جاك تشيركاس، مدير أمن المعلومات العالمي في Syntax – سلسلة المقابلات

جاك تشيركاس، مدير أمن المعلومات العالمي في Syntax، هو مسؤول أمن سيبراني ذو خبرة عميقة في مجالات أمن السحابة، والاستجابة للطوارئ، والهندسة المعمارية للمؤسسات، وأمن الذكاء الاصطناعي. شغل مناصب عليا في Syntax، وPwC UK، وKyndryl، وIBM، حيث ساهم في بناء وتوسيع عمليات الأمن، وإدارة جهود الاستجابة للطوارئ الكبرى، وتنمية استراتيجيات الاستجابة للطوارئ للبيئات المؤسسية الكبيرة. في Syntax، يدير أمن المعلومات العالمي عبر أشخاص الشركة، والأنظمة، ومراكز البيانات، والخدمات السحابية الإدارية، والخدمات الأمنية التوجيهية للعملاء، حيث يُشرف على فريق من أكثر من 65 محترف أمني في ثماني دول.

Syntax هي شركة عالمية لخدمات تكنولوجيا المعلومات والخدمات السحابية الإدارية المتخصصة في تطبيقات المؤسسات الحيوية، ولا سيما بيئات SAP وOracle. تدعم الشركة المنظمات في هجرة السحابة، والاستضافة الإدارية، وأمن المعلومات، وإدارة التطبيقات المؤسسية، والعمليات المدعومة بالذكاء الاصطناعي عبر البنية التحتية السحابية الهجينة والمتعددة. تركز عمل الشركة على مساعدة المؤسسات في تحديث أنظمة الأعمال المعقدة، وتأمينها، و تشغيلها على نطاق واسع.

لقد قادت مبادرات أمن المعلومات في IBM، وKyndryl، وPwC، والآن Syntax. كيف تغيرت وجهة نظرك حول تأمين التكنولوجيات الناشئة مثل الذكاء الاصطناعي، خاصةً مع انتقال المنظمات من التجربة إلى الإنتاج؟

مسيرتي المهنية شهدت سلسلة من الاضطرابات، كل منها ي đòi مني أن ألتقط أمن المعلومات. في IBM في البداية، كان السؤال هو ما إذا كنا نثق ببنية تحتية ت thuộc لشخص آخر لتشغيل حمولة العمل الحيوية. كانت الإجابة نموذج المسؤولية المشتركة وجيل جديد من أجهزة التحكم السحابية.

ثم جاء عصر الفدية. Disabled NotPetya في عام 2017 شركات في ساعات، وتعلمت الصناعة أن البرمجيات الخبيثة القابلة للتحويل يمكن أن تدمر سلاسل التوريد العالمية في ليلة وضحاها. كان الاستجابة هو الاستعداد لما سيحدث (وليس إذا ما حدث) هجوم إلكتروني، وتنظيم الشبكة، والنسخ الاحتياطي غير القابل للتغيير، والدفع الجاد على الهوية.

طوال فترتي في Kyndryl وPwC، انتقلت تطبيقات السحابة من الحواف إلى مركز كل ملكية. انتقلت الحمولات من مراكز البيانات إلى حزمة شخص آخر، وأصبحت الهوية محيطًا، وStopped Zero Trust كونها مخططًا وبدأت تكون نموذجًا تشغيليًا.

الآن في Syntax، نحن في موجة الذكاء الاصطناعي، حيث يعتمد النظام نفسه على العقل، والتنمية، والعمل. كل موجة أعطتنا سطح تحكم جديد، وليس هناك تحذير كافٍ، ونافذة أقصر بين التجربة والإنتاج. استغرق السحابة سنوات. استغرق تطبيق السحابة أرباع السنة. يستغرق الذكاء الاصطناعي أسابيع. المديرون التنفيذيون للأمن الذين يبقون على اطلاع هم الذين توقفوا عن معاملة كل موجة على أنها استثناء وبدؤوا يعاملون التبني السريع على أنه حالة مستقرة.

