Agnidipta Sarkar, hlavní evangelista, ColorTokens – série rozhovorů

Agnidipta Sarkar, hlavní evangelista, ColorTokens, je lídrem v oblasti kybernetické bezpečnosti a digitální odolnosti s více než třemi desetiletími zkušeností zahrnujícími kybernetickou obranu, řízení rizik, kontinuitu podnikání, soukromí a Zero Trust. V ColorTokens spolupracuje s představenstvy, vrcholovým managementem a bezpečnostními lídry na posílení připravenosti na narušení a propojení programů kybernetické bezpečnosti s obchodními prioritami, přičemž také přispívá k mezinárodním standardům a průmyslovým iniciativám prostřednictvím organizací jako ISO, Cloud Security Alliance, NIST a ISA. Před nástupem do ColorTokens působil Sarkar jako Group CISO ve společnosti Biocon a zastával vedoucí pozice v oblasti informační bezpečnosti a řízení rizik v organizacích jako DXC Technology, Hewlett Packard Enterprise a HP.

ColorTokens je společnost zabývající se kybernetickou bezpečností, zaměřená na mikrosegmentaci, Zero Trust a pomáhající podnikovým organizacím stát se odolnějšími, když útočníci prolomí tradiční perimetrické obrany. Její vlajková loď, platforma Xshield Enterprise Microsegmentation, je navržena tak, aby zabránila útočníkům a malwaru v laterálním pohybu napříč organizací vytvořením detailních bezpečnostních hranic kolem pracovních zátěží a aktiv rozprostřených v datových centrech, cloudové infrastruktuře, koncových bodech, Kubernetes prostředích, operační technologii (OT) a zařízeních Internetu věcí (IoT). Platforma také zahrnuje workflow asistované AI pro objevování prostředí, tvorbu segmentačních politik a urychlení nasazení politik, s širším cílem snížit útočnou plochu organizace a omezit potenciální dopad, nebo „blast radius“, úspěšného narušení.

Strávili jste více než tři desetiletí přechodem od praktických rolí v síťování a bezpečnosti ve firmách HCL, Wipro, HP, HPE a DXC k působení jako Group Chief Information Security Officer ve společnosti Biocon a přispívání k mezinárodním bezpečnostním standardům. Jak tyto zkušenosti z první linie formovaly vaše přesvědčení, že organizace musí být připraveny omezovat narušení, místo aby předpokládaly, že dokážou zabránit každému průniku?

V mých počátcích v HCL a Wipro se kybernetická bezpečnost zdála jako divoký západ – vzrušující, chaotická a plná příležitostí. Ponořil jsem se do ní, experimentoval, selhával, učil se a uspěl ve všem, co mi technologie mohla nabídnout: firewally, IDS, MFA, šifrování, audity, řízení. Skutečná lekce však přišla, když jsem sledoval, jak se odehrává můj první bezpečnostní incident. Najednou všechny ty nejlepší postupy pod tlakem zhavarovaly. To byl můj probuzení.

V HP jsem měl první řadu k chaotickému dění – nejprve jako pozorovatel, poté jako operativní vedoucí, sledoval jsem chaos zblízka. Každý incident zdůrazňoval stejnou lekci: IT se nikdy nezastaví a žádná investice nemůže zaručit bezpečnost. Když jsem nakonec převzal roli Group CISO, věděl jsem, že mým úkolem je vytvořit příručku pro řešení narušení, nejen pro mé bezpečnostní operace, ale pro celou organizaci. Příručku, která je opakovatelná, předvídatelná a dokáže udržet podnik v chodu, když udeří bouře, a zároveň postupně zlepšovat bezpečnostní operace.

