gọi nội bộ là các cửa hàng như Whole Foods, Prime Video, MGM, Twitch, những tổ chức khác nhau.
Đầu tiên, làm cách nào để anh nắm bắt được hồ sơ bảo mật cho các doanh nghiệp này và mức độ chấp nhận rủi ro rồi sau đó làm cách nào để anh kết hợp các dữ kiện này? Nhìn chung, cách quan sát nào mà qua đó anh thấy hồ sơ rủi ro cho Whole Foods là phù hợp hay hồ sơ rủi ro dành cho AWS cũng phù hợp với AWS, làm cách nào để anh tính toán ra tất cả những điều này?
Steve Schmidt:
Trước hết, một trong những điều tôi yêu thích trong công việc của mình là sự đa dạng của các doanh nghiệp. Mọi người thường nói rằng tôi đã ở vị trí này suốt 16 năm. Điều này thực sự hiếm có trong ngành bảo mật. Tại sao lại như vậy? Đó là vì sự đa dạng trong công việc tại công ty này. Đây là cơ hội để tiếp tục học hỏi, điều mà tôi rất thích.
Tôi không còn trẻ. Mọi người hỏi rằng tôi sẽ còn làm việc đến bao giờ? Bao giờ tôi sẽ nghỉ hưu? Tôi tận hưởng công việc của mình. Không, tôi không muốn nghỉ hưu. Công việc này thực sự rất thú vị. Đó là bởi vì tôi đi từ xây dựng nhà cung cấp đám mây lớn nhất thế giới đến đưa vệ tinh vào không gian và điều hành các cửa hàng tạp hóa và sự đa dạng này là một thách thức rất lớn từ góc độ kinh doanh, nhưng cũng là một cơ hội thú vị để tận dụng quy mô của công ty nhằm giảm chi phí vận hành.
Việc vận hành các tổ chức bảo mật không hề rẻ. Nhưng nếu có thể mở rộng quy mô trên một doanh nghiệp lớn như Amazon, chi phí theo đơn vị có thể giảm xuống.
Clarke Rodgers:
Chắc chắn rồi.
Steve Schmidt:
Do đó, tất cả các doanh nghiệp đều được hưởng lợi từ quy mô của các doanh nghiệp khác. Việc tìm ra cách giúp một cửa hàng tạp hóa có thể tận dụng cơ chế bảo mật tương tự một công ty vệ tinh để tận dụng trong nhiều lĩnh vực, ví dụ như quản lý lỗ hổng bảo mật, bản vá đã được cài đặt trên hệ thống máy tính hay chưa, về cơ bản không khác nhau là mấy, dù anh xây dựng vệ tinh hay vận hành cửa hàng tạp hóa.
Điều đó cho phép chúng tôi làm những việc ở cấp độ mà một doanh nghiệp độc lập thực sự không đủ khả năng chi trả và nâng cao tiêu chuẩn cho tất cả mọi người. Một phần công việc của tôi ở đây là đảm bảo rằng chúng tôi có một mức tiêu chuẩn trên toàn công ty, bất kể là quản lý lỗ hổng bảo mật, phản ứng sự cố, hay bất kỳ thành phần nào khác ở trong một tổ chức bảo mật điển hình.
Sau đó, chúng tôi tìm ra những thành phần tùy chỉnh, cần được trang bị cho từng doanh nghiệp cụ thể theo tình huống đặc thù của họ. Bằng cách đó, chúng tôi không cố gắng áp dụng giải pháp chung cho tất các doanh nghiệp vì điều đó sẽ chỉ làm tăng chi phí. Ví dụ: trong một cơ sở kinh doanh tạp hóa, việc mất một đơn vị hàng hóa ở đó sẽ chỉ gây tổn thất giá trị tương đối nhỏ, trong khi việc mất vệ tinh thì ngược lại.
Clarke Rodgers:
Chắc chắn rồi.
Steve Schmidt:
Do đó, chúng tôi phải điều chỉnh tình huống bảo mật theo các thành phần riêng lẻ.
Clarke Rodgers:
Anh làm cách nào để... Tôi xin được trình bày lại. Anh bố trí các giám đốc bảo mật thông tin điều hành chương trình bảo mật cho từng doanh nghiệp này. Làm cách nào để anh buộc họ chịu trách nhiệm về công việc bảo mật của mình?