كيف تقيّم المخاطر التي تتعرض لها الثقة، وليس فقط الامتثال، مع تسارع المنظمات في تبني الذكاء الاصطناعي؟ ما هي المؤشرات الأولى التي تشير إلى أن هذا يبدأ في الحدوث؟

الثقة هي الأساس لأي تبني جيد للذكاء الاصطناعي. المؤشرات الأولى ليست في تقرير التدقيق، بل في الإشارات التشغيلية. عمليات تطبيق الذكاء الاصطناعي التي لا يملكها أحد. الموافقة على مورد الذكاء الاصطناعي بدون مراجعة أمنية. سلاسل البيانات التي تنكسر في اللحظة التي تسأل فيها عن مصدر بيانات التدريب. وكلاء الذكاء الاصطناعي الذين حصلوا على صلاحيات المسؤول لأن لا أحد أراد إبطاء المشروع. عندما ترى هذه الإشارات الأربع في منظمة واحدة، فإن الثقة يتم إنفاقها أسرع مما يتم كسبها. عادةً ما يكون القيادة آخر من يعرف.

كثير من الشركات تتبنى الذكاء الاصطناعي بشكل أسرع مما يمكنها تأمينه. ما هي المخاطر الأكثر شيوعًا التي ترى اليوم عندما ي tụن الحوكمة وراء الابتكار؟

عندما ت tụن الحوكمة، يحدث ثلاثة أشياء، ولا واحدة منها تظهر كحوادث أمنية حتى وقت لاحق. أولاً، التعرض للتنظيمات يتراكم بهدوء: تطبيق الذكاء الاصطناعي الذي يخترق متطلبات الشفافية في قانون الذكاء الاصطناعي الأوروبي لا يؤدي إلى إشارة تحذير؛ إنه يظهر في مراجعة بعد عامين كغرامة. ثانيًا، ثقة العملاء تتفكك في المعاملات التي لا ترى: يختار العملاء منافسين يمكنهم إثبات الحوكمة، وفريق المبيعات لا يعرف أبدًا لماذا. ثالثًا، جودة القرار تتفكك: المنظمة تتخذ المزيد من القرارات التي تتأثر بالذكاء الاصطناعي، ولكنها لا تستطيع تفسيرها أو تدقيقها، والقرارات السيئة تتراكم في أماكن لا أحد ينظر إليها. تكلفة الحوكمة الضعيفة للذكاء الاصطناعي هي التآكل البطيء للتدقيق، والمبيعات، وجودة القرار، وانتهاءً بخرق يضر بالسمعة.

من خلال خبرتك في بناء وتوسيع خدمات الأمن الإداري وعمليات مركز العمليات الأمنية، كيف يجب على المنظمات إعادة التفكير في نماذج الأمن لتتعامل مع الأنظمة التي تعتمد على الذكاء الاصطناعي والقرارات المستقلة؟

الذكاء الاصطناعي هو مجال جديد للهجوم، ومضاعف التهديد، وقطعة أمنية حيوية، ويتعين على نموذج الأمن أن يتكيف ليتناول جميع هذه الجوانب في نفس الوقت.

كمجال للهجوم، تصبح منصات الذكاء الاصطناعي نفسها أهدافًا للدفاع. كمضاعف للتهديد، يستخدم المهاجمون الذكاء الاصطناعي لصنع البريد المزيف على نطاق واسع، وإنشاء شفرة الاستغلال، وتنفيذ الاستطلاع الآلي، واكتشاف الثغرات الأمنية بسرعة الآلة. كقطعة أمنية، نفس التكنولوجيا التي تحولت في الاتجاه الآخر هي الإجابة الواقعية: التriage المدعوم بالذكاء الاصطناعي، والصيد التهديدي الآلي، وتعزيز المحللين هي لم تعد خيارية؛ إنها كيف يبقى مركز العمليات الأمنية متقدمًا مع خصم مدعوم بالذكاء الاصطناعي. إذا كانوا مدعومين بالذكاء الاصطناعي ونحن لسنا، فإن الفجوة تتراكم مع كل دورة.

