جاك تشيركاس، مسؤول أمن المعلومات العالمي في Syntax – سلسلة المقابلات

جاك تشيركاس، مسؤول أمن المعلومات العالمي في Syntax، هو مسؤول أمن سيبراني ذو خبرة عميقة في مجالات أمن السحابة، والاستجابة للطوارئ، والهندسة المعمارية للمؤسسات، وأمن الذكاء الاصطناعي. شغل مناصب عليا في Syntax، وPwC UK، وKyndryl، وIBM، حيث ساعد في بناء وتوسيع عمليات الأمن، وإدارة جهود الاستجابة للطوارئ الكبرى، وتطوير استراتيجيات الصمود السيبراني للبيئات المؤسسية الكبيرة. في Syntax، يدير الأمن السيبراني العالمي عبر أشخاص الشركة، والأنظمة، ومراكز البيانات، والخدمات السحابية المدارة، والخدمات الأمنية التوجهية للعملاء، مع إشراف على فريق من أكثر من 65 chuyên في الأمن عبر ثماني دول.

Syntax هي شركة عالمية لخدمات تكنولوجيا المعلومات وخدمات السحابة المدارة، متخصصة في تطبيقات المؤسسات الحيوية، ولا سيما بيئات SAP وOracle. تدعم الشركة المنظمات في هجرة السحابة، والاستضافة المدارة، وأمن المؤسسات، وإدارة التطبيقات، والعمليات المدعومة بالذكاء الاصطناعي عبر البنية التحتية السحابية الهجينة والمتعددة. تركز عملها على مساعدة المؤسسات في تحديث، وأمن، و تشغيل أنظمة الأعمال المعقدة على نطاق واسع.

لقد قادت مبادرات الأمن السيبراني في IBM، وKyndryl، وPwC، والآن Syntax. كيف تغيرت وجهة نظرك حول تأمين التكنولوجيات الناشئة مثل الذكاء الاصطناعي، خاصةً مع انتقال المنظمات من التجربة إلى الإنتاج؟

مسيرتي المهنية تتبع سلسلة من الاضطرابات، كل منها ي đòi من الأمن اللحاق بالركب إلى سطح تحكم جديد. في IBM في البداية، السؤال كان هل يمكننا الوثوق ببنية تحتية لشخص آخر لتشغيل حمولة العمل الحيوية. الجواب كان نموذج المسؤولية المشتركة وجيل جديد من الضوابط الأصلية.

ثم جاء عصر الفدية. NotPetya في عام 2017 عطلت الشركات في ساعات، و تعلمت الصناعة أن البرمجيات الخبيثة القابلة للانتشار يمكن أن تدمر سلاسل التوريد العالمية في ليلة وضحاها. الاستجابة كانت التحضير لما سيحدث (وليس إذا ما حدث) هجوم سيبراني، وتنظيم الشبكة، ونسخ احتياطي لا يمكن تغييره، ودفع جاد على الهوية.

على مدار فترتي في Kyndryl وPwC، انتقلت تطبيقات البرمجيات كخدمة من الحواف إلى المركز لكل ملكية. انتقلت الحمولات من مراكز البيانات إلى رصيد شخص آخر، وأصبحت الهوية الحدود، وStopped تكون نماذج الثقة الصفرية شجرة وبدأت تكون نموذجًا تشغيليًا.

الآن في Syntax، نحن في موجة الذكاء الاصطناعي العام، حيث النظام نفسه يفكر، وينتج، ويتحرك. كل موجة قدمت لنا سطح تحكم جديد، وعدم وجود تحذير كاف، ونافذة أقصر بين التجربة والإنتاج. السحابة استغرق YEARS. تطبيقات البرمجيات كخدمة استغرق ربع السنة. الذكاء الاصطناعي العام يستغرق أسابيع. مسؤولي أمن المعلومات الذين يبقون على اتصال هم الذين توقفوا عن معاملة كل موجة على أنها استثناء وبدؤوا يعاملون التبني السريع على أنه الحالة المستقرة.

