A pesar de los problemas de seguridad, las empresas se sienten cada vez más confiadas en adoptar servicios basados en la nube, y además están invirtiendo más en dispositivos móviles corporativos al mismo tiempo que permiten la utilización de los dispositivos personales de los empleados en el trabajo. Así que no es sorprendente que las nuevas empresas de seguridad más recientes estén enfocándose en cosas tales como la encriptación de los datos almacenados en la nube, o cómo proteger los datos corporativos en los dispositivos BYOD. Las firmas de capital de riesgo financian a estas nuevas iniciativas -la más notable entre ellos es Andreessen Horowitz, que puso 9,5 millones de dólares en la empresa de seguridad móvil Bluebox en junio y 30 millones de dólares en CipherCloud el mes pasado.
Aquí están nuevas empresas de seguridad a las que no les quitaremos el ojo en el 2013 para ver lo que lanzarán, y si son captadas por los proveedores de seguridad más grandes para que logren un equilibrio entre la seguridad en la nube y la móvil. Eso es lo que le pasó a la nueva empresa de gestión de riesgos móviles Mobilisafe, que tan solo tres meses después de su debut, fue adquirida por la firma de evaluación de vulnerabilidad Rapid7.
Algunas nuevas empresas tienen grandes aspiraciones para cambiar el mundo de la seguridad en la nube. Nok Nok Labs, que todavía está en modo de sigilo, apoya el concepto de un nuevo protocolo de autenticación abierta y flexible para infraestructuras web basadas en la nube que serían básicamente libre, pero soportados por los proveedores más grandes de hardware y software. ForgeRock defiende el código abierto con su Open Identity Stack que permite a empresas y proveedores de servicios una provisión centralizada de las aplicaciones móviles y de software como servicio. Otras, sin embargo, solo sostienen que están construyendo una mejor trampa para ratones en la empresa -como Lastline que dice que su producto y servicio Previct detecta el malware, o TaaSERA, que se lanza formalmente a fin de mes con su producto de análisis de amenazas basado en el comportamiento.
Allgress Business Risk Intelligence
Sede: Livermore, California
Fundada: 2008
Financiación: Cerca de seis millones de dólares, principalmente de los fundadores Jeff Bennett y Gordon Shevlin.
Liderazgo: Gordon Shevlin, CEO
¿Por qué la estamos viendo?: Allgress introdujo un software diseñado para darle a los CISO una visión del estado de la seguridad y los riesgos de incumplimiento de las redes corporativas y los recursos de datos. La empresa agrega la información en un "mapa de calor" en donde el cumplimiento es más fuerte o más débil. El objetivo es hacer un buen uso de la información relacionada con la seguridad que ya está disponible a partir de las exploraciones, pruebas de penetración y otras tecnologías utilizadas para determinar el cumplimiento de las reglas de las tarjetas de pago PCI, o los reglamentos sanitarios relacionados con HIPAA, por ejemplo, y expresarlo en un lenguaje de negocios para que pueden ser fácilmente compartidos con los CIO y directivos. "Se trata de recopilar la información y ayudarles a usar lo que tienen", según Jeff Bennett, presidente y COO de Allgress. La compañía dice tener alrededor de 40 clientes, incluyendo eBay y varios bancos.
Dato curioso: Shevlin es también co-fundador y COO de otra nueva empresa, Security Starfish. La empresa fundada el año pasado con el ex CISO de eBay, Dave Cullinane, para compartir información discreta sobre amenazas de seguridad entre los profesionales de seguridad de TI.
Bluebox
Sede: San Francisco
Fundada: 2012
Financiación: En junio la compañía obtuvo 9,5 millones de dólares de financiación ‘serie A’ de Andreessen Horowitz, así como de Andreas Bechtolsheim, co-fundador de Sun Microsystems, con otros inversionistas que incluyen SV Angel; Shriram Ram, miembro del directorio de Google, y Brian Cohen, ex CEO de SPI Dynamics.
Liderazgo: El CEO Caleb Sima, junto con el co-fundador y Director de Operaciones Adán Ely, son veteranos de la industria. Sima fue CTO de Application Security Center de HP, a donde llegó después de que HP adquirió SPI Dynamics, una compañía que él co-fundó. Ely fue CISO en la unidad de negocio Heroku de Saleforce.com.