Steve Schmidt:
Một trong những điều Amazon chú trọng trên toàn doanh nghiệp là khái niệm người phụ trách đơn nhiệm. Nghĩa là một người chỉ có nhiệm vụ tập trung vào một thành phần nào đó. Trong lĩnh vực bảo mật, có hai lý do chúng tôi bố trí một Giám đốc bảo mật thông tin cho từng doanh nghiệp riêng lẻ.
Thứ nhất là tôi muốn có những người mỗi ngày chỉ tập trung vào một công việc, như Amy Herzog trong mảng thiết bị và dự án Kuiper hay Chris Betz chăm lo cho AWS. Nhưng đồng thời tôi sử dụng các chỉ số đo lường chung trên tất cả các doanh nghiệp này. Ví dụ: tôi xem xét bản đánh giá doanh nghiệp hàng tháng về quản lý lỗ hổng bảo mật cho toàn bộ công ty với các số liệu, phương pháp luận, phương pháp trình bày, v.v. giống nhau.
Vì vậy, chúng tôi có được một góc nhìn chung đồng nhất về tất cả các doanh nghiệp đó. Điều đó cho phép chúng tôi làm hai việc. Một là đảm bảo rằng chúng tôi đang đáp ứng tiêu chuẩn cần thiết, hai là đảm bảo rằng chúng tôi đang áp dụng khả năng hiển thị mà mình muốn ở mọi ngóc ngách của doanh nghiệp. Bởi vì thường khi gặp vấn đề, mọi người sẽ nghĩ rằng: “Đây không phải là điều quan trọng”, “đây chỉ là chuyện nhỏ thôi”, v.v.
Chính đó là nơi kẻ xấu sẽ xâm nhập và tất cả chúng ta đều chịu tổn thất. Vì vậy, bằng cách áp dụng phương pháp giám sát tổng quát với mọi thứ, chúng tôi đảm bảo mình đang làm những việc cần thiết trong mọi bộ phận của công ty.
Clarke Rodgers:
Ngoài ra anh còn có các hệ thống tập trung thuộc phạm vi của bảo mật Amazon hoặc AMSEC mà mọi người đều có thể tận dụng.
Steve Schmidt:
Có rất nhiều thứ mà cơ bản là giống nhau trong tất cả các doanh nghiệp của chúng ta. Đối với cách thu thập một số loại dữ liệu nhất định, cách phân tích hoặc báo cáo về dữ liệu đó, chúng tôi quyết định chuyển chúng vào một địa điểm duy nhất thay vì khiến tất cả các doanh nghiệp riêng lẻ thực hiện cùng một việc lặp đi lặp lại. Điều đó cho phép chúng tôi tiết kiệm thời gian của nhà phát triển.
Quay lại với quản lý lỗ hổng bảo mật, nếu xét về việc vận hành một công cụ thu thập trên quy mô lớn, anh phải có các kỹ sư làm việc theo ca trực. Anh từng vận hành một tổ chức theo ca trực nên chắc hẳn anh biết rằng để bố trí một người túc trực, anh phải có khoảng bảy người để làm công việc này một cách hiệu quả nhằm đề phòng trường hợp họ nghỉ phép và du lịch, cũng như tất cả các trường hợp khác.
Clarke Rodgers:
Chúng ta muốn mọi người được đi du lịch.
Steve Schmidt:
Đúng vậy. Bằng cách lan truyền cách thức này trên nhiều doanh nghiệp khác nhau từ một vị trí, chúng ta có thể hoạt động hiệu quả hơn khi làm việc tập trung vì có công cụ tốt hơn và chi phí thấp hơn.
Clarke Rodgers:
Anh đã phát triển hoặc thực hiện theo các phương pháp nào để báo cáo về tình trạng bảo mật trên tất cả các doanh nghiệp riêng biệt này cho hội đồng quản trị Amazon?