Na papíře vypadaly nástroje perfektně. Ve skutečnosti IT Service Management odhalil trhliny, které jste nečekali. Správa majetku, záplaty, konfigurace, změny, rizika – vše zamotané s lidskou chybou. Právě zde se skrývá digitální slabost a když zazní poplach, je to noční můra rozplétat to. Neexistuje žádný scénář pro válečnou místnost, když dojde k narušení. Chaos je pravidlem, ne výjimkou. Proto jsem během své kariéry budoval strukturu uprostřed bouře a pomáhal lídrům prorazit šum a řídit riziko, místo aby byli odfouknuti.

Když se ohlédnu zpět, jsem vděčný za každou lekci – sledování z okraje, zapálení rukou v hlubině útoků a nakonec vedení z čela. Proto prosazuji připravenost na narušení jako umění, ne jen vědu. Můžete celý den mapovat útokové vzorce, ale podstatné je, co se děje ve válečné místnosti, když lídři musí držet linii. Tato jasnost přichází jen z toho, že jste to prožili.

Proto jsem vytvořil rámec připravenosti na narušení, který předvídá, odolává a rozvíjí schopnosti čelit dalšímu kybernetickému útoku. Rámec pomáhá organizacím pohybovat se s bouří, ne proti ní. Konečným cílem je naplnit Koun Ryusui, plout jako mraky, téct jako voda, aby když udeří další bezprecedentní útok, místo chaosu podniky uplatnily strukturovanou flexibilitu a odolnost, využily své technologické investice a vyšli silnější a sebejistější.

AI pomáhá útočníkům automatizovat průzkum, zneužívání zranitelností a laterální pohyb, což může zkrátit činnosti, které dříve trvaly týdny, na hodiny nebo minuty. Které části konvenčního modelu reakce na incidenty se stanou neúčinnými, když útoky začnou operovat rychlostí stroje?

Když se útoky pohybují rychlostí stroje, přežijí ti obránci, kteří dokážou analyzovat a jednat rychleji než protivník. Ano, AI poskytuje útočníkům nové nástroje, ale také posiluje obránce. Podle mé zkušenosti existují dva způsoby, jak se vypořádat s těmito bezprecedentními, AI-poháněnými útoky.

Nejprve musíte přepracovat své digitální prostředí. Vytvořte zóny připravené na narušení a mikrosegmenty, které oddělí vaše korunní klenoty od zbytku. Představte si to jako bludiště: některé cesty jsou otevřené, jiné zablokované, což ztěžuje neautorizovaným identitám volný pohyb. Takto můžete AI-poháněné útoky odradit tím, že je zpomalíte, protože bludiště se neustále mění s úpravami digitálních systémů.

Dále potřebujete šablony, příručky a jasně definované role připravené ještě před tím, než zazní poplach. Aby v okamžiku, kdy k němu dojde, každý člověk i stroj věděl, co je třeba udělat a v jakém pořadí. Trik spočívá v získání času a zpomalení AI, donutit ji pracovat tvrději a odepřít jí snadný pohyb. Takto udržíte své obrany v boji, když každá milisekunda rozhoduje.

Zeptejte se jakéhokoli námořníka, který přežil únik z ponorky. Když dojde k rychlému přitéku vody, nemáte čas hádat její další krok. Musíte mít předem posílené správné dveře, vědět, co musíte udržet v provozu a kde bude tlak působit. Když k úniku dojde, můžete jen izolovat zaplavený prostor a udržet zbytek plavidla v chodu. Tak chráníte svůj minimální životaschopný podnik. V digitálním světě to znamená váš minimální životaschopný digitální podnik.

To je podstata připravenosti na narušení. Pokud útok pronikne, izolujete postiženou oblast, spustíte svůj plán kontinuity podnikání (BCP) a udržíte nepostižené jádro podniku v chodu. Žádné vypnutí, žádná krize. Pouze nouzová reakce na incident.

Obhajujete diskusi o připravenosti na narušení v obchodních a finančních termínech místo toho, aby byla vnímána jen jako technický problém. Jaké metriky by představenstva měla používat k určení, zda organizace může i během vážného kybernetického útoku pokračovat v provozu?