كيف تقيّم المخاطر التي تتعرض لها الثقة، وليس فقط الامتثال، عند تسريع المنظمات لاعتماد الذكاء الاصطناعي؟ ما هي المؤشرات الأولى التي تشير إلى أن هذا يبدأ في الحدوث؟

الثقة هي الأساس لأي تبني جيد للذكاء الاصطناعي. المؤشرات الأولى ليست في تقرير التدقيق، بل في الإشارات التشغيلية. عمليات نشر الذكاء الاصطناعي المظلمة التي لا يملكها أحد. الموافقة على موردو الذكاء الاصطناعي العام بدون مراجعة أمنية. سلاسل البيانات التي تنكسر في لحظة سؤال من أين جاءت بيانات التدريب. وكلاء الذكاء الاصطناعي الممنوحين صلاحيات المسؤول لأن لا أحد أراد إبطاء المشروع. عندما ترى هذه الإشارات الأربع في منظمة واحدة، الثقة يتم إنفاقها أسرع مما يتم كسبها. القيادة عادة ما تكون آخر من يعرف.

كثير من الشركات تتبنى الذكاء الاصطناعي بشكل أسرع مما يمكنها تأمينه. ما هي المخاطر الأكثر شيوعًا التي ترىها اليوم عندما ي tụن الحوكمة وراء الابتكار؟

عندما ي tụن الحوكمة، ثلاثة أشياء تحدث، ولا واحدة منها تظهر كحوادث أمنية حتى وقت لاحق. أولاً، التعرض التنظيمي يتراكم بهدوء: نشر الذكاء الاصطناعي الذي يخالف متطلبات الشفافية في قانون الذكاء الاصطناعي الأوروبي لا يؤدي إلى إنذار؛ إنه يظهر في تدقيق بعد عامين كغرامة. ثانيًا، ثقة العملاء تتناقص في معاملات لا تراها: العملاء يختارون منافسين يمكنهم إثبات الحوكمة، وفريق المبيعات لا يعرف أبدًا لماذا. ثالثًا، جودة القرار تتناقص: المنظمة تتخذ المزيد من القرارات التي تؤثر عليها الذكاء الاصطناعي، ولكن لا يمكنها تفسيرها أو تدقيقها، والقرارات السيئة تتراكم في أماكن لا أحد ينظر إليها. تكلفة حوكمة الذكاء الاصطناعي الضعيفة هي التآكل البطيء للتدقيق، والمبيعات، وجودة القرار، وانتهاءً bằng خرق يضر بالسمعة.

من خبرتك في بناء وتوسيع خدمات الأمن المدارة وعمليات مركز العمليات الأمنية، كيف يجب على المنظمات إعادة التفكير في نماذج الأمن لتتعامل مع الأنظمة التي تعمل بالذكاء الاصطناعي والقرارات المستقلة؟

الذكاء الاصطناعي هو مجال هجوم جديد، ومضاعف التهديد، وقطعة أمنية حيوية، ونموذج الأمن يجب أن يتكيف ليتناول جميع هذه الجوانب في نفس الوقت.

كمجال هجوم، منصات الذكاء الاصطناعي العام نفسها تصبح أهدافًا للدفاع. كمضاعف تهديد، المهاجمون يستخدمون الذكاء الاصطناعي لصنع البريد المزعوم بالكمية، وإنشاء شفرة الاستغلال، وتحسين الاستطلاع، واكتشاف الثغرات بأسرع ما يمكن. كقطعة أمنية، نفس التكنولوجيا التي تحولت في الاتجاه الآخر هي الإجابة الواقعية الوحيدة: التriage المدفوع بالذكاء الاصطناعي، واصطياد التهديدات الآلي، وتعزيز المحللين لا يعدو كونه خياريًا؛ إنه كيف يبقى مركز العمليات الأمنية على اتصال مع عدو مدعوم بالذكاء الاصطناعي. إذا كنا مدعومين بالذكاء الاصطناعي ونحن لا، الفجوة تتراكم مع كل دورة.

