Trong một cảnh dường như bị lấy cảm hứng điện ảnh của mình, van der Gaast khoảng 16 tuổi khi anh ta đột nhập vào một cơ sở vũ khí hạt nhân của Ấn Độ và đánh cắp dữ liệu từ các vụ thử hạt nhân dưới lòng đất. “Họ đang sử dụng một phiên bản cũ của máy chủ thư, mà tôi đã lừa để cung cấp cho tôi một tài khoản quản trị,” anh nói. Điều này đưa anh ta vào radar của một số cơ quan tình báo, và cuối cùng anh ta được vinh danh là một trong 5 tin tặc khét tiếng nhất thế giới.

Van der Gaast vừa chuyển từ châu Âu sang Mỹ vào mùa thu năm 1998 khi một nhóm đàn ông mặc vest từ một cơ quan liên kết với Bộ Quốc phòng Hoa Kỳ gõ cửa nhà ông. “Tôi nghĩ họ thực sự đến từ nhập cư,” anh nói, “bởi vì tôi đã quá hạn visa 90 ngày của mình.”

Rất may cho hacker tuổi teen, cơ quan này đang tìm cách tuyển dụng các ngôi sao đang lên từ ngầm ảo, không truy tố họ. Vào thời điểm đó, ông nhanh chóng chuyển phe và bắt đầu làm việc với Bộ Quốc phòng trong một hoạt động chung với FBI trong ba năm tiếp theo. Công việc liên quan đến việc thu thập thông tin tình báo về tin tặc và các hoạt động tội phạm xung quanh, cũng như điều tra vi phạm dữ liệu vì lợi ích quốc gia.

Khóa đào tạo không chính thống này đóng vai trò là bước khởi đầu cho sự nghiệp 25 năm với tư cách là chuyên gia an ninh mạng, diễn giả chính và cố vấn doanh nghiệp, dẫn đến vai trò hiện tại của ông với tư cách là người sáng lập và giám đốc điều hành của Sequioa Consulting, nơi ông giúp các nhà lãnh đạo điều hành và các tổ chức toàn cầu “làm ít an ninh mạng hơn và kinh doanh an toàn hơn.”

“Tôi bắt đầu bằng cách học các bài học về các phương pháp, chiến thuật và khả năng mà tin tặc sử dụng”, ông nói. “Nhưng nhìn lại sau? Tôi nghĩ điều tôi học được nhiều hơn là hầu như tất cả các vi phạm này đều có thể ngăn ngừa được nếu các tổ chức chỉ cần xử lý các nguyên tắc cơ bản về CNTT và chủ động hoàn thiện quy trình của mình.”

Đây chính là cách tiếp cận mà công ty của ông ủng hộ. Trên thực tế, công ty áp dụng các phương pháp từ tư vấn quản lý, tư duy tinh gọn và các lĩnh vực khác trong bối cảnh công nghệ để cải thiện các quy trình CNTT để có ít điểm thất bại hơn cho các tác nhân đe dọa khai thác.

Một sự tương tự đơn giản là một nhà máy sản xuất ô tô nơi mỗi chiếc xe được sản xuất đều có khuyết tật - vô lăng lệch tâm, bu lông bị thiếu ở tay treo, đường phanh đầy không khí và các khuyết tật khác. Sẽ thật lố bịch, ông nói, nếu thuê nhiều người hơn để sửa chữa tất cả những khiếm khuyết này trên những chiếc xe đã hoàn thành. Thay vào đó, bạn sẽ giải quyết vấn đề, có thể là trong quá trình xử lý, tại trạm dây chuyền lắp ráp nơi những lỗi này đang xảy ra - giảm số lượng lỗi và giảm chi phí.

Tuy nhiên, van der Gaast nói, cách tiếp cận trong an ninh mạng phần lớn là trước đây, và vì vậy ngành công nghiệp phần lớn vẫn phản ứng thay vì chủ động, với các nguyên nhân cơ bản hầu như không bị ảnh hưởng.

“Về cơ bản, chúng ta đang trong một cuộc chạy đua vũ trang (giữ cho tin tặc tránh xa các lỗ hổng của chúng ta), nhưng chúng ta cần tự hỏi tại sao chúng ta phải đối mặt với nhiều thách thức như vậy? ,” anh nói. “Điều đó có nghĩa là, tại sao chúng ta có những lỗ hổng này ngay từ đầu?”

Cựu hacker đã đặt ra những câu hỏi rộng lớn như vậy trong ba thập kỷ qua, và đó là một dòng câu hỏi chưa bao giờ có liên quan đến các doanh nghiệp và xã hội nói chung.

Cách đơn giản nhất để xem xét bảo mật là về các lỗ hổng bị khai thác và những lỗ hổng đó thực sự là vấn đề chất lượng, ông nói - lỗi trong mã, cấu hình, lỗ hổng trong kiểm soát, thiết kế, lập kế hoạch, thậm chí cả văn hóa.

