مقابلات
ثورستن ديلبروك، الرئيس التنفيذي للأمن في جيزيك+ديفريانت – سلسلة المقابلات
أضف Unite.AI إلى مصادرك المفضلة على Google
ثورستن ديلبروك، الرئيس التنفيذي للأمن في جيزيك+ديفريانت، هو خبير أمن سيبراني محنك مع أكثر من عقدين من الخبرة في تأمين البنية التحتية للشركات، والهويات الرقمية، والنظم الحساسة. منذ انضمامه إلى جيزيك+ديفريانت (G+D) في عام 2011 كمدير أمن المعلومات الرئيسي، قاد استراتيجية الأمن العالمية للشركة عبر قطاعات منظمة بشكل كبير بما في ذلك المالية والاتصالات والبنية التحتية الحكومية. في عام 2020، وسع دوره إلى نائب الرئيس التنفيذي، رئيس الأمن ومدير أمن المعلومات. ديلبروك يخدم أيضًا كرئيس لمؤسسة الأمن المعلوماتي (ISF)، وهي سلطة رائدة عالمية في الأمن السيبراني وإدارة المخاطر، وقد شغل مناصب قيادية في أمن المعلومات في شركة إنفينون تكنولوجيز، وشركة كوملاين، وشركة تي يو في سيكور آيت.
(IFX.SW )جيزيك+ديفريانت (G+D) هي شركة تكنولوجيا أمنية عالمية مقرها ميونخ، تطورت من مطبعة ورقية تاريخية تأسست في عام 1852 إلى مورد رئيسي لحلول الأمان الرقمي وتكنولوجيا المالية وبنية العملة. تعمل الشركة عبر ثلاثة قطاعات رئيسية: الأمان الرقمي، والمنصات المالية، وتكنولوجيا العملة، وتقدم تكنولوجيا تأمين الاتصال الخلوي، والهويات الرقمية، وأنظمة البنوك، ومنصات الدفع، والعملات الرقمية والمادية. تعمل G+D مع الحكومات والبنوك المركزية والمؤسسات المالية والشركات في جميع أنحاء العالم، بما في ذلك تقديم حلول لتقنيات SIM الإلكترونية، وأنظمة التحقق، والدفع الرقمي، والأمن السيبراني، والعملات الرقمية للبنوك المركزية (CBDCs). تضع الشركة نفسها كشركة بنية تحتية موثوقة للاقتصاد الرقمي، مع أكثر من 14,000 موظف في جميع أنحاء العالم وعقود من الخبرة في تأمين النظم الحساسة والبيئات المالية.
لقد قمت بتقضية ما يقرب من ثلاثة عقود في أدوار قيادية في الأمن السيبراني في شركات مثل تي يو في سيكور آيت، وإنفينون، والآن أكثر من 15 عامًا في جيزيك+ديفريانت. كيف تطور مشهد التهديدات من المخاطر التقليدية للأمان الشركاتي إلى التحديات السيبرانية التي تقودها الذكاء الاصطناعي اليوم، وما الذي يقلقك أكثر حول اتجاه الصناعة الحالي؟
أعتقد أن التغيير الرئيسي خلال مسيرتي هو السرعة والتأثير. عندما بدأت في إدارة الأمن في أواخر التسعينيات، كانت مشكلة أمنية خطيرة تعني وجود جدار حماية معيب أو خادم غير محدث، وكان نطاق التأثير عادةً محصورًا.
والكل شيء أسرع الآن. نحن نتعامل مع أنظمة أكثر وسرعات نقل بيانات أعلى. اليوم، يُعتقد أن نصف حركة المرور على الإنترنت تقريبًا لا يتم إنشاؤها بواسطة البشر – وبحسب بعض التقديرات، يتكون حوالي 40% من إجمالي حركة المرور من أنشطة خبيثة مثل المسح الخبيث وبرامج الفيروسات وهجمات الحرمان من الخدمة (DDoS).