Narušení nezasahuje jen vaše systémy; zasahuje vše a všechny, na které jsou závislí. Zeptejte se pacienta, kterému byl odmítnut vstup do nemocnice, cestujícího uvízlého na letišti nebo prodejce aut, který je měsíce v dluhu. To je skutečná cena kybernetického útoku. Nejde o otázku „jestli“, ale „kdy“. Proto musí představenstva považovat připravenost na narušení za obchodní a finanční nutnost.

Existují dvě metriky, které by každé představenstvo mělo sledovat.

Nejprve stanovte množství materiálního dopadu, který je představenstvo ochotno akceptovat v rámci digitálních a AI ambicí. To stanoví hranici, kolik vašeho digitálního podniku musí během narušení zůstat v provozu. Nazývám tyto ukazatele Maximální přijatelný materiální dopad (MAMI) a Minimální životaschopný digitální podnik (MVDE).

Mnozí zaměňují MVDE s kontinuitou podnikání, ale nejsou to stejné. Pokud řeknete, že dopad pod 10 % je přijatelný, pak 90 % vašeho podnikání musí i během narušení fungovat. Většina plánů kontinuity podnikání vás dokáže vrátit maximálně na 30 %, což ponechává 60 % vašeho digitálního podnikání vystaveno. Tento paradox drží lídry vzhůru v noci.

Pokud nastavíte MVDE na 70 %, můžete zaručit zainteresovaným stranám, že investujete do obrany, která udrží podnik v chodu i v nejhorším scénáři, budujete bludiště, které je pro lidské i AI útočníky těžko prolomitelné, a máte sílu izolovat útoky rychlostí stroje. Zde mikrosegmentace funguje jako základní stavební kostka. Nyní můžete propojit většinu svých investic do kybernetické bezpečnosti, jako jsou EDR, firewally, SASE, identita (lidská i ne‑lidská), přístup, autorizace a OT bezpečnost, do jedné bezproblémově propojené signálové roviny, kterou váš SOC může během aktivních narušení využívat k omezení kybernetických útoků a izolaci MVDE.

Sledujte MAMI a MVDE každé čtvrtletí u každé nové digitální a AI iniciativy a vaši investoři a zainteresované strany budou požadovat důkazy o tom, jak dobře je odolnost řízena.

„Blast radius“ se stále častěji používá jako měřítko kybernetické odolnosti. Jak může organizace vypočítat svůj potenciální blast radius před útokem a co by představovalo přijatelnou úroveň expozice?

Blast radius je důležitý. Významně.

Ale není to jediná důležitá metrika. Vždy doporučuji posoudit aktuální blast radius jako první krok k vytvoření organizace založené na Zero Trust a připravené na narušení. Vše, co potřebujete, je Hodnocení dopadu připravenosti na narušení (BRIA), neinvazivní analýza založená na API, která využívá váš stávající EDR. Pro OT a mainframe systémy můžete potřebovat agenty nebo zařízení.

Ne každý blast radius je špatný. Někdy je klíčový pro výkon aplikace. Ďábel je v detailech. Vezměte například cache službu, která urychluje vyhledávání informací o produktech a uživatelských relacích. Potřebuje propojení systém‑systémem k provozu e‑commerce platformy s více mikroservisy. Stejný blast radius se však stane zranitelností, pokud k němu mají přístup neautorizovaní uživatelé nebo systémy.

Nemůžete posuzovat blast radius izolovaně. Kombinujte jej s dalšími bezpečnostními vzory, jako jsou anomálie chování, zneužití přístupu, narůstající oprávnění, překročení autorizací a selhání autentizace, abyste skutečně pochopili svou expozici vůči narušení. A pamatujte, co je v jednom odvětví přijatelné, může být v jiném rozhodujícím faktorem.

Jak se připravenost na narušení liší od tradiční reakce na incidenty, obnovy po havárii, kontinuity podnikání a programů Zero Trust a kde by měla ležet odpovědnost za koordinaci těchto disciplín?