Steve Schmidt:
Trước hết, hội đồng quản trị Amazon thực sự thú vị. Có rất ít hội đồng quản trị có sự nhạy bén về kỹ thuật như Amazon, nhưng cách đây vài năm Amazon cũng đã quyết định thành lập một tiểu ban bảo mật. Không giống như rất nhiều doanh nghiệp khác, trong đó bộ phận bảo mật có thể báo cáo cho ủy ban kiểm tra chẳng hạn, hội đồng quản trị Amazon có một nhóm riêng để chuyên giám sát bảo mật.
Điều đó thật tuyệt và cũng có nghĩa là chúng tôi nhận được rất nhiều sự giám sát kỹ lưỡng trong quá trình này. Do đó, chúng tôi đã phải xây dựng một cơ chế báo cáo thay đổi dần theo thời gian vì hai lý do. Thứ nhất là vì chúng tôi thực hiện công việc báo cáo của mình tốt hơn. Và thứ hai là theo thời gian, hội đồng quản trị thậm chí sẽ nắm bắt được thông tin tốt hơn. Họ sẽ đặt ra những câu hỏi kỹ lưỡng hơn và muốn biết chi tiết cụ thể hơn về các lĩnh vực ngách trong kinh doanh. Thông thường, chúng tôi nhận thấy trong mỗi lần thảo luận rằng việc quan trọng là báo cáo cho họ về các thành phần cụ thể của doanh nghiệp. Chúng tôi có đang đạt tiêu chuẩn bảo mật của mình ở một số mảng nhất định không?
Ngoài ra, họ cũng thực sự quan tâm tới một số vấn đề, cho chúng tôi biết về một phần cụ thể trong doanh nghiệp hoặc yêu cầu thông tin tóm lược vì công việc sắp thực hiện có thể chứa nhiều rủi ro, v.v. Điều này cho phép chúng tôi có một thành phần nhất quán và một thành phần linh hoạt dựa trên mối quan tâm của họ.
Sau đó, chúng tôi quyết định đưa vào cuối bản báo cáo các sự kiện đương thời, trong đó chúng tôi lấy tất cả dữ kiện từ tin tức và chắt lọc những thông tin mà chúng tôi cho rằng sẽ mang lại bài học hoặc điểm trọng tâm cụ thể và trình bày trước hội đồng quản trị như một thành phần cung cấp thông tin sau cùng. Đây là sự việc đã xảy ra trong ngành, đây là lý do chúng ta không bị ảnh hưởng.
Đây là khoản đầu tư đã giúp chúng ta không bị ảnh hưởng. Và tôi nghĩ rằng điều đó có giá trị to lớn đối với hội đồng quản trị. Thứ nhất, họ hiểu rằng tình hình đang ổn định, nhưng thứ hai, điều đó giúp họ đưa ra quyết định đầu tư trong tương lai. Do đó, khi chúng tôi có thể đứng ra và nói rằng chúng ta đã đầu tư vào công nghệ xác thực đa yếu tố từ 8 hay 10 năm trước và điều đó đã ngăn chặn tác nhân đe dọa cụ thể này, vốn đã xâm nhập vào công ty khác, khỏi ảnh hưởng đến chúng ta, họ sẽ trả lời rằng điều đó rất tốt. Hiện giờ, chúng ta nên lên kế hoạch đầu tư vào những gì trong 10 năm tới để tiếp tục ngăn chặn các vấn đề?
Clarke Rodgers:
Phần lớn khách hàng ở vị trí Giám đốc bảo mật thông tin tập trung rất nhiều vào hội đồng quản trị. Một số người trong đó không gặp mặt trực tiếp nhiều như những người khác. Anh đã nói rằng hội đồng quản trị của chúng ta rất đặc biệt vì kiến thức bảo mật của họ. Anh có khuyến nghị nào cho các đồng nghiệp là Giám đốc bảo mật thông tin hoặc Giám đốc bảo mật khi họ báo cáo trước hội đồng quản trị để họ trình bày thật thuyết phục quan điểm của mình bằng ngôn ngữ của hội đồng quản trị, v.v. không?
Steve Schmidt:
Điểm khiến các thành viên hội đồng quản trị thích nhất ở cách làm việc của chúng ta là chúng ta rất cẩn thận để tránh sử dụng biệt ngữ. Nhiều người đảm nhiệm vai trò Giám đốc bảo mật thông tin là dân kỹ thuật và họ muốn báo cáo bằng-
Clarke Rodgers:
Ngôn ngữ kỹ thuật.