وفي الوقت نفسه، أصبح المنظر قد أصبح متركزًا بشكل كبير. تم فقد الفلسفة الأصلية للإنترنت المتمثلة في التكرار واللامركزية. ونتيجة لذلك، فإن الهجمات التي تستهدف فقط بضع نقاط فشل مركزية لها عواقب أكثر تدميرًا مما كانت عليه في السابق. هذا يترك几乎 لا يوجد مجال للخطأ في إعداد وتشغيل أنظمة تكنولوجيا المعلومات الحديثة. والآن يضغط الذكاء الاصطناعي جداول الهجمات أكثر.
أعيد إشعال المخاوف حول الأنظمة المتقدمة للذكاء الاصطناعي التي يمكنها تحديد الثغرات البرمجية على نطاق واسع. هل تعتقد أن الشركات تقلل من سرعة التطور الذي يمكن أن يؤدي به تطور الذكاء الاصطناعي إلى إعاقة العمليات الأمنية الحالية؟
نعم، أعتقد أن العديد من الشركات تقلل من سرعة هذا التحول. في البداية، بدا كما لو أن الذكاء الاصطناعي سوف يفيد كلا الجانبين، المهاجمين والمدافعين، بشكل متساوٍ تقريبًا. لكن هناك حقيقة قلقة تظهر: الذكاء الاصطناعي لم يخترع فئات جديدة تمامًا من الجرائم الإلكترونية؛ بل قد دمج القدرات الهجومية المتقدمة، مما يسمح للمهاجمين بتحويل استطلاعهم وتحويل لغة البريد المزيف واكتشاف الثغرات البرمجية بسرعة ومقياس يصعب على المدافعين البشر امتصاصه.
المشكلة هي أن اكتشاف الثغرات البرمجية بمساعدة الذكاء الاصطناعي ينتج أكثر عملًا مما يمكن للمدافعين التعامل معه. هذا قد يتحسن في السنوات القليلة القادمة عندما يلحق الذكاء الاصطناعي بعملية الإصلاح، لكنه مشكلة متزايدة الآن.
بالإضافة إلى ذلك، ليس هناك أي إجمال في أن الشركات التي تقدم نماذجها الأخيرة كخلص لتهديدات الأمن السيبراني هي، في الوقت نفسه، تغذي جزءًا من المشكلة. أدوات الترميز بمساعدة الذكاء الاصطناعي تسرع من إنتاج البرمجيات، لكنها غالبًا ما تنتج رمزًا متسخًا ومعرّضًا – مما يوسع السطح الهجومي الذي تعهدت منتجات الأمن بتقليله. من الناحية الاقتصادية، هذا هو عبقري. من وجهة نظر الأمن، ليس كذلك.
في G+D، نقيم حالات استخدام الذكاء الاصطناعي بطريقة منظمة من خلال مجلس الذكاء الاصطناعي ولا نوسعها بطريقة غير خاضعة للرقابة. المشكلة ليست الذكاء الاصطناعي بحد ذاته – إنها عدم وجود الحوكمة في تطبيقه. هذا يتوافق مع المبدأ الذي تطبقه G+D أيضًا داخليًا: الذكاء الاصطناعي يتطلب ليس فقط الابتكار، ولكن أيضًا عمليات التقييم والموافقة المؤسسية.
كيف يُقارن الأمن في البنية التحتية الحيوية في عصر الذكاء الاصطناعي بالحماية التقليدية لأنظمة الشركات؟
في G+D، نواجه نفس المسؤوليات الأساسية مثل أي منظمة تضع الأمن على محمل الجد. ومع ذلك، معاييرنا استثنائية، وهمargin للخطأ صغير جدًا. نحن مدركون جيدًا أن حدثًا أمنيًا داخل بنيتنا التحتية يحمل عواقب أوسع نطاقًا من حدث أمني في شركة تقليدية – وهو السبب في أن لدينا شهية منخفضة جدًا للمخاطر الأمنية.