ذلك يخلق أيضًا نوعًا جديدًا من الممثلين الذين يجب على النموذج أن يديرهم. في Syntax، نحن نفكر بالفعل في وكلاء الذكاء الاصطناعي كأعضاء ينضمون إلى مخطط المنظمة، إلى جانب البشر، مما يحدد معيارًا لطريقة تأمنهم. وكلاء الذكاء الاصطناعي يحتاجون إلى كل ما نمنحه للمستخدمين البشر (الهوية، وتصنيفات الدور، وسجلات النشاط، ومقاييس السلوك) بالإضافة إلى مفاتيح الاحتواء نفسها التي نستخدمها على حسابات المخترقة: القدرة على تعطيلها، وفرزها، و سحبها. الفرق هو السرعة. الوكلاء يتصرفون في أجزاء من الثانية، لذلك هذه المفاتيح يجب أن تكون فورية وآلية، وليست في نهاية تدفق استجابة الحوادث.

في Syntax، مركز العمليات الأمنية العالمي يتحول بحيث يضيف الذكاء الاصطناعي إلى المحلل البشري، بينما يبني موظفونا تدفقات عمل ووكلاء داخل منصة Syntax للذكاء الاصطناعي العام، والتي توفر حواجز أمان ضد التحيز، والسمية، وضبطات لخصوصية البيانات وأمانها افتراضيًا.

هذا هو التغيير. الدفاع عن الذكاء الاصطناعي كهدف. نشر الذكاء الاصطناعي كمدافع. حوكمة استخدام الذكاء الاصطناعي.

كيف يمكن للمنظمات الحفاظ على زخم الابتكار أثناء تنفيذ الإشراف والحدود اللازمة لأنظمة الذكاء الاصطناعي؟

السرعة والسيطرة يبدو أنها متناقضتان حتى تبني حوكمة تسافر مع المشروع بدلاً من حظره. الخطأ هو وضع الحوكمة في البوابة: لجنة، أو موافقة، أو استعراض ربع سنوي. بمجرد أن تفتح البوابة، الفريق قد ذهب حولها أو فقد زخمها. النموذج الذي يعمل هو عمليات معاد تعريفها مع حوكمة مخبأة فيها. التواصل الواضح والمستمر هو النقطة الأولى، يليها أنماط مسبقة الموافقة، ونسق البيانات المسبقة الموافقة، وقوالب الأذونات المسبقة التعريف. الفرق يحصل على السرعة، وفرق الأمن يحصل على الرؤية، والتبادل الذي يفترض وجوده يثبت أنه عملية سيئة التصميم. هذا كل شيء عن موازنة الأمن مع الابتكار ضد شهية المخاطر الخاصة بكل منظمة.

كيف يتغير طبيعة التهديدات السيبرانية والطريقة التي يجب على المنظمات أن تستعد لها مع إدخال الذكاء الاصطناعي؟

الذكاء الاصطناعي يعزز التهديدات عبر مختلف المتجهات. النطاق: البريد المزعوم والاستطلاع بسرعة الآلة ضد آلاف الأهداف في نفس الوقت. التعقيد: الهندسة الاجتماعية التي تتم بوسائل متقدمة تتفوق على التحقق من الصوت والفيديو. الهوية: الهويات الاصطناعية التي تنجح في اختبارات الهوية المصممة للبشر.

للاستجابة للحوادث، الآثار تشغيلية. تحتاج إلى كشف لا يعتمد على البشر للاعتراف بالأنماط بسرعة البشر. تحتاج إلى بروتوكولات التحقق التي تفترض أن الصوت والفيديو يمكن تزييفهما. تحتاج إلى كتيبات استجابة للحوادث التي تغطي صراحة الحوادث المرتبطة بالذكاء الاصطناعي، لأن خطوات الاستعادة ليست هي نفسها كما في حالة فدية البرمجيات الخبيثة.

