Ta strona używa plików cookies, aby zapewnić najlepszą jakość korzystania z naszego serwisu oraz do celów analitycznych. Klikając "Akceptuję", wyrażasz zgodę na używanie wszystkich plików cookies. Możesz również odrzucić zgodę, co spowoduje zablokowanie plików cookies analitycznych. Więcej informacji znajdziesz w naszej Polityce Prywatności.
Od samouka do CISO. Nico Waisman o bezpieczeństwie ofensywnym i AI
Waisman nauczył się programowania, analizy błędów i znajdowania podatności bez formalnego wykształcenia w cyberbezpieczeństwie.
Pracował przy rozwoju narzędzia CANVAS, a następnie zajmował się bezpieczeństwem open source i CodeQL w GitHubie.
W Lyft przeszedł na stronę defensywną i w ciągu dwóch lat został CISO firmy.
W XBOW łączy doświadczenie w bezpieczeństwie ofensywnym, zarządzaniu i AI.
Sponsorowane
Odkryj rewolucyjną metodę nauki języków
Sprawdź jak w 30 dni opanować podstawy dowolnego języka obcego bez wychodzenia z domu.
Nico Waisman nie planował kariery w cyberbezpieczeństwie. W Argentynie nauczył się samodzielnie programowania, analizy błędów i szukania podatności, a pierwsze doświadczenia zdobywał w środowisku wczesnej sceny hakerskiej. Z czasem został badaczem bezpieczeństwa, liderem zespołów, ekspertem od ochrony open source, a później także CISO. Dziś kieruje obszarem bezpieczeństwa w XBOW, firmie rozwijającej opartą na AI platformę do autonomicznych testów penetracyjnych.
Kariera, która zaczęła się od ciekawości
Waisman mówi, że nie zdecydował świadomie o wyborze zawodu. Jego droga zaczęła się od fascynacji technologią i możliwością zmieniania jej działania. Jako młody człowiek interesował się tym, jak zrozumieć kod, znaleźć błąd, a następnie sprawdzić, czy system da się zmusić do zachowania innego niż przewidziane przez twórców. Motywacją nie były pieniądze ani chęć wyrządzania szkód, lecz wyzwanie i przyjemność z rozwiązywania problemów.
W tamtym czasie w Argentynie nie istniała jeszcze wyraźnie zdefiniowana ścieżka edukacyjna ani zawodowa związana z cyberbezpieczeństwem. Waisman nie miał formalnego przygotowania w tej dziedzinie. Wiedzę zdobywał przez eksperymenty, analizę działania programów i reverse engineering. Podkreśla, że brak dokumentacji był częścią wyzwania. Trzeba było poświęcić wiele czasu na zrozumienie pojedynczego problemu, a następnie sprawdzić, jak można przełamać założenia stojące za danym rozwiązaniem.
Próbował studiować inżynierię, ale dwukrotnie rezygnował. Później przez cztery lata zajmował się komunikacją i studiował dziennikarstwo, jednak nie napisał pracy końcowej i nie uzyskał dyplomu. Te doświadczenia nie okazały się całkowicie oderwane od późniejszej kariery. Umiejętności komunikacyjne przydały mu się podczas pracy z klientami, wystąpień konferencyjnych i budowania zespołów. Najważniejszą stałą pozostawało jednak
Słownik artykułu
Pojęcia, które warto znać
Krótkie objaśnienia terminów występujących w tekście. Każde hasło prowadzi do szerszej definicji i przykładów użycia.
, określane w branży także jako offensive security.
Od badacza do lidera zespołów
W 2003 roku Waisman dołączył do Immunity jako starszy badacz bezpieczeństwa. Nie miał formalnych kwalifikacji w cyberbezpieczeństwie, ale dysponował praktycznym doświadczeniem i potrafił zaprezentować swoją wiedzę. W firmie pozostał do 2019 roku, stopniowo obejmując kolejne role i dochodząc do stanowiska wiceprezesa odpowiedzialnego za Amerykę Łacińską.
Jednym z głównych projektów Immunity był CANVAS, czyli narzędzie wspierające prowadzenie testów bezpieczeństwa. Waisman pracował z firmami publicznymi i prywatnymi, pomagając im znajdować podatności oraz rozumieć, w jaki sposób mogą zostać wykorzystane. Początkowo praca obejmowała środowiska Linux, a później także Windows. W tym okresie rozwijał nie tylko kompetencje badacza, lecz także umiejętność wyjaśniania skomplikowanych problemów osobom odpowiedzialnym za produkty i infrastrukturę.
Przejście do zarządzania nie było zaplanowanym szczeblem kariery. Waisman opisuje siebie jako osobę początkowo raczej introwertyczną, którą komputery przyciągały między innymi dlatego, że zapewniały bezpieczną przestrzeń do pracy. Kiedy jednak kolejne projekty wymagały większej liczby ludzi, zaczął zatrudniać znanych sobie badaczy i hakerów. Budowanie zespołów naturalnie doprowadziło go do roli lidera. W pewnym momencie podlegało mu od 30 do 40 pentesterów obsługujących firmy z listy Fortune 500 i realizujących między innymi testy aplikacji.