Nejedná se o oddělená témata; jsou to provázané disciplíny, které musí být koordinovány kolem jediného obchodního cíle.

Definuji připravenost na narušení jako disciplínu podnikového odolnosti: neustálé připravování, navrhování, cvičení a řízení organizace tak, aby předvídala útoky, omezovala blast radius, udržovala Minimální životaschopný digitální podnik v rámci předem definovaného Maximálního přijatelný materiálního dopadu a obnovovala schopnosti během toho, kdy je útok omezen. Připravenost na narušení je zbraní Zero Trust architektury a stanovuje, co se musí stát před, během a po kybernetickém útoku. Připravenost na narušení posouvá otázku z „Jak udržíme útočníky ven?“ na „Jak zajistíme, že incident nemůže způsobit větší škodu, než jsme připraveni tolerovat, a kolik podniku může během naší reakce nadále fungovat?“ Připravenost na narušení se týká přežití během probíhajícího incidentu.

Konceptuální skok je významný. Různé podnikové praktiky zálohování a obnovy, reakce na incidenty, obnova po havárii a kontinuita podnikání hrají důležité role v připravenosti na narušení, protože řídí narušení. Začínají, když jsou systémy napadeny. Všechny tři programy – reakce na incidenty, obnova po havárii a kontinuita podnikání – se zaměřují na otázku „Jak rychle můžeme obnovit to, co bylo narušeno?“. Připravenost na narušení se soustředí na otázku „Kolik z toho může být od začátku dostupné?“.

Připravenost na narušení rozbíjí silosy, aby byly řízeny obchodní důsledky kompromisu, a zajišťuje, že zainteresované strany jsou ujištěny tím, že se soustředí na udržení většiny podniku „nepostiženého“ a vyvolání BC/DR pro postiženou část. Odpovědnost a vlastnictví připravenosti na narušení leží na výkonném vedení. CEO/představenstvo vlastní apetít k riziku a přijatelný obchodní výsledek. COO nebo ekvivalentní výkonný ředitel odpovědný za odolnost podniku by měl koordinovat připravenost na narušení napříč organizací, přičemž CISO vlastní dimenzi kybernetické bezpečnosti.

Pro podniky, které usilují o stav Kuon Ryushi, je klíčová úplná účast celé organizace využívající technologie a AI k řízení dopadů kybernetického útoku.

ColorTokens používá AI k pomoci bezpečnostním týmům analyzovat prostředí a rychleji generovat politiky mikrosegmentace. Kde by organizace měly důvěřovat AI při automatizaci obranných rozhodnutí a které akce izolace by i nadále měly vyžadovat lidské schválení?

Absolutně. Děláme přesně to.

Ale buďme jasní: „používání AI k pomoci bezpečnostním týmům“ je jen špičkou ledovce. V ColorTokens věříme v odpovědné používání AI, aby se podniky skutečně staly připravenými na narušení. Existuje mnohem větší příběh než jen „AI usnadňuje mikrosegmentaci.“

Nedávné incidenty s Anthropic, OpenAI, AISI a dokonce i případ rezervace posilovny v Austrálii jsou selhání architektury, nikoli správy. Když autonomní AI unikne ze své sandboxové oblasti, není vždy škodlivá nebo nespolehlivá. Jde o to, jak byla architektura postavena. Lidé musí jasně definovat provozní obálku a AI musí v ní zůstat. To je místo, kde vstupuje správa.

Například můžete povolit AI izolovat jakýkoli koncový bod označený jako kompromitovaný s důvěrou nad určitou hranicí, pokud se nejedná o OT bezpečnostní systém, řadič domény, platební systém nebo aktivum řízení výroby. To je omezená autonomie. Ale je to snazší říci než udělat, protože architektura musí být kontextově specifická a jasně vymezena odborníky.