Steve Schmidt:
Chính xác, đúng như cách suy nghĩ của họ. Nhưng chúng ta phải nhớ rằng hội đồng quản trị là khách hàng ở đây. Vì vậy, khi trình bày với họ, chúng ta phải nói bằng ngôn ngữ của họ và phải tìm cách giải thích vấn đề trong ngữ cảnh có ý nghĩa đối với hội đồng quản trị đó.
Vậy điều quan trọng nhất là tìm ra một cơ chế báo cáo thống nhất thay vì báo cáo mỗi lần một khác bởi vì điều đó sẽ khiến người nghe sẽ khó hiểu hơn. Thứ hai là tìm ra hai hoặc ba chỉ số thực sự cực kỳ quan trọng mà lần nào anh cũng muốn truyền đạt.
Đừng làm mọi người thấy choáng ngợp trước các chỉ số. Ví dụ: chúng ta luôn báo cáo về quản lý lỗ hổng bảo mật. Đó là biện pháp kiểm soát bảo mật cơ bản quan trọng nhất mà chúng ta vận hành, tương tự như bao người khác, sau đó tìm ra những thông tin bổ sung thú vị ở cuối báo cáo, giúp xây dựng khuyến nghị đầu tư, vì vậy nên hãy tách biệt một cách có chủ ý các thành phần trong quy trình báo cáo.
Clarke Rodgers:
Và nếu đầu tư vào đây, liệu chúng ta có giảm rủi ro không?
Steve Schmidt:
Vâng, đây là sự kết hợp của việc giảm thiểu rủi ro hiện tại và giảm thiểu hướng tới tương lai, trong đó phần hướng tới tương lai có lẽ là phần khó nhất trong công việc của chúng ta với tư cách là chuyên gia bảo mật vì chúng ta không có bằng chứng về sự tồn tại để sử dụng. Rất nhiều người nhìn vào vấn đề này và nói: “Điều đó có thực sự cần thiết không?
Chúng ta có phải làm điều đó ngay bây giờ không? Chúng ta có phải làm trên quy mô lớn như vậy không? Chúng ta có thể thu hẹp quy mô lại được không?” Đó là những lập luận mà tất cả chúng ta đều phải có và theo thời gian, chúng ta cần có khả năng xây dựng cơ sở kiến thức này cho hội đồng quản trị để trình bày rằng: “Đây là những ví dụ về hoạt động khai thác lỗ hổng trong thực tiễn. Chúng tôi nghĩ rằng điều đó sẽ áp dụng với chúng ta trong khoảng thời gian này nên chúng ta cần hành động ngay hoặc trong hai hay ba năm tới”.
Clarke Rodgers:
Tôi hiểu rồi. Tại Amazon, chúng ta được biết đến với sự đổi mới, khả năng làm việc từ vạch đích, lắng nghe khách hàng, v.v. Là một nhà lãnh đạo bảo mật, anh có rất nhiều sự lựa chọn và điều này có thể phụ thuộc vào báo cáo của các Giám đốc bảo mật thông tin, anh có rất nhiều lựa chọn về những công cụ có thể mua so với những công cụ mà anh cần tự xây dựng. Vấn đề mấu chốt thường xuyên là ở quy mô.
Vì vậy, phần mềm thương mại có sẵn có hoặc không thể điều chỉnh quy mô theo quy mô của Amazon và anh cần phải tự xây dựng hệ thống của mình. Trong năm qua, chúng ta đã thảo luận công khai về các công cụ như Madpot, Mithra và Sonaris. Ở cương vị Giám đốc bảo mật, anh trình bày như thế nào để có được số tiền cần thiết cho việc bố trí các tài nguyên kỹ thuật đằng sau những công cụ như vậy và cả những công cụ khác mà chúng ta chưa nhắc đến nữa? Làm cách nào để anh thuyết phục rằng đây là khoản đầu tư xứng đáng và đây là giá trị mà chúng ta sẽ thu hút được từ khoản đầu tư này?
