Nico Waisman: Vom Autodidakten in Argentiniens Hackerszene zum CISO bei XBOW

Waisman wurde in Argentinien geboren und lebt nach eigenen Angaben noch heute dort. Seine ersten Berührungspunkte mit dem Thema Sicherheit entstanden in einer Zeit, in der er sich von neuer Technik angezogen fühlte und insbesondere davon, Systeme dazu zu bringen, etwas anderes zu tun als vorgesehen. Er beschreibt sich in jungen Jahren als Hacker, angetrieben von Neugier, Herausforderung und Freude am Tüfteln, nicht von Gewinnabsicht oder dem Wunsch, Schaden anzurichten.

Eine formale Ausbildung in Computertechnik oder Cybersicherheit hatte er nicht. Beides habe es in Argentinien damals praktisch nicht gegeben. Sein Wissen über Programmcode, Fehler, Schwachstellen und deren Ausnutzung eignete er sich selbst an. Er erinnert sich an eine Zeit mit wenig Dokumentation, viel Experimentieren und Reverse Engineering. Gerade das genaue Verstehen eines Problems und der Versuch, ein System zu brechen, habe ihn besonders gereizt.

Beruflich begann seine Laufbahn 2003 bei Immunity als Senior Security Researcher. Dort blieb er bis 2019 und stieg nach und nach bis zum VP für Lateinamerika auf. Er arbeitete an CANVAS, einem Exploitation-Framework, das laut dem Bericht die frühe Entwicklung von Pentestern und Red Teams stark prägte. Seine Arbeit umfasste die Zusammenarbeit mit öffentlichen und privaten Organisationen, das Auffinden von Schwachstellen und die Analyse ihrer Ausnutzbarkeit, zunächst unter Linux, später auch unter Windows.

In diesen 17 Jahren baute Waisman nicht nur technisches Wissen aus, sondern auch Kommunikations- und Führungskompetenz. Er sprach auf Konferenzen wie Black Hat, Syscan, PacSec, RuxCon und Ekoparty. Führung sei für ihn nicht geplant gewesen, sondern eher aus der Praxis entstanden: Wer Teams zusammenstellt, werde oft automatisch auch ihr Leiter. Zeitweise berichteten ihm 30 oder 40 Pentester, die für Fortune-500-Unternehmen Anwendungssicherheitstests und Penetrationstests durchführten.

Im Juni 2019 wechselte Waisman zu Semmle als Director of Research für Lateinamerika. Kurz nach seinem Einstieg wurde Semmle von GitHub übernommen, und noch im selben Jahr wurde er Senior Director des GitHub Security Lab. Dort verlagerte sich sein Schwerpunkt stärker auf Open-Source-Software und die Absicherung der Software-Lieferkette. Laut Waisman half er GitHub dabei, CodeQL von Semmle zu übernehmen und zu integrieren. Zudem habe das GitHub Security Lab mit Unternehmen wie Microsoft und Google an einer gemeinsamen Initiative zur Absicherung von Open-Source-Software gearbeitet, deren Ergebnis später an die Linux Foundation überging und dort als Open Source Security Foundation verankert wurde.

2020 wechselte Waisman zu Lyft als Head of Security and Privacy; innerhalb von zwei Jahren wurde er dort CISO. Für ihn war das der Einstieg in die defensive Sicherheitsarbeit. Bei Lyft stellte sich ihm nach eigenen Worten die Frage, wie sich ein Sicherheitsprogramm aufbauen lässt, das mit dem Tempo der Entwickler Schritt hält, ohne dieses Tempo auszubremsen. Daraus leitete er eine Grundidee ab: Verteidigung müsse mit Befähigung verbunden werden.

Nach drei Jahren wechselte er zu XBOW. Zusammen mit Oege de Moor, dem Gründer von Semmle, entwickelte er die Idee, künstliche Intelligenz mit offensiver Sicherheit zu verbinden. Waisman sagt, XBOW sei seit zwei Jahren am Markt und biete das erste autonome KI-Produkt, das Penetrationstests im Stil menschlicher Fähigkeiten ausführen und in großem Maßstab betreiben könne. Seit dem Start ist er dort CISO.

Ein weiterer Schwerpunkt des Gesprächs ist die Belastung der CISO-Rolle. Waisman beschreibt sie als von erheblichem Stress geprägt, unter anderem wegen der Verantwortung für die Handlungen anderer, des Spagats zwischen Sicherheit und Befähigung sowie knapper Ressourcen. Führung bedeute für ihn deshalb auch, Druck von den Teams fernzuhalten und Überlastung zu erkennen. Zugleich warnt er vor den Folgen günstigerer KI für Angreifer. Noch sei der Einsatz teuer, doch mit sinkenden Kosten werde der Punkt schnell erreicht sein, an dem sich autonome, anpassungsfähige Schadsoftware im großen Maßstab rechne. Für diese Entwicklung, so Waisman, sei die Branche noch nicht bereit.