Podle mého názoru a zkušeností by společnosti měly využívat AI k provádění objevování, korelace, mapování závislostí, analýzy útočných cest, analýzy blast radius, doporučení politik, syntézy politik, simulace politik, optimalizace nízkorizikových politik, předautorizované izolace a kontinuální verifikace, a rozhodování o obchodní kritičnosti, přijatelném narušení, bezpečnostních hranicích, definicích korunních klenotů, bezpečnostních omezeních (v OT), maximálním přijatelném dopadu, prahových hodnotách autonomie, schváleních výjimek, hlavní izolaci výroby a nevratných akcích ponechat na lidech.

Závěr – AI by měla mít dostatek svobody k dokončení svého úkolu, ale pod explicitními podmínkami vynucovanými infrastrukturou mimo její kontrolní sféru. AI by měla navrhovat akce, čekat na schválení lidskými operátory a poté provádět změny rychlostí stroje. Cílem není učinit AI autonomní. Cílem je vytvořit omezenou obrannou autonomii.

V ColorTokens používáme AI k tomu, aby smyčka řízení obránce byla dostatečně rychlá na to, aby držela krok s útočníky. Centralizované rozhodování o politikách, více mechanismů vynucování, bohatá telemetrie, ochrana bez agentů pro systémy, které nemohou spouštět agenty, podpora cloudu a kontejnerů a AI‑asistované objevování a syntézu politik – to vše je součástí AI‑asistované připravenosti na narušení.

Mikrosegmentace existuje jako koncept již roky, ale organizace ji často spojují s komplikovanými nasazeními a rigidními politikami. Co se technologicky změnilo, že je nyní praktičtější napříč cloudovou infrastrukturou, Kubernetes prostředími, koncovými body, staršími systémy a operační technologií?

Několik věcí.

To, co začalo jako sofistikovaný způsob propojení a řízení sítí, zajišťující dedikované připojení a šířku pásma, se vyvinulo v základní schopnost kybernetické bezpečnosti. Dnes může mikrosegmentace proměnit velké podniky v organizace připravené na narušení, rychle a sebejistě. Technologické posuny nám pomohly překonat staré bolesti hlavy: mapování závislostí, přepracování síťových hranic, konfiguraci VLAN a firewallů, ruční psaní pravidel a obavy z narušení obchodního provozu. Segmentace byla dříve pomalá, drahá a omezena na datové centrum. Už ne.

Nejprve je identita nyní hlavním kanálem pro kybernetické útoky. Proto je rozšířená správa identit prvním principem Zero Trust. V moderních cloudových prostředích jsou IP adresy pro bezpečnost bezvýznamné. Moderní mikrosegmentace využívá identitu, přístup, pracovní zátěž, aplikaci, službu a kontext, nikoli jen síťovou polohu. Bezpečnostní hranice sleduje identitu, přístup a aplikaci, nikoli pouze podkladovou infrastrukturu.

Za druhé, mikrosegmentace bez agentů nyní přesahuje zařízení. Rozšiřuje ochranu na starší systémy, IoT zařízení a OT, které nemohou spouštět agenty. Moderní mikrosegmentace se integruje s EDR, rozšiřuje pokrytí a zkracuje dobu nasazení z měsíců na hodiny, protože EDR již má telemetrii, kterou mikrosegmentace potřebuje.

Nakonec AI odstraňuje poslední velkou úzkou hranu: kontextově specifické navrhování politik připravených na narušení. AI může analyzovat více datových bodů pro kontext, mapovat závislosti a útočné cesty, doporučovat zónování a politiky mikrosegmentace a simulovat jejich dopad před vynucením. Moderní mikrosegmentace vynucuje politiku přímo na koncových bodech a pracovních zátěžích pomocí nativních ovládacích prvků OS. Už není nutné přepracovávat síť; mikrosegmentace je nyní plynulá a politika následuje pracovní zátěž kamkoli jde.

Cílem není