ذلك يخلق أيضًا نوعًا جديدًا من الممثلين الذين يجب على النموذج أن يحكمهم. في Syntax، نحن نفكر بالفعل في وكلاء الذكاء الاصطناعي على أنهم ينضمون إلى مخطط المنظمة، إلى جانب البشر، مما يحدد معيارًا لطريقة تأمينهم. وكلاء الذكاء الاصطناعي يحتاجون إلى كل ما نمنحه للمستخدمين البشر (الهوية، والصلاحيات المستندة إلى الأدوار، وسجلات النشاط، والأسس السلوكية) بالإضافة إلى مفاتيح الاحتواء نفسها التي نستخدمها على الحسابات المخترقة: القدرة على تعطيلها، وفرزها، وفسخها. الفرق هو السرعة. يتصرف الوكلاء في أجزاء من الثانية، لذلك يجب أن تكون هذه المفاتيح فورية وآلية، وليس في نهاية تدفق استجابة الحوادث.

في Syntax، تم تطور مركز العمليات الأمنية العالمي بحيث يُضيف الذكاء الاصطناعي إلى المحلل البشري، بينما يبني موظفونا تدفقات عمل ووكيلًا داخل منصة Syntax للذكاء الاصطناعي، والتي توفر حواجز أمان ضد التحيز، والسمية، وضبطات لخصوصية البيانات وأمانها افتراضيًا.

هذا هو التفكير الجديد. الدفاع عن الذكاء الاصطناعي كهدف. نشر الذكاء الاصطناعي كمدافع. الحوكمة استخدام الذكاء الاصطناعي.

كيف يمكن للمنظمات الحفاظ على زخم الابتكار مع تنفيذ الإشراف والتحكم على أنظمة الذكاء الاصطناعي؟

السرعة والتحكم يبدو وكأنهما متناقضان حتى تبني الحوكمة التي تسافر مع المشروع بدلاً من حظره. الخطأ هو وضع الحوكمة في البوابة: لجنة، أو موافقة، أو مراجعة ربع سنوية. بمجرد أن تفتح البوابة، فإن الفريق إما قد ذهب حولها أو فقد زخمه. النموذج الذي يعمل هو العمليات المعرفة مع الحوكمة المضمنة فيها. التواصل الواضح والمستمر هو النقطة الأولى، يليها أنماط مسبقة الموافقة، وحركات البيانات المسبقة الموافقة، وقوالب الصلاحيات المسبقة التعريف. يحصل الفريق على السرعة، ويحصل فريق الأمن على الرؤية، والتنازلات التي يفترض الجميع أنها موجودة تظهر أنها عملية سيئة التصميم. كل هذا يتعلق بتوازن الأمن مع الابتكار ضد شهية المخاطر الخاصة بكل منظمة.

كيف يغير الذكاء الاصطناعي طبيعة التهديدات السيبرانية والطريقة التي يجب على المنظمات أن تستعد لها؟

الذكاء الاصطناعي يعزز التهديدات عبر مختلف المتجهات. الحجم: البريد المزيف والاستطلاع بسرعة الآلة ضد آلاف الأهداف في نفس الوقت. التعقيد: الهندسة الاجتماعية التي تنتجها تقنيات Deepfake التي تهزم التحقق بالصوت والفيديو. الهوية: الهويات الاصطناعية التي تعبر التحقق المصمم للبشر.

للاستجابة للحوادث، فإن الآثار تشغيلية. تحتاج إلى الكشف الذي لا يعتمد على البشر لتحديد الأنماط بسرعة البشر. تحتاج إلى بروتوكولات التحقق التي تفترض أن الصوت والفيديو يمكن أن يكونا مزيفين. تحتاج إلى كتيبات استجابة للحوادث التي تغطي بشكل صريح الحوادث المرتبطة بالذكاء الاصطناعي، لأن خطوات الاستعادة ليست هي نفسها كما هي في حالة فدية.

ماذا يعني “الأمان من التصميم” للذكاء الاصطناعي في بيئة مؤسسية حقيقية معقدة؟

في Syntax، يعني ذلك توازن الابتكار والأمان، من خلال تبني منصة GenAI مع حواجز أمان مضمنة، وخدمات GenAI المعتمدة والمحدودة والمحظورة، ودفع ثقافة الأمان أولًا من خلال مكتب الحوكمة للذكاء الاصطناعي. لمكتب الأمن العالمي، يعني ذلك وضع أنفسنا كمنشطين للأعمال، وليس حواجز، ودعم الأعمال بأولوياتها الاستراتيجية مع حماية Syntax بما يتوافق مع شهية المخاطر.