ماذا يعني “الأمان المصمم” للذكاء الاصطناعي في بيئة مؤسسية حقيقية معقدة؟

في Syntax، يعني ذلك موازنة الابتكار والأمان، من خلال اعتماد منصة GenAI الخاصة بنا مع حواجز أمان مخبأة، وخدمات GenAI المعتمدة والمنعزلة والمحظورة، ودفع ثقافة الأمان أولًا من خلال مكتب الحوكمة للذكاء الاصطناعي. لمكتب الأمن العالمي، يعني ذلك وضع أنفسنا كمنشطين للأعمال، وليس حواجز، ودعم الأعمال بأولوياتها الاستراتيجية مع حماية Syntax وفقًا ل شهية المخاطر.

ماذا يجب أن يتغير ثقافيًا وعمليًا لكي تعتمد المنظمات حقًا على عقلية أن الأمن والامتثال ليسا عائقين بل محفزين للنمو؟

أكبر تغيير هو ما يبدو النجاح عليه. فرق الأمن تم قياسها لعدة عقود على ما لم يحدث: لا انتهاكات، ولا حوادث، ولا نتائج تدقيق. هذا القياس يكافئ القول لا. الفرق التي تعمل كمحفزين يقيسون شيئًا مختلفًا: الصفقات التي فازت بها لأن الضوابط كانت واضحة، والإطلاقات التي حققت موعدها لأن الأمن أزال العوائق، والابتكارات التي انتقلت من خلال الحوكمة بدلاً من تجاوزها.

عمليًا، يحتاج إلى عمليات معاد تعريفها مع حوكمة مخبأة، مقترنة بتمكين نشط مثل منصة GenAI الخاصة بنا التي تجعل الأمان مسارًا أسهل، وبرامج تعليم وبرامج الذكاء الاصطناعي المتاحة مثل مبادرة أبطال الذكاء الاصطناعي.

الثقافة تتبع ما تحفزه وما تمكنه. تغيير ما تكافئه، وتجهيز الناس بالأدوات والتدريب الصحيحين في الوقت الصحيح، وتغيير ما يفعلونه. هذا هو الرحلة التي تخوضها Syntax.

كيف يجب على مسؤولي أمن المعلومات التعاون مع قادة الذكاء الاصطناعي، وعلماء البيانات، وفرق المنتجات لضمان المساءلة دون إبطاء التقدم؟

مسؤول أمن المعلومات الذي ينتظر أن يُدعى سيكون متأخرًا. مسؤول أمن المعلومات الذي يأتي مبكرًا، مع أنماط عملية بدلاً من اعتراضات سياسية، يصبح الشريك الذي يريده مشروع الذكاء الاصطناعي على الطاولة. في الممارسة، يعني ذلك جلسات التصميم المشتركة مع فرق الذكاء الاصطناعي، والموافقات الأمنية التي تجلس إلى جانب الموافقات الوظيفية بدلاً من بعدها، وسياسة باب مفتوح. هذا يغير المحادثة من كونها “دائرة لا” إلى “نعم، ولكن” أو “لا، ولكن” كشريك متعاون ومتعاون للأعمال.

هل تعتقد أننا سنجد إطارًا عالميًا معياريًا للحوكمة للذكاء الاصطناعي، أو أن المنظمات ستحتاج إلى بناء هياكل ثقة داخلية بغض النظر عن التنظيم؟

كلاهما، بالترتيب. سنرى تلاشيًا متدرجًا إلى عدد قليل من الإطارات الإقليمية، قانون الذكاء الاصطناعي الأوروبي أولاً، يليها إطارات أخرى مع اختلاف محلي. لن نرى معيارًا عالميًا واحدًا في هذا العقد بسبب التجزئة الجيوسياسية. لذلك، ستقوم المنظمات بفعل شيءين في نفس الوقت: الامتثال للإطار الذي يطبق على أكبر سوق لها و تشغيل هيكل ثقة داخلي يتجاوز أي إطار ضعيف. الهيكل الداخلي أكثر أهمية من المعيار الخارجي، لأن المنظمات تتحرك ببطء والتهديدات لا تتحرك. الشركات التي تبني هياكل ثقة داخلية الآن ستنفق العقد القادم قائلة “لدينا ذلك بالفعل” لكل منظم جديد يصل.

شكرًا على المقابلة الرائعة، القراء الذين يرغبون في التعلم أكثر يجب أن يزوروا Syntax.