Giải quyết những vấn đề này làm giảm số lượng lỗ hổng, do đó ít bị khai thác hơn, ông nói, thay vì phải tăng cường phòng thủ trước các lỗ hổng này. Điều này không chỉ dẫn đến chi tiêu bảo mật ít hơn, ông nói thêm - nó có xu hướng làm cho các quy trình kinh doanh và CNTT hiệu quả hơn, điều này cũng làm giảm chi phí của chúng.

“Một khi bạn bắt đầu tập trung vào bảo mật hơn như một chức năng của quy trình và chất lượng, khi bạn bắt đầu làm mọi thứ đúng đắn, bạn không chỉ khắc phục các vấn đề cơ bản mà còn có thể giúp doanh nghiệp tạo ra sự thay đổi tích cực và tiết kiệm tiền.”

Van der Gaast luôn bắt đầu bảo vệ các tổ chức bằng cách tìm ra gốc rễ của vấn đề của họ, đào sâu hơn nhiều so với các chuyên gia tư vấn bảo mật có tư duy công nghệ. Ông nói: “Hầu hết các công ty có xu hướng tiếp cận an ninh mạng, nơi họ liên tục làm việc để dập tắt đám cháy. “Thay vào đó, tôi cố gắng xem xét những gì đang gây ra bất kỳ mối quan tâm CNTT nào.

“Có phải những thách thức đến từ việc thiết kế các ứng dụng? Các bộ phận kinh doanh khác nhau có sử dụng các quy trình CNTT và nhà cung cấp khác nhau không? anh ấy nói thêm. “Một khi bạn hiểu nguyên nhân gốc rễ của mối quan tâm, bạn có thể bắt đầu tối ưu hóa và loại bỏ chúng một cách có hệ thống.”

Van der Gaast tin rằng chúng ta cần thay đổi trọng tâm trong cách giải quyết vấn đề tội phạm mạng. Thay vì nhìn vào tội phạm, chúng ta cần tập trung vào lý do tại sao tội ác lại dễ dàng như vậy.

Ông đề cập rằng hầu như tất cả các vi phạm đều liên quan đến các lỗ hổng đã biết với các bản sửa lỗi có sẵn và trong phần lớn các trường hợp, các bản sửa lỗi này đã có sẵn trong hơn một năm.

“Nếu tôi đặt một túi ngũ cốc trong vườn của bạn, bạn sẽ không ngạc nhiên khi thấy bạn có hàng ngàn con chuột một tuần sau đó. Giải pháp lý tưởng không phải là đặt và quản lý hàng nghìn cái bẫy chuột, mà là bảo quản ngũ cốc tốt hơn hoặc thay đổi quy trình vì lý do bạn cần đến nó.”

Kết quả là: Bạn có thể cài đặt hệ thống an ninh mạng tốt nhất trên hành tinh, nhưng nếu bạn không có công cụ quản lý danh tính phù hợp, nhân viên của bạn không được đào tạo đầy đủ và bạn chưa vá và nâng cấp hệ thống, thiết bị hoặc ứng dụng của mình, thì tin tặc có thể dễ dàng vượt qua hàng phòng thủ của bạn, kỹ thuật số hoặc các hình thức khác, ông nói. 

Cuối cùng, trong thời đại ngày càng tăng các mối đe dọa dựa trên AI như tấn công tự động và video deepfake, van der Gaast nói rằng việc bảo vệ thành công một tổ chức hiện đại khỏi tội phạm mạng cần bao gồm đào tạo, giáo dục và cách tiếp cận chủ động - không phản ứng -.

Những mối đe dọa này, một khi đã được hiểu rõ, thường có thể được vô hiệu hóa thông qua việc triển khai các nền tảng vững chắc — bất kể cuộc tấn công diễn ra nhanh đến đâu nếu bạn không dễ bị tấn công — và các quy trình, chẳng hạn như chuyển tiền, luôn được thực hiện thông qua một quy trình xác định không dễ bị làm giả.

Trong mắt anh ấy, điều tốt nhất bạn có thể làm để giúp tổ chức của mình là xác định các vấn đề gây ra lỗ hổng của bạn và giải quyết chúng, càng xa càng tốt, thậm chí bằng cách xem xét các vấn đề về tổ chức và văn hóa. Sau đó, các nhóm bảo mật sẽ làm việc với tất cả các bộ phận của tổ chức để hiểu tất cả các quy trình kinh doanh và CNTT và giúp xác định lại chúng khi cần thiết để giảm thiểu mọi rủi ro có thể xảy ra và nhận biết mọi rủi ro còn lại.

Chỉ khi các tổ chức thực hiện được điều này, hiểu được những vấn đề cơ bản của mình, họ mới có thể xây dựng chiến lược và lộ trình hướng tới một tương lai tốt đẹp hơn.

Giống như ông đã xé toạc sách máy tính nhiều thập kỷ trước, mối quan tâm của van der Gaast ngày nay vẫn liên quan đến việc hấp thụ vô số thông tin. Cựu tội phạm mạng, có sở thích ngày nay bao gồm sửa xe hơi và đọc bất cứ điều gì anh ta có thể nắm được về các hoạt động kinh doanh tốt nhất, nói rằng thành công trong an ninh mạng không chỉ là phần mềm: “Nhiều thách thức tôi tìm thấy là do văn hóa hơn là các giải pháp công nghệ cao.”