حيث يضيف الذكاء الاصطناعي طبقة معقدة فريدة لنا هو في الهيكل التشغيلي نفسه. العديد من مكوناتنا الأمنية عالية الجودة، خاصة تلك المرتبطة بأنظمة الدفع، والهويات الرقمية، أو المنتجات للبنوك المركزية، هي أصول قيمة وخاضعة لمتطلبات أمنية وشهادات صارمة. يجب تطوير هذه المكونات، واختبارها، وتشغيلها في بيئات منفصلة، تتراوح من انفصال منطقي خالص إلى شبكات معزولة تمامًا بدون أي اتصال خارجي.
كان ذلك بالفعل صعبًا قبل الذكاء الاصطناعي، لكن الآن تقوم المنظمات في كل مكان بتكامل أدوات مساعدة الذكاء الاصطناعي في عمليات التطوير والتشغيل. أدوات تعتمد عادة على الاتصال السحابي، ووصول بيانات على نطاق واسع، وتحديثات نموذجية مستمرة. примир هذا مع بيئات حيث حتى كابل شبكة متصل بمنفذ خاطئ سيكون انتهاكًا خطيرًا للسياسة هو تحد هندسي وحوكمة حقيقي.
يفضل أن نكون مقصدين للغاية في دمج الذكاء الاصطناعي. لسنا نختار فقط النموذج الصحيح، بل نقوم باتخاذ قرارات استراتيجية على مستوى البنية حول ما إذا كان من الضروري نشر هذه الأدوات محليًا أو يمكن استخدامها عبر السحاب.
هل تتوقع أن تتطلب الشركات في النهاية أن يخضع الكود المولّد بواسطة الذكاء الاصطناعي إلى عمليات التحقق والتصديق المنفصلة قبل النشر؟
لا أعتقد أن المعيار الحاسم يجب أن يكون ما إذا كان الكود كتبه إنسان أو ذكاء اصطناعي. المعيار الحاسم هو المخاطر. لكن الكود المولّد بواسطة الذكاء الاصطناعي سيتطلب بالتأكيد أصلًا، ومراقبة، ومراجعة أكثر صرامة في البيئات المنظمة أو الأمنية.
نماذج التهديد، والسياسات البرمجية الآمنة، وادخال أدوات SAST في سلسلة أدوات التطوير هي ممارسة قياسية اليوم، والأدوات تتحول بشكل طبيعي إلى تحسين الذكاء الاصطناعي. بالإضافة إلى ذلك، يجب على فرق التطوير تتبع بدقة الوظائف التي تكون حرجة أمنيًا أو تنتمي إلى مكونات منظمة أو حساسة للغاية. بالإضافة إلى ذلك، يجب فهم التبعيات الأساسية جيدًا واختبارها بشكل مستمر.
الاقتصاد سيلعب بالتأكيد دورًا حاسمًا بشكل متزايد. حاليًا، تسعير الرموز من قبل مقدمي الذكاء الاصطناعي الرئيسيين لا يغطي التكاليف. مقدمو الذكاء الاصطناعي الرئيسيين يتحملون عجزًا هائلاً في البنية التحتية والاستدلال لضمان الحصة السوقية. نموذج مدعوم بالدعم ليس مستدامًا على المدى الطويل. عندما يتم تعديل التكاليف التجارية لتنفيذ الذكاء الاصطناعي في سير عمل الشركات لتعكس هذه النفقات الحقيقية، سوف نواجه مشكلة. في ذلك الوقت، سيتعين على الصناعة التحول نحو نماذج صغيرة، ومحلية، ومخصصة. تدريب هذه النماذج الصغيرة لاستخدامات محددة سيكون استراتيجية حيوية لتخفيف زيادة التكاليف الحادة.
وفي الفئات التي تتمتع بأعلى متطلبات أمنية، سيظل الرقابة البشرية إلزامية وهذا بالضبط حيث تكمن التحديات: استخدام القدرة البشرية المحدودة بأكثر كفاءة ممكنة.
هل تتوقع أن تصبح إدارة التصحيحات ذاتية التشغيل ضرورة تشغيلية في المستقبل؟
نعم، أعتقد أن إدارة التصحيحات ذاتية التشغيل لم تعد росة – إنها ضرورة تشغيلية. حجم الثغرات البرمجية اليوم يتجاوز ببساطة القدرة البشرية على التriage.