¿Por qué la estamos viendo?: Con algunas reservas sobre lo que hace, Bluebox es conocida por construir productos diseñados para proteger los datos corporativos en dispositivos móviles, en especial los que son propiedad de los trabajadores y llevados al trabajo, y la compañía espera introducir su oferta en breve. Los inversores no pueden dejar de exagerar lo que está por venir. "La seguridad de la empresa en la movilidad es un problema no resuelto, y francamente, necesita innovación", señaló el mes pasado Bechtolsheim. "Bluebox está desarrollando una solución que cambiará la forma de pensar de las empresas sobre cómo proteger sus datos con éxito y sin problemas". Eso está por verse -permanezca en sintonía para el próximo episodio de la implantación del producto Bluebox.
Dato curioso: El nombre "Bluebox" se remonta a la expresión utilizada por los hackers telefónicos en los años 1960 y 1970 para describir el tipo de dispositivos no autorizados hechos en casa que crearon para hacer llamadas a través de redes de larga distancia -y es ‘de época’ y nostálgico.
CipherCloud
Sede: San José, California
Fundada: 2010
Financiamiento: 30 millones de dólares de Andreessen Horowitz, junto con otros fondos de Index Ventures, T-Mobile
Liderazgo: Pravin Kothari, presidente, CEO y fundador
¿Por qué la estamos viendo?: La empresa está abordando el tema de la seguridad de los datos en entornos de nube a través de su tecnología de pasarelas de encriptación y ‘tokenización’ que hoy se puede utilizar con Gmail, Salesforce y Amazon, entre otros servicios. La compañía dice que entre sus clientes se encuentran dos grandes bancos. En enfoque basado en pasarelas de CipherCloud podría encontrar un gran atractivo si, como muchos esperan, las empresas este año muestran más confianza en la puesta de los datos sensibles o los controles reglamentarios en servicios basados en nube, donde los datos que se acceden con frecuencia para fines comerciales tendrían que ser encriptados.
Dato curioso: Kothari es un veterano de la industria que también inició ArcSight, que fue vendido a HP por más de mil millones de dólares.
CrowdStrike
Sede: San Francisco
Fundada: 2011
Financiamiento: 26 millones de dólares de la firma de inversión Warburg Pincus
Liderazgo: George Kurtz, CEO (ex vicepresidente ejecutivo y CTO de McAfee en todo el mundo), y Dmitri Alperovitch, CTO (ex vicepresidente de investigación de amenazas en McAfee).
¿Por qué la estamos viendo?: CrowdStrike, que aún no ha dado a conocer oficialmente sus productos y servicios, se centra en encontrar maneras de identificar los ataques contra las redes empresariales, e incluso proporcionar capacidades para perseguir a los atacantes, especialmente los que tratan de comprometer y robar datos a hurtadillas. Kurtz y Alperovitch reclaman la capacidad de "defensa activa" que está siendo desarrollada y será un "cambio de juego". Vamos a ver -pero ¿hasta dónde puede uno llegar legalmente para perseguir al adversario a través de Internet o incluso devolverle el golpe? Alperovitch señala que CrowdStrike tiene la inteligencia y los servicios de respuesta disponibles que han sido utilizados por las grandes corporaciones y agencias gubernamentales desde el segundo trimestre del 2012. CrowdStrike también está desarrollando lo que llama una "plataforma de análisis de Big Data" para identificar y prevenir el daño de los ataques de seguimiento en tiempo real, el intercambio y la mitigación de las tácticas, técnicas y procedimientos de los adversarios. La tecnología se encuentra actualmente en versión beta y se espera que sea lanzada este año.
Dato curioso: Sabiendo que hay cuestiones legales que rodean al tema de perseguir a los atacantes y detenerlos, a CrowdStrike le gusta señalar que en abril pasado se contrató a Shawn Henry, director jubilado de respuesta ciber criminal del FBI, como presidente de CrowdStrike Services.