ماذا يجب أن يتغير ثقافيًا وعمليًا على المنظمات لتبني حقًا عقلية أن الأمن والامتثال لا يعدا عائقًا للنمو؟

أكبر تغيير هو ما يبدو النجاح عليه. تم قياس فرق الأمن لعدة عقود على ما لم يحدث: لا انتهاكات، ولا حوادث، ولا نتائج تدقيق. هذا القياس يُكافئ على القول لا. الفرق الذي يعمل كمنشطين يقيس شيئًا مختلفًا: الصفقات التي فازت لأن التحكم كان يمكن إثباته، والإطلاقات التي حققت موعدها لأن الأمن وفر الطريق، والابتكارات التي مرت عبر الحوكمة بدلاً من حولها.

عمليًا، يحتاج إلى عمليات معدة مع الحوكمة المضمنة فيها، معززة بالتفعيل النشط مثل منصة GenAI التي تجعل الأمان هو الخيار الأسهل، والتعليم والبرامج التي تسهل الوصول إلى الذكاء الاصطناعي، مثل مبادرة أبطال الذكاء الاصطناعي.

الثقافة تتبع ما تحفزه وما تمكنه. تغيير ما تكافئه، وتجهيز الناس بالأدوات والتدريب المناسبين في الوقت المناسب، وتغيير ما يفعلونه. هذا هو المسار الذي تتخذه Syntax.

مع زيادة اندماج الذكاء الاصطناعي في سلاسل العمل المؤسسية، كيف يجب على مديري أمن المعلومات التعاون مع قادة الذكاء الاصطناعي، وعلماء البيانات، وفرق المنتجات لضمان المساءلة دون إبطاء التقدم؟

مدير أمن المعلومات الذي ينتظر أن يُدعى سوف يأتي متأخرًا. مدير أمن المعلومات الذي يأتي مبكرًا، مع أنماط عملية بدلاً من اعتراضات سياسية، يصبح الشريك الذي يريده مشروع الذكاء الاصطناعي على الطاولة. في الممارسة، يعني ذلك جلسات التصميم المشتركة مع فرق الذكاء الاصطناعي، والموافقات الأمنية التي تجلس إلى جانب الموافقات الوظيفية بدلاً من بعدها، وسياسة الباب المفتوح. هذا يغير المحادثة من كونها “دائرة لا” إلى “نعم، ولكن” أو “لا، ولكن” كشريك متعاون ومتعاون للأعمال.

هل تعتقد أنه سيكون هناك إطار عالمي معياري للحوكمة للذكاء الاصطناعي، أو أن المنظمات ستحتاج إلى بناء هياكل الثقة الداخلية الخاصة بها بغض النظر عن التنظيم؟

كلاهما، بالترتيب. سنرى تلاشي تدريجي إلى عدد صغير من الإطارات الإقليمية، قانون الذكاء الاصطناعي الأوروبي أولاً، يليها إطارات أخرى مع اختلاف محلي. لن نرى معيارًا عالميًا واحدًا في هذا العقد بسبب التجزئة الجيوسياسية. لذلك، ستنتهي المنظمات إلى القيام بامرين في نفس الوقت: الامتثال للإطار الذي ينطبق على أكبر سوق لها وتشغيل هيكل ثقة داخلي يفوق أي إطار ضعيف. الهيكل الداخلي أكثر أهمية من المعيار الخارجي، لأن المنظمات تتحرك ببطء والتهديدات لا تتحرك ببطء. الشركات التي تبني هياكل الثقة الداخلية الآن ستنفق العقد القادم قائلة “لدينا ذلك بالفعل” لكل منظم جديد يصل.

شكرًا على المقابلة الرائعة، القراء الذين يرغبون في معرفة المزيد يجب أن يزوروا Syntax.