قال ذلك، يجب أن يتبع التنفيذ نهجًا متدرجًا وعمليًا. من أجل بيئات معيارية غير حرجة، يجب أن تكون التutomatisation الكاملة قابلة للتحقيق، شريطة توافر الحوافز الصحيحة. التصحيح التلقائي الكامل في الأنظمة الحرجة ذات التأثير الكبير سيكون من الصعب تنفيذه في المستقبل المنظور.
هذا هو المكان الذي تهم الأمور الأساسية حقًا. التمييز بين هاتين الفئتين يبدو بسيطًا، لكنه يتطلب في الممارسة كمية هائلة من الصيانة الدقيقة والمتواصلة للحفاظ على بيئة معقدة بهذه النهج المتنوعة بطريقة نظيفة وآلية. هذا العمل سهل التقليل من شأنه.
والتحدي الحقيقي، كما هو الحال دائمًا، ليس في التنفيذ الميكانيكي للعملية نفسها – إنه النظام الأوسع. اتخاذ القرارات الذكية ممكن فقط عندما يدعمها النظام كله. تحتاج إدارة التصحيحات إلى أن تصبح أسرع وأكثر ذكاءً، وليس فقط أكثر تلقائية.
و، كما هو دائمًا: في السياقات الحساسة، يجب أن تتوازن الاستقرار المتحكم به والسرعة العالية. هذا هو الجزء الصعب – والجزء الذي لا تكون المنظمات مستعدة له بعد.
كما أن الحكومات في جميع أنحاء العالم تعمل على تنفيذ أنظمة الهوية الرقمية، والعملات الرقمية للبنوك المركزية، والبنية التحتية المتصلة. هل أنت قلق من أن التهديدات السيبرانية التي ي驱ها الذكاء الاصطناعي قد تتجاوز الاستعدادات التنظيمية والوطنية للأمن؟
الإطارات التنظيمية مثل NIS2 و قانون الصلابة السيبرانية تدفع الأمور في الاتجاه الصحيح، لكن التنظيم هو في النهاية جزء فقط من اللغز. التنظيم مهم للنظام ككل، لكن لا يمكننا افتراض أن إصدار قاعدة يحل المشكلة على الفور. لا يزال على الشركات تنفيذ الإرشادات، والحفاظ على أنظمتها آمنة دائمًا، والحفاظ على فهم صلب للمنظر الأمني والاستهداف، وتحديثه بشكل مستمر، ومواصلة تعديله لتحقيق التوازن.
أنا متفائل بحذر، شريطة ألا تعامل المنظمات مع الامتثال للتنظيم كبديل عن الأمن الفعلي. وإدارة الأمن الحديثة لا تنتظر التنظيم. إذا كان هناك شيء، فيجب أن يكون العكس صحيحًا: يجب أن تدفق أفضل الممارسات في العالم الحقيقي إلى التنظيم، وليس العكس.
في مجالات الأمن العالي مثل الهوية الرقمية وبنية الدفع، فإن الاستعداد التشغيلي ليس أمرًا مفروغًا منه. G+D ليست فقط موردًا هنا، بل شريكًا في الحوار للبنوك المركزية والحكومات في جميع أنحاء العالم. G+D أيضًا نشطة في حماية البنية التحتية الرقمية الحيوية – على سبيل المثال من خلال Secunet كشريك أمني لجمهورية ألمانيا الاتحادية.
يصف بعض الخبراء النماذج المتقدمة للذكاء الاصطناعي بأنها “أسلحة سيبرانية”، في حين يجادل آخرون بأن هذا الوصف مبالغ فيه. من وجهة نظرك، ما الذي يخطئ فيه الناس حول المخاطر الحقيقية التي تطرحها أنظمة الذكاء الاصطناعي المتقدمة؟
ما يخطئ فيه الناس هو افتراض أن الصراعات السيبرانية تتبع منطق الحرب الفعلية. أن سلاحًا كافياً سوف يخترق في النهاية أي دفاع. الكثير من وصف “الأسلحة السيبرانية” ي 借 من هذا العقلية الكينيتيكي: مدفع أكبر يخترق جدارًا أكثر سمكًا، و صاروخ أكثر ذكاءً يخترق طائرة أسرع. لكن السيبرانية لا تعمل بهذه الطريقة.