ForgeRock
Sede: San Francisco
Fundada: 2009 en Oslo, Noruega
Financiamiento: Siete millones de dólares de Accel Partners, y una suma no revelada del co fundador de Sun, Scott McNealy
Liderazgo: Mike Ellis, CEO (ex alto ejecutivo de SAP, Oracle, i2 Technologies) y Lasse Andresen, CTO (ex ejecutivo de Sun)
¿Por qué la estamos viendo?: El software de ForgeRock, Open Identity Stack, puede ser utilizado para unir un aprovisionamiento centralizado y un sistema de gestión de acceso para las aplicaciones móviles, empresariales y de software como servicio. La empresa dice que ya cuenta con cerca de 130 clientes corporativos para sus servicios basados en suscripción. La nueva empresa tiene sus raíces en el modelo de código abierto, haciendo uso de la base de código de administración de identidad en el sitio de la comunidad de desarrolladores ForgeRock.org para vender productos comerciales disponibles en ForgeRock.com. ForgeRock revisa el código de fuente abierta que utiliza para incluirlo en sus productos comerciales. La empresa competirá con gigantes como IBM, Symplified y Symantec, entre otros por el espacio de la administración de identidad.
Dato curioso: Gran parte de la ingeniería y el talento de ventas viene de carreras en la división de identidad de código abierto y de administración de acceso de Sun Microsystems, adquirida por Oracle en el 2010. El producto de ForgeRock encuentra sus orígenes en IAM de código abierto de Sun, que fue desarrollado para adaptarse a un entorno de nube.
Lastline
Sede: Santa Barbara, California
Fundada: 2009 por los investigadores universitarios Giovanni Vigna, Kruegel Christopher y Kirda Engin
Financiamiento: Tres millones de dólares, incluyendo un millón de dólares de E.ventures.
Liderazgo: Andreassen, CEO (que anteriormente trabajó con Fortinet)
¿Por qué la estamos viendo?: Lastline hizo su debut oficial en noviembre con un producto y servicio antimalware llamado Previct, que tiene como objetivo prevenir que las infecciones de malware entren en la empresa y también inspecciona y analiza el tráfico saliente. Aunque hay mucha competencia en la detección de malware hoy en día, los tres investigadores universitarios (de la universidad de Santa Bárbara y Northeastern University), que lo desarrollaron afirman que es el mejor antimalware tipo ratonera. La técnica de Lastline hace frente al malware utilizando la emulación de código para analizar con seguridad el efecto que el malware está tratando de tener más que tratar de detectar el malware basado en firmas como lo haría un antivirus tradicional, señala Christopher Kruegel, co-fundador y científico en jefe. En términos de competencia, Lastline afirma que su enfoque es algo similar al de FireEye, una empresa que se inició antes que Lastline que ha llamado la atención por su proceso de detección antmalware.
Dato curioso: Los fundadores de la compañía también comenzaron International Secure Systems Lab (iSecLab), que ayuda a compartir investigaciones entre cinco laboratorios de los EE.UU. y Europa.
Nok Nok Labs
Sede central: Palo Alto, California
Fundada: 2011
Financiación: No revelada
Liderazgo: Phil Dunkelberger, CEO y fundador
¿Por qué la estamos siguiendo?: Dunkelberger, que fue co-fundador de PGP Corp. en el 2002, está diciendo que los servicios basados en la computación en la nube y sus usuarios se beneficiarían de un nuevo estilo de autenticación más fuerte basado en un protocolo de autenticación abierta. Espere el software de Nok Nok Labs, para este año. Una gran pregunta es si los grandes vendedores de hardware y software se sumarán a la iniciativa. Pero Dunkelberger, como lo hizo en la reciente reunión de Cloud Security Alliance, está indicando enérgicamente que el cambio es necesario, y se pregunta: "¿Cuántos han arrancado, alguna vez, un método de autenticación? No muchos -es costoso y difícil de hacer". Pero a pesar del hecho de que los muchos tipos de autenticación que existen hoy en lo que es una especie de "Torre de Babel" y que la nube significa "que el perímetro ya no existe", no hay manera fácil de activar la autenticación basada en casos de uso de riesgo, argumenta . ¿Su idea? Un protocolo de autenticación ampliable para la nube definido por grupos de trabajo con el fin de que sea gratuita, y productos que pueden agregar valor a la gestión. Es otro caso de ‘quédese en sintonía para el próximo capítulo’, que podría ser en la próxima conferencia RSA en San Francisco.
Dato curioso: Dunkelberger adquirió la tecnología de encriptación conocida como "Pretty Good Privacy" por menos de dos millones de dólares, y se la vendió a Symantec hace dos años por más de 300 millones de dólares. Nok Nok Labs es la quinta iniciativa de Dunkelberger.