Steve Schmidt:
Được thôi. Trước tiên, hãy phân biệt giữa một công cụ mà chúng ta mua với công cụ chúng ta tự xây dựng. Tôi nghĩ đó là một điểm khởi đầu quan trọng. Chúng tôi sẽ mua công cụ khi đó là một mặt hàng phổ biến. Ví dụ: phản hồi và phát hiện đối với điểm cuối là thứ chúng ta mua thay vì tự xây dựng. Tại sao lại như vậy? Bởi vì máy tính xách tay Mac, Windows hay Linux mà chúng ta sử dụng cũng giống như những máy tính mà rất nhiều người khác sử dụng.
Chúng ta có thể có một số phần mềm khác nhau trên các máy tính này, nhưng điều đó không thực sự làm nên sự khác biệt cho doanh nghiệp của mình. Trong khi đó, chúng ta là những người duy nhất có thể xây dựng một hệ thống có quy mô rất lớn, ví dụ như Madpot. Chúng ta có khuynh hướng đầu tư để xây dựng những gì mà không ai khác có thể xây dựng được.
Quy trình đầu tư này cũng tương tự như cách chúng ta tiến hành rất nhiều công việc khác. Bắt đầu từ tạo nguyên mẫu, sau đó thử nghiệm xem mẫu nào hoạt động tốt. Chắc chắn là anh sẽ không thành công ngay lần đầu. Vì vậy anh phải tiến hành thiết kế lại, thay đổi một chút, v.v. Hiện giờ Madpot đã vô cùng thành công, nhưng công cụ này không xuất hiện ngay sau một đêm. Đó là một khoản đầu tư kéo dài suốt nhiều năm, bắt đầu với việc một kỹ sư nói rằng họ thực sự thích ý tưởng này. Hãy xem liệu ý tưởng đó có thể mang lại điều gì thú vị không.
Sau đó, ý tưởng này biến thành một công cụ cho phép chúng ta thu thập dữ liệu tình báo về mối đe dọa vô cùng kịp thời mà chúng ta có thể trích xuất, xử lý và đưa vào công cụ bảo mật mà tất cả khách hàng đều có quyền truy cập. Và tôi nghĩ đó là phần quan trọng nhất. Ví dụ: rất nhiều khách hàng nói rằng họ muốn có nguồn dữ liệu thô chứa tình báo về mối đe dọa.
Thực sự là không phải vậy. Điều thực sự cần thiết ở đây là dữ liệu có liên quan trong ngữ cảnh vận hành bây giờ. Phần dữ liệu còn lại chỉ như tạp âm và khối lượng dữ liệu đó hiện giờ rất lớn đến nỗi thật vô nghĩa khi cố gắng sử dụng toàn bộ dữ liệu đó, trừ khi họ có một doanh nghiệp giống như của chúng ta.
Do đó, rất nhiều khách hàng phát hiện ra rằng họ thực sự rất muốn sử dụng tình báo về mối đe dọa như một phần trong dịch vụ được quản lý. Điều đó giúp họ không phải dành thời gian sàng lọc các tập dữ liệu cực kỳ lớn hoặc bỏ lỡ bối cảnh bởi vì dữ liệu đó không áp dụng cho nhiều khách hàng.
Và bối cảnh đó rất quan trọng. Khả năng hiển thị tập trung này chính là điều mang lại lợi thế thực sự trong phép so sánh của chúng ta giữa công cụ đi mua và công cụ tự xây dựng tùy chỉnh.
Clarke Rodgers:
Sau đó, tôi đoán rằng bài giới thiệu nội bộ sẽ tập trung vào việc khoản đầu tư giúp chúng ta bảo mật cho AWS/Amazon và mang đến thêm lợi ích cho khách hàng. Tôi nghĩ đây là một chiến thắng.
Steve Schmidt:
Theo cách nói thông thường của Amazon, chúng ta sẽ bắt đầu với khách hàng và nói rằng điều này giúp tất cả khách hàng bảo mật tốt hơn. Đồng thời, khoản đầu tư đó cũng giúp cho doanh nghiệp của chúng ta vì hầu hết doanh nghiệp của chúng ta cũng là khách hàng của Amazon/AWS. Vì vậy, điều đó mang lại lợi tích toàn diện.