2003 rok: Waisman dołącza do Immunity jako starszy badacz bezpieczeństwa.
2003 do 2019 roku: pracuje przy badaniach, narzędziu CANVAS, usługach bezpieczeństwa i zarządzaniu zespołami.
2019 rok: po przejściu do Semmle, a następnie do GitHuba, obejmuje kierowniczą rolę w GitHub Security Lab.
2020 rok: zostaje szefem bezpieczeństwa i prywatności w Lyft, a w ciągu dwóch lat obejmuje stanowisko CISO.
Ostatnie dwa lata opisane w materiale: rozwija XBOW, firmę łączącą AI z autonomicznym bezpieczeństwem ofensywnym.
Bezpieczeństwo open source i łańcucha dostaw
W czerwcu 2019 roku Waisman dołączył do Semmle jako dyrektor badań dla Ameryki Łacińskiej. Kilka miesięcy później firmę przejął GitHub, a pod koniec tego samego roku Waisman został starszym dyrektorem GitHub Security Lab. Był to kolejny etap jego rozwoju, tym razem związany z ochroną oprogramowania open source i łańcucha dostaw oprogramowania.
GitHub był już ważnym miejscem pracy dla deweloperów, ale chciał mocniej zaangażować się w zabezpieczanie projektów open source. Jednym z elementów tej pracy była integracja CodeQL, technologii wywodzącej się z Semmle. Problem dotyczył nie tylko pojedynczych aplikacji, lecz także całego procesu ich tworzenia i dostarczania. Podatności w kodzie, zależnościach lub narzędziach mogą bowiem przenikać do pipeline CI/CD, a następnie do kolejnych wersji oprogramowania.
Waisman wspomina również o próbie połączenia działań dużych firm na rzecz bezpieczeństwa open source. Microsoft, Google i inne przedsiębiorstwa prowadziły własne inicjatywy, jednak często robiły to oddzielnie. GitHub Security Lab uczestniczył w tworzeniu koalicji, która miała ułatwić wspólną pracę nad ochroną otwartego oprogramowania. Później rezultat tych działań przekazano Linux Foundation, gdzie został formalnie umieszczony w ramach Open Source Security Foundation.
Lekcja z pracy po stronie defensywnej
Kolejnym ważnym krokiem było odejście od GitHuba i przejście do Lyft. Waisman przyjął propozycję pomocy w odbudowie zespołu bezpieczeństwa firmy, a w 2020 roku został jej szefem bezpieczeństwa i prywatności. W ciągu dwóch lat objął stanowisko CISO. Była to dla niego pierwsza tak szeroka konfrontacja z bezpieczeństwem defensywnym, czyli organizowaniem ochrony dużej, działającej na co dzień infrastruktury.
Lyft obsługiwał tysiące przejazdów każdego dnia, co stawiało przed zespołem inne wymagania niż praca badacza lub dostawcy testów. Waisman musiał odpowiedzieć na pytanie, jak zbudować program bezpieczeństwa, który nadąża za tempem pracy inżynierów, a jednocześnie nie blokuje rozwoju. Najważniejszą lekcją było połączenie ochrony z umożliwianiem działania. Bezpieczeństwo nie powinno polegać na zatrzymywaniu każdej zmiany, lecz na tworzeniu warunków, w których produkt może rozwijać się szybko i odpowiedzialnie.
XBOW, czyli połączenie AI i testów bezpieczeństwa
Po trzech latach w Lyft Waisman wrócił do obszaru bezpieczeństwa ofensywnego. Oege de Moor, z którym wcześniej pracował w Semmle i GitHubie, przedstawił pomysł na nową firmę. De Moor kierował później zespołem rozwijającym Microsoft Copilot, a wspólna koncepcja zakładała połączenie AI z testami bezpieczeństwa.
Tak powstało XBOW. Według Waismanna firma działa od dwóch lat, a jej produkt jest autonomicznym systemem zdolnym do wykonywania testów penetracyjnych, naśladującym część umiejętności człowieka i pracującym na większą skalę. Waisman od początku pełni w XBOW funkcję CISO. Jego obecna rola łączy doświadczenie badacza, lidera, osoby odpowiedzialnej za bezpieczeństwo defensywne oraz specjalisty obserwującego rozwój sztucznej inteligencji.
Presja CISO i ryzyko szybszego AI
Ta ścieżka zawodowa nie oznacza, że praca na stanowisku CISO jest pozbawiona kosztów. Waisman mówi, że w Lyft nie uważał się za całkowicie wypalonego, ale podkreślał ogromną presję związaną z odpowiedzialnością za działania innych osób. CISO musi jednocześnie chronić organizację, pozwalać zespołom inżynieryjnym działać szybko i pracować przy ograniczonych zasobach. Jeśli coś pójdzie nie tak, odpowiedzialność często skupia się właśnie na osobie kierującej bezpieczeństwem. Waisman wskazuje, że wypalenie zawodowe, znane też jako burnout, dotyczy również zespołów bezpieczeństwa.