Risk I/O
Sede: Chicago
Fundada: 2011
Financiamiento: 6,25 millones de dólares de financiamiento ‘serie A’liderado por US Venture Partners con Tugboat Ventures y Costanoa Venture Capital
Líderes: Los co-fundadores, CEO Ed Bellis y el CTO Jeff Heuer
¿Por qué la estamos observando?: Risk I/O ofrece una herramienta de software como servicio, con el mismo nombre que agrega grandes cantidades de datos de una variedad de herramientas de evaluación de la seguridad con fines de gestión de vulnerabilidades. Puede ser utilizada colaborativamente por un equipo de trabajo, de hecho, la herramienta está siendo utilizada por cerca de 700 empresas en la actualidad. Bellis dijo que inició la compañía con base en su experiencia como CISO en Orbitz y los desafíos de seguridad que enfrentó en los negocios.
Dato curioso: La compañía comenzó su vida con el nombre de HoneyApp.
Shape Security
Sede: Mountain View, California
Fundada: 2011
Financiamiento: 26 millones de dólares, incluyendo los 20 millones de dólares de financiación ‘serie B’ que se anunció este mes de enero por parte de participantes que incluyen a Kleiner Perkins Caufield & Byers, Allegis Capital, Google Ventures, Eric Schmidt Tomorrow Ventures y el ex CEO de Symantec Enrique Salem. La primera ronda de seis millones de dólares fue de Kleiner Perkins y Tomorrow ventures.
Liderazgo: El CEO Derek Smith.
¿Por qué la estamos viendo?: Aunque todavía está en modo oculto, la compañía parece estar tomando la seguridad web. Los inversores, por supuesto, están prodigando elogios a la tecnología que aún está por ser revelada y que Shape Security, está desarrollando. "La detección basada en la firma y la heurística han tenido éxito en mantener el ritmo con la complejidad de los ataques web modernos", señala el inversionista de Shape, Enrique Salem, ex CEO de Symantec, cuya carrera terminó abruptamente cuando la junta directiva de esa compañía lo obligó a dimitir en julio del 2012. "Estoy muy emocionado acerca de la tecnología de Shape porque permitirá desviar de forma automática los ataques a sitios web, utilizando un enfoque mucho más sofisticado". Una portavoz de la compañía dijo que Shape planea tener un producto disponible a nivel general para fines del 2013, aunque esto podría aplazarse hasta el inicio del 2014.
Dato curioso: Smith fue el co-fundador del proveedor de prevención de pérdida de datos Oakley, vendido a Raytheon en el 2007. Empezó Shape Security con el CTO Justin Llamadas y Sumit Agarwal, ex asesor senior de innovación cibernética del Departamento de Defensa de EE.UU.
TaaSERA
Sede: Cupertino, California
Financiamiento: Cerca de dos millones de dólares de fondos privados
Liderazgo: CEO C. Scott Hartz, quien lleva más de 40 años en la consultoría estratégica y tecnológica, incluyendo siete años como CEO de PwC Consulting
Fundada: 2012 por Shrinivas Kumar, CTO y vicepresidente
¿Por qué la estamos siguiendo?: Se dice que el nombre "TaaSERA", significa "confianza como servicio". Sin embargo, la nueva empresa también ofrecerá un producto, conocido como TaaSERA Attack Warning y Response Engine (AWARE), que saldrá a finales de este mes cuando la empresa haga su debut oficial con su software de detección de ataques de malware basado en el comportamiento. Inicialmente incluirá agente de software para computadoras basadas en Windows y la plataforma Android de Google, además de sensores de red, que están destinados para ser instalados con el fin de vigilar y detectar signos de comportamiento malicioso de los atacantes y malware en tiempo real.
El enfoque, que es semejante a lo que hace la empresa de seguridad FireEye en la detección de malware, también está destinado a ser utilizado en combinación con otros productos de seguridad para recibir los canales adicionales de datos -alianzas con Bit9 y ArcSight HP, por ejemplo, están en marcha- para obtener evidencia adicional de malware y detectar ataques ‘de día cero’. La herramienta TaaSERA NetAnalyzer, instalada como dispositivo virtual en la red, se supone que debe reunir pruebas de comportamiento para analizar los patrones de malware, categorizar las amenazas y proporcionar datos forenses. Se dice que los primeros adoptantes de la tecnología ya están probando esto.