الهجوم السيبراني الناجح几乎 لا ينجح أبدًا من خلال القوة القهرية. إنه ينجح من خلال استغلال فجوة: تكوين خاطئ، أو ثغرة غير محدّثة، أو خطأ بشري، أو وصلة слабة في سلسلة التوريد. الذكاء الاصطناعي لا يغير هذا الديناميكية الأساسية. إنه يجعل البحث عن تلك الفجوات أسرع وأرخص، ويقلل من عتبة المهارة لموظفيها. هذا مشكلة خطيرة، لكنها مشكلة مختلفة تمامًا عن سرد “الأسلة الفائقة”.
المخاطر الحقيقية ليست أن يخترع الذكاء الاصطناعي قدرة هجومية لا تقاوم لا يمكن لأي دفاع مقاومتها. المخاطر الحقيقية هي أن الذكاء الاصطناعي يسرع ويكبر من استغلال الضعف العادي – نفس الضعف الذي كنا نناضل لتصحيحه لعدة عقود – بسرعة تفوق قدرتنا على إغلاقها.
وصف الذكاء الاصطناعي كأسلحة سيبرانية يشتت الانتباه عن ذلك. إنه يشجع على عقلية سباق التسلح عندما ما هو مطلوب هو نظافة تشغيلية أفضل، وتصحيح أسرع، وهياكل أكثر متانة. التهديد ليس سلاحًا جديدًا خارقًا. إنه الفجوات القديمة، مستغلة بسرعة جديدة. نعم، وصف الذكاء الاصطناعي كأسلحة سيبرانية هو مبالغة كبيرة.
متى ننظر إلى المستقبل، هل تعتقد أن أكبر تهديد أمني سيبراني من الذكاء الاصطناعي سوف يأتي من هجمات دولة متقدمة، أو استغلال ذاتي على نطاق واسع، أو إساءة استخدام داخلي، أو ثغرات سلسلة التوريد، أو شيء لا تزال الصناعة لا تمنح له الاهتمام الكافي؟
توقعات المستقبل دائمًا صعب، خاصة في الأمن. هجمات دولة متقدمة، والاستغلال الذاتي، وإساءة الاستخدام الداخلي، وثغرات سلسلة التوريد – كل هذه تهديدات حقيقية ومتزايدة. لن أنكر أيًا منهم. لكنني سأجادل أن كل هذه هي عواقب، وليست أسبابًا جذرية. أنها تنجح عندما لا يستطيع المدافعون مواكبة الأمور، بغض النظر عن السبب: قد لا تكون الثغرة معروفة بعد، أو قد لا يكون التصحيح متاحًا بعد، أو قد يكون العبء العمل كبيرًا.
والنقطة التي أرى فيها أكبر خطر، ونظرًا إلى السنوات القليلة القادمة، هي أن فرق الأمن تُكلف بعبء عمل كبير.
كل المواضيع الحالية – التنظيم، والسيادية، والبنية السحابية المعقدة، وكل ما يأتي معها – تتحمل على فرق بالفعل مشغولة بشكل كبير بترياج التنبيهات، والاستجابة للطوارئ، وتحليل البريد المزيف، وإدارة الثغرات، ووضع التقارير. العبء المضافة من كل ما يمكن أن يفعله الذكاء الاصطناعي سيكون القشة التي تكسر ظهر الجمل. إنه ليس أكثر من مجرد قش.
وأخيرًا، ونظرًا للوضع الاقتصادي العالمي الحالي، كل هذا يؤثر على المنظمات تحت ضغط التكلفة الحقيقي، عبر اللوحة. إذا لم يتم إدارته جيدًا، سوف يصبح في النهاية أكثر من ذلك.
شكرًا لك على المقابلة الرائعة، القراء الذين يرغبون في معرفة المزيد يجب أن يزوروا جيزيك+ديفريانت.