La empresa emergente ha conseguido atraer a Tom Ridge, ex secretario del Departamento de Seguridad Nacional de EE.UU. y ex gobernador de Pensilvania, para formar parte de su consejo asesor. Ridge, quien dice tener una "modesta" participación en TaasSERA, afirma que no hará lobbys activos para la empresa, pero está convencido de que el enfoque de TaaSERA representa un "avance muy importante" en el uso de análisis de la seguridad que se necesita hoy en día. La empresa ha llegado con el "análisis sofisticado de datos para identificar a posibles terroristas y criminales por adelantado", señala, y añade que cree que la amenaza es mayor hoy que hace 10 años atrás.
Dato curioso: Shrinivas Kumar, el inventor de la tecnología base, antes fue arquitecto de soluciones de VMware, y el enfoque de TaaSERA se describe como optimizado para las infraestructuras basadas en VMware.
Trustonic
Sede: Londres
Fundación: 2012 como una empresa conjunta por ARM, Gemalto y Giesecke & Devrient
Financiamiento: No revelado, aunque "decenas de millones" en inversión es un término muy de moda en los medios.
Liderazgo: Ben Cade, CEOl, ex ejecutivo de ARM, donde dirigió la división de servicios de seguridad
¿Por qué la estamos siguiendo?: Trustonic tiene lo que se llama su tecnología TrustZone incrustada en los circuitos integrados que quieren utilizarse para fines tales como el almacenamiento seguro de claves de encriptación en dispositivos móviles o pagos electrónicos o cajas decodificadoras de televisión. Tras su debut en diciembre del 2012, Trustonic es una obra de empresas expertas en tecnología de Europa que busca que el resto del mundo abrace su modelo encriptado, esencialmente, un sistema operativo embebido, como plataforma común para lanzar nuevas maneras de entregar contenidos basados en suscripción como video o para pagar cosas u otros servicios personalizados en los dispositivos móviles. Hasta el momento, Trustonic está siendo respaldada por firmas que incluyen Cisco, Samsung, Symantec, Sprint, Nvidia, Good Technology, Wave Systems, MasterCard y 20th Century Fox Entertainment, entre otros. Aunque los detalles son vagos, Stephen Bye, CTO de Sprint, dijo que la compañía espera hacer uso de la tecnología en el futuro para prestar servicios.
Dato curioso: La tecnología encriptada de Trustonic ya se ha desplegado en el último Samsung Galaxy S III y Note II que cuentan con Android.
Vaultive
Sede: Nueva York
Fundación: 2009 por Ben Matzkel, director de estrategia y el CTO Maayan Tal, ambos de McAfee
Financiamiento: Diez millones de dólares de 406 Ventures, New Science Ventures y Harmony Partners, además de unos cuantos millones de dólares de otros inversionistas.
Liderazgo: Elad Yoran, presidente y CEO, cuya carrera de 20 años en seguridad cibernética incluye actuaciones en Riptech (adquirida por Symantec) y Sentrigo (adquirida por McAfee).
¿Por qué la estamos siguiendo?: El primer producto de Vaultive lanzado el pasado mes de mayo permite que los administradores de la empresa de seguridad controlen el cifrado de datos de correo electrónico de forma remota en el servicio de nube Microsoft 365. El proxy utiliza la encriptación Advanced Encryption Standard para cifrar estos datos almacenados en la nube de una manera que solo las personas autorizadas puedan ejecutar una consulta de búsqueda cifrada al servidor de Exchange hospedado por Microsoft para presentar los resultados desencriptados que se pueden leer en texto plano. Como Yoran ha señalado, el enfoque significa que las empresas que encriptan los datos de esta manera en la nube pueden evitar que se puedan acceder o sacar mediante una orden judicial sin que la empresa lo sepa. Los nuevos métodos de prestación de encriptación basada en la nube parece ser algo en lo que las empresas emergentes y sus inversionistas están dispuestos a apostar, a medida que las empresas demuestran la creciente confianza en el uso de servicios basados en la nube.
Dato curioso: Antes de co-fundar Vaultive, Maayan Tal fue gerente general de las operaciones de desarrollo de McAfee en Israel.
– Network World US